Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.08.31)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność w komponencie RDBMS Oracle Database Server pozwala atakującemu z niskimi uprawnieniami (Authenticated User), mając dostęp sieciowy przez Oracle Net, na przejęcie bazy danych. Nie wymaga interakcji użytkownika.
Podatność w Oracle Hospitality Simphony (komponent POS) umożliwia nieuwierzytelnionemu atakującemu przez HTTP uzyskać dostęp do wszystkich danych systemu. Eksploatacja jest łatwa.
Podatność w produkcie Oracle Hospitality Simphony z rodziny Oracle Food and Beverage Applications (komponent: POS). Dotknięte wersje to 19.8-19.8.5, 19.9-19.9.3 i 19.10. Trudna do wykorzystania luka umożliwia nieuwierzytelnionemu atakującemu z dostępem sieciowym przez HTTP przejęcie kontroli nad Oracle Hospitality Simphony.
Podatność w Oracle Hospitality Simphony (komponent POS) pozwala nieuwierzytelnionemu atakującemu na dostęp do krytycznych danych przez HTTP. Atak nie wpływa na inne produkty.
Podatność w MySQL Server i MySQL Cluster (komponent: Server: Group Replication Plugin) pozwala nieuwierzytelnionemu atakującemu z lokalnym dostępem na przejęcie systemu. Dotyczy wielu wersji MySQL Server i MySQL Cluster.
Podatność w produkcie Oracle VM VirtualBox (komponent: Core). Atakujący z wysokimi uprawnieniami i dostępem lokalnym może przejąć kontrolę nad VirtualBox, a atak może wpłynąć na inne produkty. CVSS 7.5.
Podatność w Oracle GoldenGate (komponent: Service Manager) pozwala atakującemu z niskimi uprawnieniami, mając dostęp sieciowy przez HTTP, na przejęcie systemu. Nie wymaga interakcji użytkownika.
Podatność w produkcie Oracle VM VirtualBox (komponent: Core). Atakujący z wysokimi uprawnieniami i dostępem lokalnym może przejąć kontrolę nad VirtualBox, a atak może wpłynąć na inne produkty. CVSS 7.5.
Podatność w produkcie Oracle WebLogic Server z pakietu Oracle Fusion Middleware (komponent: Console) w wersjach 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 i 15.1.1.0.0. Łatwo wykorzystywalna luka umożliwia atakującemu z wysokimi uprawnieniami i dostępem sieciowym przez HTTPS przejęcie kontroli nad Oracle WebLogic Server. CVSS 7.2.
Podatność w Oracle VM VirtualBox 7.2.12 umożliwia lokalnemu atakującemu z niskimi uprawnieniami przejęcie kontroli nad maszyną wirtualną. Atak jest łatwy do przeprowadzenia i wymaga jedynie logowania do systemu, na którym działa VirtualBox.
Podatność w produkcie Oracle Workflow (komponent: Workflow Notification Mailer) w wersjach 12.2.3-12.2.15. Łatwa do wykorzystania luka umożliwia nieuwierzytelnionemu atakującemu z dostępem sieciowym przez HTTP modyfikację, odczyt i częściowe blokowanie danych.
W Netty przed wersją 4.2.16.Final, Http3FrameCodec buforuje przychodzące dane dla zarezerwowanych typów ramek HTTP/3 bez ograniczeń, ufając polu payLoadLength, co pozwala atakującemu na otwarcie wielu strumieni QUIC i wysłanie ramek z dużymi ładunkami, powodując wyczerpanie pamięci i odmowę usługi.
W Netty do wersji 4.1.135 i 4.2.15 występuje podatność w handlerze SpdyHttpDecoder. Nieprawidłowe zwalnianie pulowanego bufora ByteBuf prowadzi do wyczerpania pamięci natywnej.
Netty, framework aplikacji sieciowych, zawiera podatność w module codec-haproxy w klasie HAProxyMessageDecoder. Podczas odczytu 13. bajtu jako signed byte i rozszerzania go do int bez maskowania, wartość 0xFF jest interpretowana jako -1, co powoduje kolizję z sentinelą oznaczającą potrzebę więcej danych. Prowadzi to do niekontrolowanego gromadzenia danych w buforze cumulation, aż do wyczerpania pamięci bezpośredniej.
Dwa błędy w bibliotece libheif przed wersją 1.22.0 umożliwiają wyciek pamięci sterty jako widoczne wartości pikseli w zdekodowanych obrazach siatki. Atakujący przesyłający spreparowany plik AVIF/HEIC do serwerowego procesora obrazów (WordPress, Sharp/libvips, ImageMagick itp.) może odzyskać dane sterty, w tym wskaźniki funkcji bibliotecznych wystarczające do pokonania ASLR, z publicznie dostępnego wyjścia JPEG/PNG/WebP.
Podatność w Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent: Libraries). Nieuwierzytelniony atakujący przez sieć może naruszyć integralność danych, uzyskując nieautoryzowany dostęp do tworzenia, usuwania lub modyfikacji krytycznych danych.
Podatność w Oracle Java SE (komponent: Scripting). Dotknięte wersje to Oracle Java SE: 8u491, 8u491-perf i 11.0.31. Trudna do wykorzystania luka umożliwia nieuwierzytelnionemu atakującemu z dostępem sieciowym przez wiele protokołów nieautoryzowany dostęp do krytycznych danych oraz ich modyfikację.
Podatność w komponencie Scripting Oracle Java SE umożliwia nieuwierzytelnionemu atakującemu zdalnie spowodowanie zawieszenia lub częstego powtarzalnego crashu (pełne DOS) Oracle Java SE. Atak jest łatwy do przeprowadzenia przez sieć z wykorzystaniem wielu protokołów.
Podatność w Oracle VM VirtualBox w wersji 7.2.12, w komponencie Core. Atakujący z niskimi uprawnieniami i dostępem lokalnym może łatwo przejąć VirtualBox. Podatność dotyczy tylko hostów z systemem Windows.
Podatność w Oracle VM VirtualBox w wersji 7.2.8. Wysokouprzywilejowany atakujący z lokalnym dostępem, wymagający interakcji innej osoby, może modyfikować krytyczne dane oraz spowodować całkowitą odmowę usługi (DOS) poprzez zawieszenie lub częste awarie. Atak może wpływać na inne produkty.