Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.18)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność w WordPress 0.70 umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez zdalne dołączenie pliku. Problem występuje w pliku wp-links/links.all.php, gdzie atakujący może manipulować zmienną $abspath.
W rtsold w systemie FreeBSD od wersji 9.1 do 10.1-RC2 występuje przepełnienie bufora na stosie, które może być wykorzystane przez zdalnych atakujących. Atakujący mogą spowodować awarię usługi (crash) lub potencjalnie wykonać dowolny kod, wysyłając spreparowane parametry DNS w komunikacie ogłoszenia routera.
EGroupware Enterprise Line przed wersją 1.1.20140505, EGroupware Community Edition przed wersją 1.8.007.20140506 oraz EGroupware przed wersją 14.1 beta umożliwiają zdalnym, uwierzytelnionym administratorom wykonanie dowolnego kodu PHP poprzez spreparowane wartości callback do funkcji call_user_func PHP.
Metoda from_yaml w pliku serializers.py w Django Tastypie przed wersją 0.9.10 nieprawidłowo deserializuje dane YAML, co pozwala zdalnym atakującym na wykonanie dowolnego kodu Python.
W pliku emitters.py w Django Piston przed wersją 0.2.3 oraz w wersji 0.2.x przed 0.2.2.1 występuje problem z deserializacją danych YAML, co umożliwia zdalnym atakującym wykonanie dowolnego kodu Python.
W podatności CVE-2014-5520 w systemie XRMS CRM, prawdopodobnie w wersji 1.99.2, występuje luka typu SQL injection. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr user_id w pliku plugins/webform/new-form.php, który nie jest odpowiednio obsługiwany przez plugins/useradmin/fingeruser.php.
F5 BIG-IP Analytics w wersjach 11.x przed 11.4.0 wykorzystuje przewidywalne ciasteczko sesyjne, co ułatwia zdalnym atakującym zgadywanie jego wartości.
Podatność na przejście do katalogu w serwlecie agentUpload w ZOHO ManageEngine EventLog Analyzer 9.0 build 9002 oraz 8.2 build 8020 pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez przesłanie pliku ZIP zawierającego plik wykonywalny z sekwencjami .. (kropka kropka) w nazwie.
W podatności CVE-2013-1641 występuje luka w funkcjonalności pobierania plików ZIP w QuiXplorer przed wersją 2.5.5, która umożliwia atakującym zdalnym odczyt dowolnych plików poprzez wykorzystanie ataku typu directory traversal.
Funkcja shell_quote w python-gnupg 0.3.5 nieprawidłowo cytuje ciągi, co pozwala atakującym na wykonanie dowolnego kodu za pomocą metaznaków powłoki w nieokreślonych wektorach.
Funkcja Zdalne Sterowanie na urządzeniach mobilnych Samsung nie weryfikuje źródła danych kodu blokady otrzymywanych przez sieć, co ułatwia zdalnym atakującym spowodowanie odmowy usługi (blokada ekranu za pomocą dowolnego kodu) poprzez wywołanie nieoczekiwanego ruchu sieciowego Find My Mobile.
W pliku displayServiceStatus.php w Centreon 2.5.1 i Centreon Enterprise Server 2.2 (naprawione w Centreon web 2.5.3) istnieje luka, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń za pomocą metaznaków powłoki w parametrach session_id lub template_id, związanych z zmienną command_line.
W Centreon 2.5.1 i Centreon Enterprise Server 2.2 występuje wiele podatności na wstrzykiwanie SQL, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL. Problemy te zostały naprawione w wersji Centreon web 2.5.3.
Rozszerzenie Calendar Base (cal) w wersjach przed 1.5.9 oraz 1.6.x przed 1.6.1 dla TYPO3 umożliwia zdalnym atakującym spowodowanie odmowy usługi (zużycie zasobów) poprzez wektory związane z biblioteką PHP PCRE.
Podatność CVE-2014-6352 dotyczy systemów Microsoft Windows, w tym Vista, Server 2008, 7, 8, 8.1 oraz RT. Umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany obiekt OLE, co zostało wykorzystane w praktyce w październiku 2014 roku za pomocą spreparowanego dokumentu PowerPoint.
Nieokreślona podatność w Shim może pozwolić atakującym na wykonanie dowolnego kodu poprzez spreparowaną listę MOK, co prowadzi do uszkodzenia pamięci.
W podatności CVE-2014-3676 występuje przepełnienie bufora w stercie w Shim, które umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany adres IPv6, związany z opcją rozruchową 'tftp:// DHCPv6'.
Podatność typu directory traversal w ZOHO ManageEngine Desktop Central (DC) przed wersją 9 build 90055 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez wykorzystanie parametru fileName z sekwencją .. (kropka kropka) w mdm/mdmLogUploader.
Podatność typu directory traversal w ZOHO ManageEngine Desktop Central przed wersją 9 build 90055 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez wykorzystanie parametru fileName z sekwencją .. (kropka kropka) w akcji LFU do statusUpdate.
Nieokreślona podatność w interfejsie zarządzania w Citrix NetScaler Application Delivery Controller (ADC) oraz NetScaler Gateway 10.x przed wersją 10.1-129.11 i 10.5 przed wersją 10.5-50.10 umożliwia zdalnym atakującym wykonanie dowolnego kodu za pomocą nieznanych wektorów.