Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.18)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wielokrotne podatności na wstrzykiwanie SQL w NICE Recording eXpress (znanym również jako Cybertech eXpress) w wersji 6.5.7 i wcześniejszych umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą nieokreślonych wektorów.
W metodzie StartEpa w kontrolce ActiveX nsepacom (nsepa.exe) wtyczki Citrix Access Gateway Enterprise Edition dla systemu Windows występuje przepełnienie bufora oparte na stercie. Atakujący zdalnie mogą wykonać dowolny kod, wysyłając długi nagłówek odpowiedzi HTTP CSEC.
Wielokrotne przepełnienia bufora w stercie w przełącznikach Huawei Campus Series S3700HI, S5700, S6700, S3300HI, S5300, S6300, S9300, S7700 oraz LSW S9700 z oprogramowaniem V200R001 przed V200R001SPH013, V200R002 przed V200R002SPH005, V200R003 przed V200R003SPH005 oraz V200R005 przed V200R005C00SPC300 mogą umożliwić zdalnym atakującym spowodowanie odmowy usługi (restart urządzenia) poprzez spreparowane pole długości w pakiecie.
JUST Online Update firmy JustSystems, używany w Ichitaro do 2014 roku oraz innych produktach, nieprawidłowo weryfikuje podpisy modułów aktualizacyjnych. To umożliwia zdalnym atakującym podszywanie się pod moduły i wykonywanie dowolnego kodu za pomocą spreparowanego podpisu.
Wersje Cisco IOS XR od 4.1.2 do 5.1.1 na urządzeniach ASR 9000, przy użyciu karty linii opartej na Trident, umożliwiają zdalnym atakującym spowodowanie odmowy usługi poprzez wadliwie sformatowane pakiety IPv6.
W Kolibri 2.0 występuje przepełnienie bufora na stosie, które pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez długi URI w żądaniu GET.
Urządzenia zapory sieciowej Juniper Networks NetScreen z systemem ScreenOS przed wersją 6.3r17, skonfigurowane do używania wewnętrznego klienta DNS, są podatne na ataki zdalne. Atakujący mogą spowodować awarię i ponowne uruchomienie urządzenia, wysyłając sekwencję źle sformatowanych pakietów do adresu IP urządzenia.
Nieokreślona podatność w produktach zapory sieciowej Juniper Networks NetScreen z ScreenOS przed wersją 6.3r17, gdy skonfigurowane do używania wewnętrznego klienta DNS, umożliwia zdalnym atakującym spowodowanie odmowy usługi (awaria i ponowne uruchomienie) poprzez wektory związane z zapytaniem DNS.
Usługa SOAP av-centerd w AlienVault OSSIM przed wersją 4.7.0 pozwala zdalnym atakującym na wykonywanie dowolnych poleceń poprzez spreparowane żądania (1) get_license, (2) get_log_line lub (3) update_system/upgrade_pro_web.
Usługa SOAP av-centerd w AlienVault OSSIM przed wersją 4.7.0 pozwala zdalnym atakującym na wykonywanie dowolnych poleceń poprzez spreparowane żądania dotyczące aktualizacji informacji o systemie, zadań ossec, ustawień admin_ip oraz framework_ip.
Wielokrotne podatności na wstrzykiwanie SQL w komponencie przeglądarki plików (we_fs.php) w webEdition CMS przed wersją 6.2.7-s1.2 oraz 6.3.x do 6.3.8 przed -s1 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametrów (1) table lub (2) order.
Sharetronix w wersjach 3.1.1.3, 3.1.1 i wcześniejszych nie ogranicza prawidłowo dostępu do nieokreślonej funkcjonalności AJAX, co pozwala zdalnym atakującym na obejście uwierzytelnienia.
W OpenAL32.dll w JOAL 2.0-rc11 występuje wiele nieokreślonych podatności, które mogą pozwolić atakującym na wykonanie dowolnego kodu poprzez odpowiednio przygotowane parametry w różnych funkcjach.
W paintlib, używanym w Trimble SketchUp przed wersją 8 Maintenance 3, występuje przepełnienie bufora oparte na stercie, które pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez spreparowany skompresowany BMP w formacie RLE8.
W Kolibri 2.0 występuje przepełnienie bufora na stosie, które pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez długi URI w żądaniu HEAD.
W podatności CVE-2014-4034 występuje luka typu SQL injection w pliku zero_view_article.php w ZeroCMS 1.0, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr article_id.
Serwlet userRequest w Centrum Administracyjnym Tivoli Storage Manager w Rocket Servergraph umożliwia zdalnym atakującym wykonywanie dowolnych poleceń poprzez różne komendy, takie jak auth, add czy runAsync.
Menadżer urządzeń Samsung iPOLiS przed wersją 1.8.7 pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez nieokreślone wartości w metodach ActiveX, takich jak Start, ChangeControlLocalName, DeleteDeviceProfile czy FrameAdvanceReader.
Funkcja Dispatch_Write w DirectFB 1.4.4 umożliwia zdalnym atakującym spowodowanie awarii systemu oraz potencjalne wykonanie dowolnego kodu poprzez interfejs Voodoo, co prowadzi do zapisu poza przydzielonym obszarem pamięci.
Wielokrotne błędy związane z podpisywaniem liczb całkowitych w funkcji Dispatch_Write w DirectFB 1.4.13 mogą umożliwić zdalnym atakującym spowodowanie awarii (denial of service) oraz potencjalne wykonanie dowolnego kodu poprzez interfejs Voodoo, co prowadzi do przepełnienia bufora na stosie.