Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność CVE-2024-43233 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w BannerSky BSK Forms Blacklist, co pozwala na ataki typu Reflected XSS. Problem ten dotyczy wersji BSK Forms Blacklist od n/a do 3.8.
Podatność w telefonach SIP Mitel serii 6800, 6900 i 6900w, w tym w jednostce konferencyjnej 6970, do wersji R6.4.0.HF1 (R6.4.0.136) pozwala uwierzytelnionemu atakującemu z uprawnieniami administracyjnymi na przeprowadzenie ataku wstrzyknięcia argumentów z powodu niewystarczającej sanityzacji parametrów podczas procesu rozruchu.
W oprogramowaniu Firewalla Box w wersjach przed 1.979 występuje podatność związana z słabymi poświadczeniami. Atakujący znajdujący się w bliskiej odległości może wykorzystać UUID licencji do uwierzytelnienia i uzyskania poświadczeń SSH przez interfejs Bluetooth Low-Energy (BTLE).
Płyty główne Micro-Star International serii Z (Z590, Z490, Z790) oraz serii B (B760, B560, B660, B460) z firmware 7D25v14, 7D25v17 do 7D25v19 oraz 7D25v1A do 7D25v1H zawierają podatność typu write-what-where w obsłudze SW dla SMI 0xE3. Dotyczy to płyt głównych z chipsetami Intel 300, 400, 500, 600, 700 oraz AMD 300, 400, 500, 600 i 700.
Podatność typu path traversal w produkcie OpenText Directory Services umożliwia atakującemu dostęp do plików poza dozwolonym katalogiem. Dotyczy wersji od 16.4.2 do przed 24.1.
W podatności CVE-2024-6917 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach systemowych, co pozwala na wstrzyknięcie poleceń systemowych w oprogramowaniu Veribilim Software Veribase Order Management przed wersją 4.010.2.
Podatność w llama.cpp związana jest z niebezpiecznym wskaźnikiem `data` w strukturze `rpc_tensor`, co może prowadzić do zapisu w dowolnym adresie pamięci. Problem ten został naprawiony w wersji b3561.
W Zimbra Collaboration (ZCS) 9.0 i 10.0 występuje podatność Cross-Site Scripting (XSS) w funkcji CalendarInvite klasycznego interfejsu webmail. Atakujący może wysłać wiadomość e-mail z spreparowanym nagłówkiem kalendarza zawierającym ładunek XSS, który zostanie wykonany w sesji ofiary.
ThreatSonar Anti-Ransomware od TeamT5 nieprawidłowo weryfikuje zawartość przesyłanych plików. Zdalni atakujący z uprawnieniami administratora na platformie produktu mogą przesyłać złośliwe pliki, które mogą być wykorzystane do wykonania dowolnych poleceń systemowych na serwerze.
W OpenShift AI odkryto podatność, która umożliwia obejście uwierzytelniania oraz eskalację uprawnień pomiędzy modelami w tym samym namespace. Tokeny ServiceAccount są widoczne w interfejsie użytkownika i mogą być wykorzystane do uzyskania dostępu do innych modeli i API.
W podatności CVE-2024-7399 w serwerze Samsung MagicINFO 9 w wersjach przed 21.1050 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co pozwala atakującym na zapis dowolnych plików z uprawnieniami systemowymi.
Podatność CVE-2024-6684 dotyczy panelu inohom Nova N7 i pozwala na obejście uwierzytelniania poprzez alternatywną ścieżkę lub kanał. Problem występuje w wersji 1.9.9.6 i wcześniejszych. Producent potwierdził, że produkt nie jest już wspierany.
W operatorze Remediation dla agentów Fence znaleziono lukę, która umożliwia zdalne wykonanie kodu (RCE) poprzez dostarczenie dowolnej komendy w argumentach --ssh-path/--telnet-path. Użytkownik z niskimi uprawnieniami, na przykład deweloper, może stworzyć specjalnie przygotowanego FenceAgentsRemediation, co pozwala na wykonanie dowolnych komend na podzie operatora.
Dodatek CometVisu do openHAB ma podatność polegającą na braku uwierzytelnienia w punkcie końcowym proxy, co umożliwia ataki SSRF i XSS. Atakujący może wykorzystać proxy do wysyłania żądań GET do wewnętrznych serwerów lub zwracać złośliwy kod JavaScript, który jest wykonywany w kontekście interfejsu CometVisu. Może to prowadzić do zdalnego wykonania kodu (RCE) w połączeniu z innymi podatnościami.
Litestar to framework ASGI, który w wersjach 2.10.0 i wcześniejszych ma podatność w workflow `docs-preview.yml` na wstrzykiwanie zmiennych środowiskowych. Może to prowadzić do wycieku sekretów oraz manipulacji repozytorium.
W komponentach Ueditor w produkcie productinfoquick w wersji 1.0 występuje podatność na przesyłanie dowolnych plików, która umożliwia atakującym wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku PNG.
W wersji 0.29.19 biblioteki izatop bunt odkryto podatność na zanieczyszczenie prototypu w komponencie /esm/qs.js. Ta podatność umożliwia atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi (DoS) poprzez wstrzykiwanie dowolnych właściwości.
W niektórych produktach Sonos przed wersją S1 Release 11.12 i S2 Release 15.9, sterownik bezprzewodowy mt_7615.ko nieprawidłowo weryfikuje elementy informacji podczas negocjacji czterostronnego uścisku WPA2. Brak tej weryfikacji prowadzi do przepełnienia bufora stosu, co może skutkować zdalnym wykonaniem kodu w jądrze.
Nieprawidłowa walidacja w rejestrze specyficznym dla modelu (MSR) może umożliwić złośliwemu programowi z dostępem ring0 modyfikację konfiguracji SMM, gdy blokada SMI jest włączona, co może prowadzić do wykonania dowolnego kodu.
W jądrze Linux w module cifs, podczas ponawiania podzapytania, funkcja smb2_async_writev() ponownie wybiera serwer, co prowadzi do niezgodności liczników in_flight i ostrzeżeń. Poprawka usuwa ponowny wybór serwera w tej funkcji.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS