Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.18)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Nieokreślona podatność w serwerze automatyzacji w IBM Security AppScan Source w wersjach 8 do 9.0.0.1 umożliwia lokalnym użytkownikom uzyskanie uprawnień poprzez wykonanie odpowiednio przygotowanej usługi.
Nieokreślona podatność w IBM Java Virtual Machine, używanej w IBM WebSphere Real Time 3 przed Service Refresh 7 FP1 oraz innych produktach, umożliwia zdalnym atakującym uzyskanie uprawnień poprzez wykorzystanie możliwości wykonywania kodu w kontekście menedżera bezpieczeństwa.
Moduł EnergyWise w Cisco IOS w wersjach 12.2, 15.0, 15.1, 15.2 i 15.4 oraz IOS XE w wersjach 3.2.xXO, 3.3.xSG, 3.4.xSG i 3.5.xE przed 3.5.3E pozwala zdalnym atakującym na spowodowanie odmowy usługi (przeładowanie urządzenia) poprzez spreparowany pakiet IPv4.
Biblioteka GPT w aplikacji Telegyr 8979 Master Protocol w SUBNET SubSTATION Server 2 przed wersją SSNET 2.12 HF18808 pozwala zdalnym atakującym na spowodowanie odmowy usługi (trwały awaria usługi) poprzez długą wiadomość RTU-do-Master.
Serwer w Cisco Unity Connection w wersjach 9.1(1) i 9.1(2) pozwala zdalnym uwierzytelnionym użytkownikom na uzyskanie dostępu uprzywilejowanego poprzez przeprowadzenie ataku 'HTTP Intercept' oraz wykorzystanie możliwości odczytu plików w kontekście konta użytkownika serwera WWW.
Unity w wersjach przed 7.2.3 oraz 7.3.x przed 7.3.1, używany w Ubuntu, nieprawidłowo przejmuje fokus klawiatury podczas przełączania na ekran blokady. Umożliwia to atakującym w pobliżu ominięcie ekranu blokady.
Podatność na wstrzykiwanie SQL w pliku admin/admin.php w Sphider 1.3.6 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru filter.
Wtyczka Lead Octopus dla WordPress zawiera podatność na wstrzykiwanie SQL w pliku lib/optin/optin_page.php, co pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr id.
Podatność typu directory traversal w Admin Center dla Tivoli Storage Manager (TSM) w Rocket ServerGraph 1.2 umożliwia zdalnym atakującym tworzenie, wykonywanie, odczytywanie oraz usuwanie dowolnych plików poprzez manipulację parametrami zapytania.
Wielokrotne podatności na wstrzykiwanie SQL w TeamPass przed wersją 2.1.20 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez różne parametry w plikach PHP.
TeamPass w wersjach przed 2.1.20 pozwala zdalnym atakującym na obejście ograniczeń dostępu poprzez wysłanie żądania do index.php, a następnie bezpośrednie żądanie do pliku, który wywołuje funkcję session_start przed sprawdzeniem klucza CPM.
TeamPass przed wersją 2.1.20 pozwala zdalnym atakującym na obejście ograniczeń dostępu poprzez ścieżkę pliku językowego w żądaniu do index.php lub w żądaniu 'change_user_language' do sources/main.queries.php.
Skrypt 'runshellscript echo.sh' w Splunk przed wersją 5.0.5 pozwala zdalnym uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń za pomocą spreparowanego ciągu.
W podatności CVE-2013-6771 w skrypcie collect w Splunk przed wersją 5.0.5 występuje luka związana z przechodzeniem do katalogów, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń poprzez wykorzystanie parametru pliku z sekwencją .. (kropka kropka).
Nieokreślona podatność w wtyczce All Video Gallery (all-video-gallery) przed wersją 1.2.0 dla WordPressa może prowadzić do nieokreślonego wpływu i wektorów ataku.
W podatności CVE-2014-5089 występuje luka typu SQL injection w pliku admin/options/logs.php w Status2k, która pozwala zdalnym, uwierzytelnionym administratorom na wykonywanie dowolnych poleceń SQL poprzez parametr log.
W Sphider 1.3.6 i wcześniejszych wersjach, Sphider Pro oraz Sphider-plus występują wielokrotne podatności na wstrzykiwanie SQL w pliku admin/admin.php. Atakujący zdalnie mogą wykonywać dowolne polecenia SQL poprzez parametry (1) site_id lub (2) url.
Demon usług nazw NetBIOS (nmbd) w Samba w wersjach 4.0.x przed 4.0.21 oraz 4.1.x przed 4.1.11 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez nieokreślone wektory, które modyfikują pamięć sterty.
W wersjach ctdb przed 2.3 w OpenSUSE 12.3 i 13.1 nie tworzono tymczasowych plików w sposób bezpieczny, co prowadzi do nieokreślonego wpływu związane z 'kilkoma podatnościami na pliki tymczasowe'.
W telefonie VoIP Yealink SIP-T38G, w pliku cgi-bin/cgiServer.exx, zdalni uwierzytelnieni użytkownicy mogą wykonywać dowolne polecenia poprzez wywołanie metody systemowej w treści żądania. Przykłady obejmują uruchamianie nieautoryzowanych usług, zmianę uprawnień katalogów oraz modyfikację plików.