Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.18)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Adobe Flash Player oraz Adobe AIR w wersjach przed 18.0.0.241 i 19.x przed 19.0.0.185 na Windows i OS X oraz przed 11.2.202.521 na Linuxie, a także Adobe AIR SDK przed 19.0.0.190, umożliwiają atakującym spowodowanie odmowy usługi (korupcja długości wektora) lub potencjalnie inny nieokreślony wpływ za pomocą nieznanych wektorów.
Adobe Flash Player oraz Adobe AIR przed określonymi wersjami zawierają podatność, która pozwala atakującym na wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez uszkodzenie pamięci stosu.
Podatność typu use-after-free w usłudze Update Manager w konsoli zarządzania Avira umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez wysłanie dużego nagłówka.
Moduł ndvbs w VBox Communications Satellite Express Protocol 2.3.17.3 pozwala lokalnym użytkownikom na zapis do dowolnych lokalizacji pamięci fizycznej, co może prowadzić do uzyskania podwyższonych uprawnień poprzez wywołanie ioctl 0x00000ffd.
Przepełnienie bufora w form2ping.cgi na urządzeniach PLDT SpeedSurf 504AN oraz Kasda KW58293 umożliwia zdalnym atakującym spowodowanie awarii urządzenia poprzez długi parametr ipaddr.
Urządzenia Securifi Almond z firmware przed AL1-R201EXP10-L304-W34 oraz urządzenia Almond-2015 z firmware przed AL2-R088M mają domyślne hasło 'admin' dla konta administratora. To umożliwia zdalnym atakującym uzyskanie dostępu do zarządzania przez sieć lokalną.
Konsola zarządzania w urządzeniach Symantec Web Gateway (SWG) z oprogramowaniem przed wersją 5.2.2 DB 5.0.0.1277 pozwala zdalnie uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń podczas uruchamiania systemu za pomocą nieokreślonych wektorów.
Konsola zarządzania w urządzeniach Symantec Web Gateway (SWG) z oprogramowaniem przed wersją 5.2.2 DB 5.0.0.1277 pozwala zdalnym uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń poprzez wektory związane z 'przechwytywaniem ruchu'.
W konsoli zarządzania urządzeń Symantec Web Gateway (SWG) z oprogramowaniem przed wersją 5.2.2 DB 5.0.0.1277, plik admin_messages.php pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu poprzez przesłanie pliku z bezpiecznym rozszerzeniem i typem zawartości, a następnie wykorzystanie niewłaściwej konfiguracji Sudo do przekształcenia go w plik setuid-root.
Konsola zarządzania w urządzeniach Symantec Web Gateway (SWG) z oprogramowaniem przed wersją 5.2.2 DB 5.0.0.1277 pozwala zdalnym uwierzytelnionym użytkownikom na obejście zamierzonych ograniczeń dostępu i wykonanie dowolnych poleceń poprzez wykorzystanie 'przekierowania'.
Przepełnienie bufora w implementacji API protokołu Conference Control Protocol w oprogramowaniu Cisco TelePresence Server przed wersją 4.1(2.33) na urządzeniach 7010, MSE 8710, Multiparty Media 310 i 320 oraz Virtual Machine pozwala zdalnym atakującym na spowodowanie awarii urządzenia poprzez spreparowany URL.
Framework webowy w Cisco Prime Collaboration Provisioning przed wersją 11.0 pozwala zdalnym uwierzytelnionym użytkownikom na obejście zamierzonych ograniczeń dostępu i tworzenie kont administracyjnych za pomocą spreparowanego URL-a.
Framework webowy w Cisco Prime Collaboration Assurance przed wersją 10.5.1.53684-1 pozwala zdalnym uwierzytelnionym użytkownikom na ominięcie ograniczeń odczytu sesji logowania oraz na podszywanie się pod administratorów dowolnych domen najemców, poprzez odkrycie identyfikatora sesji i skonstruowanie odpowiedniego URL-a.
Framework webowy w Cisco Prime Collaboration Assurance przed wersją 10.5.1.53684-1 pozwala zdalnym uwierzytelnionym użytkownikom na obejście zamierzonych ograniczeń dostępu, co umożliwia tworzenie kont administracyjnych lub odczytywanie danych z dowolnych domen najemców za pomocą spreparowanego URL-a.
Wielokrotne przepełnienia bufora w sterowniku 3S-Smart CODESYS Gateway Server przed wersją 2.3.9.34 umożliwiają zdalnym atakującym wykonanie dowolnego kodu za pomocą opcode (1) 0x3ef lub (2) 0x3f0.
W podatności CVE-2015-6459 występuje luka w funkcji pobierania plików w FileDownloadServlet w GE Digital Energy MDS PulseNET i MDS PulseNET Enterprise przed wersją 3.1.5. Umożliwia ona zdalnym atakującym odczyt lub usunięcie dowolnych plików za pomocą pełnej ścieżki.
MDS PulseNET i MDS PulseNET Enterprise przed wersją 3.1.5 zawierają twardo zakodowane dane logowania dla konta wsparcia, co umożliwia zdalnym atakującym uzyskanie dostępu administracyjnego i wykonanie dowolnego kodu.
Cisco Prime Network Registrar (CPNR) w wersjach 8.1(3.3), 8.2(3) oraz 8.3(2) posiada domyślne konto, które umożliwia lokalnym użytkownikom uzyskanie dostępu do konta root poprzez znajomość danych logowania.
Przepełnienie bufora w Boxoft WAV to MP3 Converter umożliwia zdalnym atakującym spowodowanie awarii (denial of service) oraz potencjalne wykonanie dowolnego kodu poprzez spreparowany plik WAV.
Podatność typu SQL injection w module funkcji BP_FIND_JOBS_WITH_PROGRAM w silniku SAP NetWeaver J2EE 7.40 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą nieokreślonych wektorów.