Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.18)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wiele nieokreślonych podatności w silniku przeglądarki w Mozilla Firefox przed wersją 36.0, Firefox ESR 31.x przed wersją 31.5 oraz Thunderbird przed wersją 31.5 umożliwia zdalnym atakującym spowodowanie odmowy usługi (uszkodzenie pamięci i awaria aplikacji) lub potencjalne wykonanie dowolnego kodu za pomocą nieznanych wektorów.
Wielokrotne nieokreślone podatności w silniku przeglądarki Mozilla Firefox przed wersją 36.0 mogą pozwolić zdalnym atakującym na spowodowanie odmowy usługi (uszkodzenie pamięci i awaria aplikacji) lub potencjalne wykonanie dowolnego kodu za pomocą nieznanych wektorów.
Wielokrotne podatności typu use-after-free w OpenType Sanitiser, używanym w Mozilla Firefox przed wersją 36.0, mogą umożliwić zdalnym atakującym wywołanie problematycznych informacji w konsoli dewelopera lub potencjalnie inne nieokreślone skutki, wykorzystując nieprawidłowe rozszerzenie makr, związane z funkcją ots::ots_gasp_parse.
W podatności CVE-2015-2070 występuje luka typu SQL injection w eTouch SamePage Enterprise Edition w wersji 4.4.0.0.239, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr catId w cm/blogrss/feed.
Podatność na wstrzykiwanie SQL w DLGuard 4.5 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr c w pliku index.php.
Wtyczka Apptha WordPress Video Gallery (contus-video-gallery) przed wersją 2.8 zawiera podatność na wstrzyknięcie SQL w pliku videogalleryrss.php. Atakujący zdalnie mogą wykonywać dowolne polecenia SQL poprzez parametr vid w akcji rss do wp-admin/admin-ajax.php.
Wielokrotne podatności na wstrzykiwanie SQL w Dell ScriptLogic Asset Manager przed wersją 9.5 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory w plikach GetClientPackage.aspx lub GetProcessedPackage.aspx.
Implementacja nss_dns funkcji getnetbyname w bibliotece GNU C (glibc) przed wersją 2.21 pozwala zdalnym atakującym na wywołanie odmowy usługi (nieskończona pętla) poprzez wysłanie pozytywnej odpowiedzi podczas przetwarzania nazwy sieciowej.
Implementacja serwera Netlogon w smbd w wersjach Samba 3.5.x i 3.6.x przed 3.6.25, 4.0.x przed 4.0.25, 4.1.x przed 4.1.17 oraz 4.2.x przed 4.2.0rc5 wykonuje operację zwolnienia na niezainicjowanym wskaźniku stosu. To pozwala zdalnym atakującym na wykonanie dowolnego kodu za pomocą spreparowanych pakietów Netlogon.
Zhone GPON 2520 z oprogramowaniem R4.0.2.566b jest podatny na atak typu denial of service, który może być przeprowadzony przez zdalnych napastników za pomocą długiego ciągu w parametrze oldpassword.
W routerze DIR-645 z firmware 1.04b12 i wcześniejszym występuje przepełnienie bufora na stosie, które pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez wysłanie długiego ciągu w akcji GetDeviceSettings do interfejsu HNAP.
Router D-Link DIR-645 w wersji Rev. Ax z firmware 1.04b12 i wcześniejszym umożliwia zdalnym atakującym wykonywanie dowolnych poleceń poprzez akcję GetDeviceSettings w interfejsie HNAP.
D-Link DAP-1320 Rev Ax z firmware przed wersją 1.21b05 pozwala atakującym na wykonywanie dowolnych poleceń poprzez nieokreślone wektory.
W D-Link DCS-931L z firmware 1.04 i wcześniejszym występuje podatność na nieograniczone przesyłanie plików, która pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu poprzez przesłanie pliku z rozszerzeniem wykonywalnym.
Przepełnienie bufora w funkcji charset_to_intern w Info-Zip UnZip 6.10b umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez odpowiednio przygotowany ciąg znaków.
W systemie IBM Tivoli Storage Manager (TSM) występuje przepełnienie bufora na stosie w kliencie dsmtca, które dotyczy wersji 5.4 do 5.4.3.6, 5.5 do 5.5.4.3, 6.1 do 6.1.5.6, 6.2 przed 6.2.5.4 oraz 6.3 przed 6.3.2.3 na systemach UNIX, Linux i OS X. Umożliwia to lokalnym użytkownikom uzyskanie podwyższonych uprawnień poprzez nieokreślone wektory.
W systemach Cisco Intrusion Prevention System (IPS) występuje warunkowa podatność wyścigu w implementacji SSL, która pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez nawiązywanie wielu połączeń HTTPS z interfejsem zarządzania podczas fazy regeneracji kluczy podczas aktualizacji.
Cisco IOS XR w wersjach 5.0.1 i 5.2.1 na urządzeniach Network Convergence System 6000 oraz 5.1.3 i 5.1.4 na urządzeniach Carrier Routing System X umożliwia zdalnym atakującym spowodowanie odmowy usługi poprzez wadliwie skonstruowane pakiety IPv6 z nagłówkami rozszerzeń.
Podatność typu use-after-free w Adobe Flash Player przed wersją 13.0.0.269 oraz 14.x do 16.x przed wersją 16.0.0.305 na systemach Windows i OS X oraz przed wersją 11.2.202.442 na Linuksie pozwala atakującym na wykonanie dowolnego kodu poprzez nieokreślone wektory.
Podatność XXE w funkcji JBPMBpmn2ResourceImpl w jbpm-designer 6.0.x i 6.2.x umożliwia zdalnym atakującym odczyt dowolnych plików poprzez importowanie spreparowanego pliku BPMN2.