Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.18)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Router Shenzhen Tenda Technology Tenda A5s z firmware 3.02.05_CN pozwala zdalnym atakującym na ominięcie uwierzytelnienia i uzyskanie dostępu administracyjnego poprzez ustawienie ciasteczka admin:language na zh-cn.
Wielokrotne podatności na wstrzykiwanie SQL w Free Reprintables ArticleFR 3.0.4 i wcześniejszych wersjach umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id w akcjach (1) get lub (2) set w pliku rate.php.
Wielokrotne podatności na wstrzykiwanie SQL w Bank Soft Systems (BSS) RBS BS-Client 3.17.9 pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametry (1) CARDS lub (2) XACTION.
Nieokreślona podatność w Apache Traffic Server w wersjach 3.x do 3.2.5, 4.x przed 4.2.1.1 oraz 5.x przed 5.0.1. Podatność ta może być związana z kontrolami stanu, jednak jej wpływ i wektory ataku są nieznane.
IBM WebSphere Application Server (WAS) w wersjach 8.0.x przed 8.0.0.10 oraz 8.5.x przed 8.5.5.3, przy włączonym Load Balancer dla IPv4 Dispatcher, umożliwia zdalnym atakującym spowodowanie awarii usługi (crash Load Balancera) poprzez nieokreślone wektory.
Usługa SOAP av-centerd w AlienVault OSSIM przed wersją 4.7.0 pozwala zdalnym atakującym na wykonywanie dowolnych poleceń poprzez spreparowane żądania remote_task lub get_license.
W podatności CVE-2014-5159 występuje luka typu SQL injection w usłudze ossim-framework w AlienVault OSSIM przed wersją 4.6.0. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru ws_data.
Usługa SOAP av-centerd oraz polecenie backup w usłudze ossim-framework w AlienVault OSSIM przed wersją 4.6.0 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń za pomocą nieokreślonych wektorów.
EMC Documentum Content Server przed wersją 6.7 SP2 P16 oraz 7.x przed wersją 7.1 P07 pozwala zdalnym uwierzytelnionym użytkownikom na uzyskanie uprawnień poprzez utworzenie obiektu systemowego.
W Active Record w Ruby on Rails w wersjach 4.0.x przed 4.0.9 oraz 4.1.x przed 4.1.5 występuje podatność, która pozwala zdalnym atakującym na obejście mechanizmu ochrony silnych parametrów poprzez odpowiednio przygotowane dane wejściowe w aplikacji wykorzystującej wywołania create_with.
EMC Documentum D2 w wersjach 3.1 przed P24, 3.1SP1 przed P02, 4.0 przed P11, 4.1 przed P16 oraz 4.2 przed P05 nie ogranicza prawidłowo biletów dostarczanych przez metody D2GetAdminTicketMethod i D2RefreshCacheMethod. Umożliwia to zdalnym uwierzytelnionym użytkownikom uzyskanie uprawnień poprzez żądanie biletu superużytkownika.
RESTEasy w wersjach 2.3.1 przed 2.3.8.SP2 oraz 3.x przed 3.0.9, używany w Red Hat JBoss EAP 6.3.0, nie wyłącza zewnętrznych encji, gdy parametr resteasy.document.expand.entity.references jest ustawiony na false. To pozwala zdalnym atakującym na odczyt dowolnych plików oraz wywołanie innych nieokreślonych skutków związanych z problemem XML External Entity (XXE).
Podatność na wstrzykiwanie SQL w OSK Advance-Flow 4.41 i wcześniejszych oraz Advance-Flow Forms 4.41 i wcześniejszych pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL za pomocą nieokreślonych wektorów.
Funkcja do_remount w jądrze Linux do wersji 3.16.1 nie utrzymuje bitu MNT_LOCK_READONLY podczas ponownego montowania montażu powiązanego, co pozwala lokalnym użytkownikom na obejście zamierzonego ograniczenia tylko do odczytu.
W pliku wp-includes/class-wp-customize-widgets.php w implementacji widgetów w WordPressie 3.9.x przed wersją 3.9.2 może wystąpić podatność, która pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez odpowiednio przygotowane dane zserializowane.
Urządzenia CPU Siemens SIMATIC S7-1500 z firmware przed wersją 1.6 są podatne na ataki zdalne, które mogą prowadzić do odmowy usługi poprzez wysyłanie spreparowanych pakietów TCP, co skutkuje restartem urządzenia oraz przejściem w stan STOP.
W systemie IBM GCM16 i GCM32 Global Console Manager, w wersjach oprogramowania przed 1.20.20.23447, plik systest.php pozwala zdalnym uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń za pomocą metaznaków powłoki w parametrze lpres.
IBM InfoSphere Master Data Management - Collaborative Edition w wersjach 10.x przed 10.1-FP11 oraz 11.x przed 11.0-FP5, a także InfoSphere Master Data Management Server dla Product Information Management w wersjach 9.x przed 9.1-FP15 oraz 10.x i 11.x przed 11.3-IF2, umożliwiają lokalnym użytkownikom uzyskanie uprawnień administratora poprzez nieokreślone wektory.
Narzędzie aktualizacji terminala w sprzęcie Pilot Below Deck Equipment (BDE) oraz implementacjach OpenPort na terminalach satelitarnych Iridium umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez przesyłanie nowego oprogramowania do portu TCP 54321.
Implementacje Pilot Below Deck Equipment (BDE) oraz OpenPort w terminalach satelitarnych Iridium umożliwiają zdalnym atakującym odczytanie zakodowanych na stałe poświadczeń za pośrednictwem interfejsu webowego.