Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.07.24)
vm2 to otwarte źródło vm/sandbox dla Node.js. W wersjach do i włącznie z 3.9.19, funkcja inspect w Node.js umożliwia atakującym ucieczkę z sandboxa i uruchamianie dowolnego kodu.
Metabase w wersjach przed 0.46.6.1 oraz Metabase Enterprise przed 1.46.6.1 pozwala atakującym na wykonywanie dowolnych poleceń na serwerze z poziomu uprawnień serwera. Wykorzystanie tej podatności nie wymaga uwierzytelnienia.
Zidentyfikowano podatność typu format string w urządzeniach ASUS RT-AX56U V2 oraz RT-AC86U. Problem ten wynika z braku walidacji określonej wartości podczas wywoływania funkcji cm_processChangedConfigMsg w systemie AiMesh.
W podatności CVE-2023-37292 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach systemowych, co prowadzi do możliwości wstrzyknięcia poleceń systemowych w modułach użytkownika iSherlock 4.5 i 5.5. Problem ten dotyczy wersji iSherlock 4.5 przed iSherlock-user-4.5-174 oraz iSherlock 5.5 przed iSherlock-user-5.5-174.
Wersje async-sockets-cpp do 0.3.1 zawierają podatność na przepełnienie bufora na stosie w pliku tcpsocket.hpp podczas przetwarzania źle sformatowanych pakietów TCP.
W wersji 1.414 Millhouse-Project zidentyfikowano podatność na zdalne wykonanie kodu (RCE) poprzez komponent /add_post_sql.php.
OpenAM do wersji 14.7.2 nieprawidłowo weryfikuje podpisy odpowiedzi SAML w procesie SSO, co pozwala atakującym na podszywanie się pod dowolnego użytkownika OpenAM, w tym administratora.
Wersje Adobe ColdFusion 2018u17 (i wcześniejsze), 2021u7 (i wcześniejsze) oraz 2023u1 (i wcześniejsze) są podatne na lukę w deserializacji niezaufanych danych, co może prowadzić do wykonania dowolnego kodu. Wykorzystanie tej luki nie wymaga interakcji użytkownika.
Funkcja PKCS#11 w ssh-agent w OpenSSH przed wersją 9.3p2 ma niewystarczająco zaufaną ścieżkę wyszukiwania, co prowadzi do możliwości zdalnego wykonania kodu, jeśli agent zostanie przekazany do systemu kontrolowanego przez atakującego.
Zidentyfikowano podatność na nieograniczone przesyłanie plików z niebezpiecznym typem w funkcji przesyłania plików w systemie InfoDoc Document On-line Submission and Approval System. Umożliwia to nieautoryzowanemu zdalnemu atakującemu wykorzystanie tej podatności do przesyłania i uruchamiania dowolnych plików wykonywalnych oraz wykonywania dowolnych poleceń systemowych.
Podatność CVE-2023-3519 umożliwia zdalne wykonanie kodu przez nieautoryzowanego użytkownika. Może to prowadzić do przejęcia kontroli nad systemem.
W kamerach GeoVision GV-ADR2701, atakujący mógł edytować odpowiedź logowania, co umożliwiało dostęp do aplikacji webowej.
Użycie wzorca '**' w konfiguracji Spring Security dla WebFlux powoduje niezgodność w dopasowywaniu wzorców między Spring Security a Spring WebFlux, co stwarza możliwość obejścia zabezpieczeń.
W repozytorium GitHub mlflow/mlflow przed wersją 2.5.0 występuje podatność na absolutne przejście ścieżki.
Wykryto podatność na zdalne wstrzykiwanie poleceń w Kratos NGC-IDU 9.1.0.4. Atakujący może wykonywać dowolne polecenia systemu Linux jako root, wysyłając odpowiednio skonstruowane żądania TCP do urządzenia.
Brak uwierzytelnienia dla krytycznej funkcji w jednostce wewnętrznej Kratos NGC (IDU) przed wersją 11.4 umożliwia zdalnym atakującym uzyskanie dowolnej kontroli nad systemem IDU/ODU. Atakujący z dostępem do sieci warstwy 3 może podszyć się pod jednostkę panelu dotykowego (TPU) w IDU, wysyłając odpowiednio skonstruowane żądania TCP.
Wersje Iagona ScrutisWeb 2.1.37 i wcześniejsze są podatne na zdalne wykonanie kodu, co może pozwolić nieautoryzowanemu użytkownikowi na przesłanie złośliwego ładunku i jego wykonanie.
AMI MegaRAC SPx12 zawiera podatność w BMC, która pozwala użytkownikowi na obejście uwierzytelniania poprzez fałszowanie nagłówka HTTP. Udane wykorzystanie tej podatności może prowadzić do utraty poufności, integralności i dostępności.
W podatności CVE-2023-34142 występuje przesyłanie wrażliwych informacji w postaci niezaszyfrowanej w Hitachi Device Manager na systemach Windows i Linux. Problem dotyczy komponentów Device Manager Server, Device Manager Agent oraz Host Data Collector i występuje w wersjach przed 8.8.5-02.
W jądrze Linuxa przed wersją 6.3.10 odkryto problem związany z walidacją rozmiaru ładunku polecenia w ksmbd, co prowadzi do odczytu poza przydzielonym obszarem pamięci.