Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W jądrze Linuxa w serwerze ksmbd naprawiono podatność typu slab-use-after-free w funkcji smb3_preauth_hash_rsp. Wywołanie ksmbd_user_session_put powinno być wykonane w obrębie smb3_preauth_hash_rsp, aby uniknąć zwolnienia sesji przed jej użyciem.
W jądrze Linux naprawiono podatność w sterowniku Vertexcom MSE102x, która mogła prowadzić do podwójnego zwolnienia bufora skb (TX skb). Problem występował, gdy konieczne było powiększenie bufora TX skb — zwalniano oryginalny bufor zamiast tymczasowego, co skutkowało ponownym zwolnieniem w funkcji mse102x_tx_work() i awarią systemu.
W jądrze Linux w systemie plików btrfs podczas aktualizacji opóźnionej referencji lista referencji nie jest ponownie inicjalizowana po usunięciu jej elementu, co może prowadzić do nieprawidłowego dostępu do pamięci i awarii systemu.
Harden-Runner od StepSecurity, używany do filtrowania ruchu sieciowego i zabezpieczeń w czasie rzeczywistym dla runnerów hostowanych na GitHubie oraz samodzielnych, zawiera wiele słabości związanych z wstrzykiwaniem poleceń w wersjach przed v2.10.2. Wersja 2.10.2 zawiera poprawkę eliminującą te podatności.
W podatności CVE-2024-52418 występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Gameplan od n/a do 1.5.10 włącznie.
Podatność typu Cross-site Scripting (XSS) w wtyczce BoldThemes ReConstruction pozwala na odzwierciedlone ataki XSS. Problem dotyczy wersji ReConstruction od n/a do 1.4.7 włącznie.
W wersji 8.2.0 AVSCMS odkryto słabe domyślne dane logowania dla konta Administratora. To może umożliwić nieautoryzowany dostęp do systemu.
Podatność w produkcie Oracle Agile PLM Framework (komponent Software Development Kit, Process Extension) w wersji 9.3.6. Łatwo wykorzystywalna podatność pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez HTTP uzyskać nieautoryzowany dostęp do krytycznych danych lub wszystkich danych dostępnych w Oracle Agile PLM Framework.
Repozytorium WesHacks na GitHubie udostępnia oficjalny kod źródłowy strony konkursowej Hackathonu Muweilah Wesgreen. Strona `schedule.html` przed 17 listopada 2024 roku zawierała linki do `Leostop`, strony hostującej złośliwy plik JavaScript, który był uruchamiany podczas działania bootstrap oraz jQuery.
Wersja 8.2.0 AVSCMS zawiera podatność umożliwiającą przesyłanie dowolnych plików poprzez komponent /main/fileupload.php, co pozwala atakującym na wykonanie dowolnego kodu poprzez przesłanie odpowiednio przygotowanego pliku.
W podatności o nazwie Insecure Permissions w Micro-star International MSI Center Pro 2.1.37.0, lokalny atakujący może wykonać dowolny kod poprzez plik Device_DeviceID.dat.bak znajdujący się w folderze C:\ProgramData\MSI\One Dragon Center\Data.
W usłudze wssrvc.exe programu QuickHeal Antivirus Pro w wersji v24.0 oraz Quick Heal Total Security w wersji v24.0 występuje problem, który pozwala uwierzytelnionym atakującym na eskalację uprawnień.
Cobbler, serwer instalacyjny Linux, ma lukę w autoryzacji, która występuje od wersji 3.0.0 do 3.2.2 oraz 3.3.6. Funkcja `utils.get_shared_secret()` zawsze zwraca `-1`, co pozwala każdemu na połączenie się z XML-RPC Cobblera jako użytkownik `''` z hasłem `-1` i wprowadzenie dowolnych zmian.
Podatność na podniesienie uprawnień w oprogramowaniu PAN-OS firmy Palo Alto Networks umożliwia administratorowi PAN-OS z dostępem do interfejsu zarządzania przez przeglądarkę wykonywanie działań na zaporze z uprawnieniami roota. Cloud NGFW i Prisma Access nie są dotknięte tą podatnością.
W podatności CVE-2024-52424 występuje atak typu Cross-Site Request Forgery (CSRF) w wtyczce wp-login customizer, który umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji wtyczki od n/a do 1.0 włącznie.
Podatność polegająca na obejściu uwierzytelniania w oprogramowaniu PAN-OS firmy Palo Alto Networks umożliwia nieuwierzytelnionemu atakującemu z dostępem sieciowym do interfejsu zarządzania uzyskanie uprawnień administratora PAN-OS. Dotyczy wersji PAN-OS 10.2, 11.0, 11.1 i 11.2. Ryzyko można zmniejszyć poprzez ograniczenie dostępu do interfejsu zarządzania do zaufanych adresów IP.
Wiele produktów Cisco jest podatnych na lukę w dekoderze ramek Ethernet w silniku detekcji Snort, która może pozwolić nieautoryzowanemu, sąsiedniemu atakującemu na spowodowanie stanu odmowy usługi (DoS). Luka ta wynika z niewłaściwego przetwarzania warunków błędów podczas obsługi ramek Ethernet.
W podatności CVE-2024-52436 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do ataku typu Blind SQL Injection w wtyczce Post SMTP autorstwa Saada Iqbala. Problem dotyczy wersji Post SMTP od n/a do 2.9.9 włącznie.
W podatności CVE-2024-52435 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Shahjada WPDM – Premium Packages. Problem dotyczy wersji WPDM – Premium Packages od n/a do 6.0.5 włącznie.
Podatność CVE-2024-52434 dotyczy deserializacji niezaufanych danych w wtyczce Popup by Supsystic, co umożliwia wstrzykiwanie poleceń. Problem ten dotyczy wersji wtyczki od n/a do 1.10.29.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS