Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.07.24)
Interfejs webowy kontrolera RAID firmy Broadcom jest podatny na niewłaściwe zarządzanie sesjami aktywnymi w konfiguracji bramy.
COMFAST CF-XR11 w wersji V2.7.2 posiada podatność na wstrzykiwanie poleceń, wykrytą w funkcji sub_4143F0. Atakujący mogą wysyłać wiadomości POST do /usr/bin/webmgnt i wstrzykiwać polecenia do parametru timestr.
Wersja 2.7.2 urządzenia COMFAST CF-XR11 zawiera lukę, która pozwala atakującemu na wykonanie dowolnego kodu poprzez parametry ifname i mac w funkcji sub_410074 w pliku bin/webmgnt.
Wersja 2.7.2 urządzenia COMFAST CF-XR11 zawiera lukę, która pozwala atakującemu na wykonanie dowolnego kodu poprzez parametr destination funkcji sub_431F64 w pliku bin/webmgnt.
W urządzeniu Wavlink WL_WNJ575A3 w wersji R75A3_V1410_220513 występuje problem, który pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez parametr nazwy użytkownika w funkcji set_sys_adm w pliku adm.cgi.
Wersje llama_index do 0.7.13 zawierają lukę, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez parametr `exec` w funkcji PandasQueryEngine.
W wersjach pandas-ai do 0.9.1 występuje problem, który pozwala zdalnemu atakującemu na wykonanie dowolnego kodu za pomocą funkcji _is_jailbreak.
Wersje langchain langchain-ai do 0.0.232 zawierają lukę, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez spreparowany skrypt w komponencie PythonAstREPLTool._run.
Podatność na przesyłanie plików w Wolf-leo EasyAdmin8 w wersji 1.0 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez funkcję typu przesyłania.
Wersje Harrison Chase langchain do 0.0.194 zawierają lukę, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu za pomocą funkcji from_math_prompt i from_colored_object_prompt.
W wersjach Alluxio do 2.9.3 występuje problem, który umożliwia atakującemu wykonanie dowolnego kodu poprzez spreparowany skrypt przekazywany do parametru username w metodzie lluxio.util.CommonUtils.getUnixGroups(java.lang.String).
Wersja 0.0.231 LangChain zawiera lukę, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez parametr prompt.
W podatności CVE-2023-35082 w Ivanti EPMM 11.10 i starszych wersjach, występuje możliwość ominięcia uwierzytelnienia, co pozwala nieautoryzowanym użytkownikom uzyskać dostęp do zastrzeżonej funkcjonalności lub zasobów aplikacji bez odpowiedniego uwierzytelnienia.
PrivateUploader to serwer hostingu obrazów, który w dotkniętych wersjach nieprawidłowo weryfikował, czy użytkownik jest administratorem lub moderatorem. To prowadziło do przetwarzania żądań, mimo że odpowiedź wskazywała na brak uprawnień.
Wtyczka User Activity Log dla WordPressa w wersjach przed 1.6.5 nieprawidłowo sanitizuje i ucieka kilka parametrów przed ich użyciem w zapytaniu SQL w ramach funkcji eksportu, co umożliwia nieautoryzowanym atakującym przeprowadzenie ataków typu SQL injection.
Zidentyfikowano podatność typu Command Injection w kontrolerze MiVoice Office 400 SMB w wersji do 1.2.5.23, która może umożliwić złośliwemu aktorowi wykonanie dowolnych poleceń w kontekście systemu.
Zidentyfikowano podatność typu SQL Injection w kontrolerze MiVoice Office 400 SMB w wersji do 1.2.5.23, która może umożliwić złośliwemu aktorowi dostęp do wrażliwych informacji oraz wykonywanie dowolnych operacji na bazie danych i zarządzaniu.
xterm w wersji przed 380 obsługuje raportowanie ReGIS dla nazw zestawów znaków, nawet jeśli zawierają one nieoczekiwane znaki (tj. niealfanumeryczne lub podkreślenia), co prowadzi do problemu z wskaźnikiem/przepełnieniem. Problem ten występuje tylko w instalacjach xterm skonfigurowanych podczas kompilacji do używania określonej eksperymentalnej funkcji.
W repozytorium GitHub radareorg/radare2 przed wersją 5.9.0 występuje podatność typu przepełnienie bufora w stercie.
Podatność polegająca na odczycie pamięci poza dozwolonym zakresem w ONLYOFFICE DocumentServer w wersjach od 4.0.3 do 7.3.2. Zdalny atakujący może wykorzystać spreparowany plik JavaScript do wykonania dowolnego kodu.