Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.07.24)
Urządzenia TeleAdapt RoomCast TA-2400 w wersjach od 1.0 do 3.1 mają problem z użyciem twardo zakodowanego hasła (PIN), które obejmuje wartości: 385521, 843646 oraz 592671.
TeleAdapt RoomCast TA-2400 w wersjach od 1.0 do 3.1 jest podatny na niewłaściwą kontrolę dostępu, co umożliwia dostęp do Android Debug Bridge (adb).
W repozytorium GitHub jgraph/drawio przed wersją 21.5.0 występuje podatność na wstrzykiwanie poleceń systemowych.
W repozytorium GitHub jgraph/drawio przed wersją 21.4.0 występuje podatność na wstrzykiwanie poleceń systemowych.
Wtyczka InstaWP Connect dla WordPressa jest podatna na nieautoryzowany dostęp do danych, ich modyfikację oraz utratę danych z powodu braku sprawdzenia uprawnień w funkcji 'events_receiver' w wersjach do 0.0.9.18 włącznie. Atakujący bez uwierzytelnienia mogą dodawać, modyfikować lub usuwać posty i taksonomie, instalować, aktywować lub dezaktywować wtyczki, zmieniać ustawienia personalizacji oraz zarządzać użytkownikami, w tym użytkownikami z uprawnieniami administratora.
W Fortinet FortiOS (wersje 7.0.0 do 7.0.10 oraz 7.2.0 do 7.2.3) oraz FortiProxy (wersje 7.0.0 do 7.0.9 oraz 7.2.0 do 7.2.2) występuje podatność na przepełnienie stosu, która pozwala zdalnemu, nieautoryzowanemu atakującemu na wykonanie dowolnego kodu lub polecenia poprzez odpowiednio skonstruowane pakiety. Atak ten może mieć miejsce w kontekście polityk proxy lub zapory z włączoną inspekcją pakietów.
PaddlePaddle w wersjach przed 2.5.0 zawiera podatność na wstrzykiwanie poleceń w pliku fs.py, co umożliwia wykonanie dowolnych poleceń w systemie operacyjnym.
Atakujący może wykorzystać SnakeYAML do deserializacji java.net.URLClassLoader, co pozwala na załadowanie JAR z określonego URL. To nieograniczone deserializowanie może prowadzić do zdalnego wykonania kodu.
W Pligg CMS w wersji 2.0.2 (znanym również jako Kliqqi) odkryto podatność na zdalne wykonanie kodu (RCE) w komponencie admin_editor.php.
W eoffice przed wersją 9.5 występuje podatność na przesyłanie dowolnych plików, która pozwala atakującym na wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku.
Występują podatności typu buffer overflow w wielu usługach, które mogą prowadzić do zdalnego wykonania kodu przez nieautoryzowanych użytkowników. Wysyłając specjalnie skonstruowane pakiety do portu UDP PAPI (protokół zarządzania punktami dostępowymi Aruba), można uzyskać dostęp do systemu operacyjnego z uprawnieniami użytkownika uprzywilejowanego.
Wiele usług bazowych zawiera podatności na przepełnienie bufora, które mogą prowadzić do zdalnego wykonania kodu bez uwierzytelnienia poprzez wysyłanie specjalnie przygotowanych pakietów do portu UDP PAPI (protokół zarządzania punktami dostępowymi Aruba). Sukces w wykorzystaniu tych podatności umożliwia wykonanie dowolnego kodu jako użytkownik z uprawnieniami na systemie operacyjnym.
Występują podatności na przepełnienie bufora w wielu usługach, które mogą prowadzić do zdalnego wykonania kodu przez nieautoryzowanych użytkowników. Wysyłając specjalnie skonstruowane pakiety do portu UDP PAPI (protokół zarządzania punktami dostępowymi Aruba), można uzyskać dostęp do systemu operacyjnego z uprawnieniami uprzywilejowanymi.
Problem z deserializacją obiektów Java w aplikacji Jackrabbit webapp/standalone umożliwia zdalne wykonanie kodu przez atakującego. Dotyczy to wersji RMIVersions do 2.20.10 (gałąź stabilna) oraz 2.21.17 (gałąź niestabilna), które wykorzystują komponent 'commons-beanutils'.
W podatności CVE-2023-35088 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL w Apache InLong, co może prowadzić do ataków typu SQL Injection. Problem dotyczy wersji od 1.4.0 do 1.7.0.
W podatności CVE-2023-35078 w Ivanti EPMM występuje luka umożliwiająca ominięcie uwierzytelniania, co pozwala nieautoryzowanym użytkownikom na dostęp do zastrzeżonej funkcjonalności lub zasobów aplikacji bez odpowiedniego uwierzytelnienia.
W systemie zatwierdzania e-faktur Infodrom Software występuje podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem dotyczy wersji systemu przed 20230701.
Podatność CVE-2023-3046 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie Scienta firmy Biltay Technology. Problem ten występuje w wersjach przed 20230630.1953.
Apache Shiro w wersjach przed 1.12.0 oraz 2.0.0-alpha-3 może być podatny na atak typu path traversal, co prowadzi do ominięcia uwierzytelnienia, gdy jest używany z API lub innymi frameworkami webowymi, które kierują żądania na podstawie nienormalizowanych żądań.
KubePi to otwartoźródłowy panel zarządzania Kubernetes. Zwykły użytkownik ma uprawnienia do tworzenia/aktualizowania użytkowników, co pozwala mu na uzyskanie uprawnień administratora poprzez edytowanie wartości `isadmin` w żądaniu.