Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Problem z zarządzaniem plikami cookie został rozwiązany poprzez ulepszone zarządzanie stanem. Przetwarzanie złośliwie spreparowanej treści internetowej może prowadzić do ataku cross-site scripting. Apple wie o raportach, że luka mogła być aktywnie wykorzystywana na komputerach Mac z procesorami Intel.
Problem został rozwiązany poprzez poprawione kontrole. Wystąpienie tej podatności w Safari oraz systemach iOS i macOS mogło prowadzić do wykonania dowolnego kodu przez złośliwie przygotowane treści internetowe.
W routerze Tenda AC6 v2.0 z oprogramowaniem v15.03.06.50 wykryto podatność na przepełnienie bufora w funkcji 'fromSetSysTime'. Atakujący może wykorzystać tę lukę do zdalnego wykonania kodu lub spowodowania awarii urządzenia.
Podatność na przesyłanie plików w Xi'an Daxi Information technology OfficeWeb365 w wersjach 8.6.1.0 i 7.18.23.0 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu za pomocą komponentu pw/savedraw.
W jądrze Linuxa w funkcji decode_getfattr_attrs() w systemie NFS wykryto ostrzeżenie KMSAN o użyciu niezainicjalizowanej wartości. Pole fattr->mdsthreshold nie jest inicjalizowane, co może prowadzić do nieprawidłowego działania.
W jądrze Linux w sterowniku media dvbdev istnieje ryzyko dostępu do pamięci poza zakresem. Brak jawnych sprawdzeń granic w funkcjach dvb_register_device() i dvb_device_open() może prowadzić do problemów z pamięcią, szczególnie gdy konfiguracja nie używa dynamicznych minorów.
W jądrze Linuxa w sterowniku s5p-jpeg (dla sprzętowego kodera JPEG) brakowało odpowiednich sprawdzeń, co mogło prowadzić do przepełnienia bufora (buffer overflow), gdy wartość 'word' była mniejsza niż 2. Poprawka dodaje dodatkowe sprawdzenia, aby temu zapobiec.
W jądrze Linuxa zidentyfikowano podatność w module iwlwifi, która dotyczy obsługi odpowiedzi w funkcji iwl_mvm_send_recovery_cmd(). Problem polega na braku walidacji rozmiaru pakietu odpowiedzi oraz na tym, że bufor odpowiedzi nie jest zwalniany.
W jądrze Linux w sterowniku sieciowym stmmac wykryto podatność związaną z niezbalansowanym mapowaniem/odmapowywaniem DMA dla danych niebędących stronami (non-paged) w kontekście TSO. Błędne przypisanie adresu bufora DMA do niewłaściwego elementu tablicy tx_skbuff_dma powoduje przedwczesne odmapowanie bufora, zanim sprzęt DMA zakończy jego użycie. Może to prowadzić do transmisji uszkodzonych danych lub błędów IOMMU.
W jądrze systemu Linux zidentyfikowano podatność w funkcji qdisc_tree_reduce_backlog, która może prowadzić do użycia wskaźnika po zwolnieniu (UAF) w przypadku nieprawidłowego założenia dotyczącego qdisc z głównym uchwytem ffff:. Problem ten został rozwiązany w aktualizacji.
W jądrze Linuxa, w sterowniku DRM dla MediaTek, naprawiono potencjalną dereferencję pustego wskaźnika w funkcji mtk_crtc_destroy(). Jeśli wywołanie mbox_request_channel() nie powiedzie się, wskaźnik cmdq_client.chan jest ustawiany na NULL, a cmdq_pkt_create() nie jest wywoływane. Podczas czyszczenia należy sprawdzić, czy wskaźnik nie jest NULL, zanim wywoła się cmdq_pkt_destroy(), aby uniknąć dereferencji pustego wskaźnika.
Versa Director domyślnie używa wspólnego hasła dla wszystkich instancji PostgreSQL i konfiguruje bazę danych tak, aby nasłuchiwała na wszystkich interfejsach sieciowych. Pozwala to nieuwierzytelnionemu atakującemu uzyskać dostęp do bazy danych, administrować nią lub odczytać lokalne pliki systemowe, co może prowadzić do eskalacji uprawnień.
Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce wp-buy WP Popup Window Maker easy-popup-lightbox-maker umożliwia wykonanie ataku typu Stored XSS. Problem dotyczy wersji WP Popup Window Maker od n/a do 2.0 włącznie.
Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Exclusive Content Password Protect umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem dotyczy wersji wtyczki od n/a do 1.1.0 włącznie.
Podatność typu Cross-Site Request Forgery (CSRF) w HuangYe WuDeng Hacklog DownloadManager umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem dotyczy wersji Hacklog DownloadManager od n/a do 2.1.4 włącznie.
W podatności CVE-2024-52388 występuje problem Cross-Site Request Forgery (CSRF) w bibliotece hebrewdates, który umożliwia przeprowadzenie ataku Stored XSS. Dotyczy to wersji hebrewdates od n/a do 2.1.0.
Wtyczka Woopy Plugins SmartLink Dynamic URLs w wersjach od n/a do 1.1.0 zawiera podatność typu Cross-Site Request Forgery (CSRF), która umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy funkcjonalności smartlink-dinamic-urls.
Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce litefeel Flash Show And Hide Box umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji wtyczki od n/a do 1.6 włącznie.
Podatność typu Cross-Site Request Forgery (CSRF) w microkid Custom Author URL author-slug umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji Custom Author URL od n/a do 2.0.1 włącznie.
W podatności CVE-2024-51654 występuje problem Cross-Site Request Forgery (CSRF) w aplikacji Eric Allen APK Downloader, który umożliwia przeprowadzenie ataku Stored XSS. Dotyczy to wersji APK Downloader od n/a do 1.0.0 włącznie.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS