Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.08.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność na trwały cross-site scripting (XSS) w funkcji planowania zadań w WatchGuard Dimension pozwala administratorowi z niskimi uprawnieniami na wstrzyknięcie dowolnego HTML/JavaScript do tych pól, które następnie wykonuje się w sesji przeglądarki każdego innego użytkownika.
Podatność na niedomiar liczby całkowitej w procesie iked systemu WatchGuard Fireware OS umożliwia zdalnemu nieuwierzytelnionemu atakującemu wywołanie stanu Denial of Service (DoS) w przetwarzaniu VPN poprzez wysyłanie specjalnie spreparowanego ruchu sieciowego.
Podatność na przepełnienie bufora na stosie w procesie iked systemu WatchGuard Fireware OS umożliwia zdalnemu nieuwierzytelnionemu atakującemu wywołanie stanu Denial of Service (DoS) w przetwarzaniu VPN poprzez wysyłanie specjalnie spreparowanego ruchu sieciowego.
Podatność odczytu poza zakresem w procesie iked systemu WatchGuard Fireware OS umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wywołanie stanu Denial of Service (DoS) w przetwarzaniu VPN poprzez wysyłanie specjalnie spreparowanego ruchu sieciowego.
Podatność przepełnienia bufora w interfejsie zarządzania WatchGuard Fireware OS pozwala uwierzytelnionemu administratorowi z dostępem sieciowym na wywołanie stanu DoS lub potencjalne wykonanie dowolnego kodu poprzez wysyłanie specjalnie spreparowanego ruchu sieciowego.
W Wazuh w wersjach 4.14.0 do 4.14.6, użytkownik API z niskimi uprawnieniami może odczytać klucz klastra w postaci jawnego tekstu z punktu końcowego konfiguracji, który nie maskuje go. Punkt końcowy GET /cluster/local/config zwraca konfigurację klastra lokalnego węzła, w tym klucz w postaci jawnej, podczas gdy inne punkty końcowe zwracają tę samą wartość zamaskowaną. Każde konto z domyślną rolą readonly lub cluster_readonly, które jest jawnie pozbawione uprawnień update-config, otrzymuje prawdziwy klucz klastra.
Wazuh w wersjach 4.4.0 do 4.14.6 zawiera podatność, która pozwala posiadaczowi klucza klastra na zapisywanie, nadpisywanie lub usuwanie dowolnych plików w katalogu /var/ossec na węzłach roboczych, co może prowadzić do zdalnego wykonania kodu jako root. Problem wynika z niepełnej weryfikacji ścieżek podczas synchronizacji plików klastra. Luka została naprawiona w wersji 4.14.7.
W openNDS przed wersją 11.0.0 skrypt client_params.sh, wywoływany przez demona openNDS do obsługi strony statusu uwierzytelnionego klienta, jest podatny na wstrzykiwanie poleceń systemu operacyjnego poprzez spreparowane klucze parametrów zapytania HTTP GET. Uwierzytelniony użytkownik portalu przechwytującego może wstrzyknąć dowolne polecenia powłoki, osadzając średniki w nazwie parametru zapytania URL.
Podatność przepełnienia bufora na stercie w openNDS przed wersją 11.0.0 pozwala nieuwierzytelnionemu atakującemu w sieci portalu przechwytującego na doprowadzenie do awarii demona openNDS (DoS) oraz potencjalnie do zdalnego wykonania kodu. Problem występuje w pliku http_microhttpd.c.
openNDS przed wersją 11.0.0 jest podatny na nieuwierzytelnione wykonanie poleceń systemu operacyjnego poprzez wstrzykiwanie poleceń powłoki przez parametr fas w punkcie końcowym /opennds_preauth/ z powodu libopennds.sh.
Wiele wycieków pamięci w openNDS przed wersją 11.0.0 pozwala nieuwierzytelnionemu atakującemu w sieci portalu przechwytującego na wyczerpanie całej dostępnej pamięci urządzenia w ciągu kilku minut.
W procesie iked systemu WatchGuard Fireware OS występuje przepełnienie bufora na stosie, które pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu poprzez wysłanie specjalnie spreparowanego ruchu sieciowego.
Podatność odczytu poza zakresem w procesie iked systemu WatchGuard Fireware OS umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wywołanie stanu Denial of Service (DoS) w przetwarzaniu VPN poprzez wysyłanie specjalnie spreparowanego ruchu sieciowego.
Podatność podwójnego zwolnienia pamięci w procesie iked systemu WatchGuard Fireware OS umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wywołanie stanu Denial of Service (DoS) w przetwarzaniu VPN poprzez wysyłanie specjalnie spreparowanego ruchu sieciowego.
W procesie iked systemu WatchGuard Fireware OS występuje podatność typu pomylenie typów (type confusion), która pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu poprzez wysłanie specjalnie spreparowanego ruchu sieciowego.
Podatność niedomiaru liczby całkowitej w procesie iked systemu WatchGuard Fireware OS umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wywołanie stanu Denial of Service (DoS) w przetwarzaniu VPN poprzez wysyłanie specjalnie spreparowanego ruchu sieciowego.
W procesie iked systemu WatchGuard Fireware OS występuje przepełnienie sterty, które pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu poprzez wysłanie specjalnie spreparowanego ruchu sieciowego.
WatchGuard Dimension jest podatny na stan odmowy usługi, gdy atakujący wysyła dużą liczbę pakietów TCP SYN do usługi nasłuchującej logi.
W usłudze epm (Endpoint Protection Manager) używanego przez przestarzałą funkcję Mobile Security w systemie WatchGuard Fireware OS występuje przepełnienie bufora na stosie, które pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu.
W przeglądarce Google Chrome przed wersją 151.0.7922.72 występuje odczyt poza zakresem w silniku V8, co pozwala zdalnemu atakującemu na wykonanie dowolnego kodu w piaskownicy za pomocą spreparowanej strony HTML. (Waga: średnia)