Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.01)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W podatności CVE-2023-4702 występuje możliwość ominięcia uwierzytelnienia w systemie Yepas Digital Yepas. Problem dotyczy wersji przed 1.0.1.
W GLib znaleziono lukę, która dotyczy deserializacji GVariant. Odpowiednio skonstruowany GVariant może spowodować nadmierne obciążenie procesora, prowadząc do odmowy usługi.
W podatności CVE-2023-4766 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co pozwala na atak typu SQL Injection w systemie Movus. Problem dotyczy wersji przed 20230913.
Podatność w Exagate SYSGuard 3001 umożliwia obejście uwierzytelniania poprzez założone dane niezmienne. Problem dotyczy wersji przed 3.2.20.0.
W podatności CVE-2023-4832 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wykonania ataku typu SQL Injection w systemie zarządzania firmy Aceka. Problem dotyczy wersji przed 3072.
Podatność typu Improper Access Control w Adobe ColdFusion w wersjach 2018u18 i wcześniejszych, 2021u8 i wcześniejszych oraz 2023u2 i wcześniejszych. Atakujący może uzyskać dostęp do administracyjnych punktów końcowych CFM i CFC. Wykorzystanie nie wymaga interakcji użytkownika.
Występuje błąd w funkcji -fstack-protector w narzędziach opartych na GCC, które celują w AArch64, co pozwala atakującemu na wykorzystanie istniejącego przepełnienia bufora w lokalnych zmiennych o dynamicznej wielkości bez wykrycia. Problem dotyczy tylko zmiennych lokalnych o dynamicznej wielkości w stylu C99 lub tych tworzonych za pomocą alloca().
Podatność typu out-of-bounds write w Adobe Acrobat Reader w wersjach 23.003.20284 i wcześniejszych, 20.005.30516 i wcześniejszych oraz 20.005.30514 i wcześniejszych. Może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Wykorzystanie wymaga otwarcia złośliwego pliku przez ofiarę.
Wtyczka Logowanie za pomocą numeru telefonu dla WordPressa jest podatna na atak typu Cross-Site Request Forgery w wersjach do 1.5.6 włącznie. Brak walidacji nonce w funkcji 'lwp_update_password_action' umożliwia nieautoryzowanym atakującym zmianę hasła użytkownika poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora strony do wykonania określonej akcji, na przykład kliknięcia w link.
Wtyczka Simplr Registration Form Plus+ dla WordPressa jest podatna na niebezpieczne bezpośrednie odniesienia do obiektów w wersjach do 2.4.5 włącznie. Problem wynika z tego, że wtyczka umożliwia użytkownikom kontrolowany dostęp do obiektów, co pozwala na ominięcie autoryzacji i dostęp do zasobów systemowych.
Wtyczka BAN Users dla WordPressa jest podatna na eskalację uprawnień w wersjach do 1.5.3 włącznie, z powodu braku sprawdzenia uprawnień w funkcji 'w3dev_save_ban_user_settings_callback'. Umożliwia to uwierzytelnionym atakującym, posiadającym minimalne uprawnienia, takie jak subskrybent, modyfikację ustawień wtyczki w celu uzyskania dostępu do funkcji blokowania i odblokowywania użytkowników oraz ustawienia roli odblokowanego użytkownika.
Uwierzytelnianie użytkowników za pomocą nazwy użytkownika i hasła jest nieskuteczne w produktach OpenText (Micro Focus) Visual COBOL, COBOL Server, Enterprise Developer i Enterprise Server (w tym warianty takie jak Enterprise Test Server) w określonych wersjach, gdy używane jest uwierzytelnianie oparte na LDAP z pewnymi konfiguracjami. Podatność pozwala na uwierzytelnienie z dowolną poprawną nazwą użytkownika, niezależnie od poprawności hasła, a czasem nawet z nieprawidłową nazwą użytkownika.
Podatność CVE-2023-38156 dotyczy usługi Azure HDInsight, w której występuje luka w zabezpieczeniach związana z wstrzykiwaniem JDBC w Apache Ambari. Może to prowadzić do podniesienia uprawnień przez atakującego.
Podatność polegająca na podniesieniu uprawnień w usłudze Microsoft Streaming Service Proxy. Szczegóły techniczne nie zostały podane w opisie.
Podatność w Microsoft Word umożliwia ujawnienie informacji. Szczegóły podatności nie są podane w opisie.
Przepełnienie bufora sterty w bibliotece libwebp w Google Chrome przed wersją 116.0.5845.187 oraz w libwebp 1.3.2. Zdalny atakujący może dokonać zapisu poza granicami pamięci poprzez spreparowaną stronę HTML.
Podatność Cross Site Scripting (XSS) w kalendarzu Webmail w IceWarp 10.3.1 umożliwia zdalnym atakującym wstrzyknięcie dowolnego skryptu lub kodu HTML przez pole "p4".
W routerze D-Link DIR-816 A2 w wersji firmware 1.10 B05 wykryto podatność na wstrzykiwanie poleceń. Luka znajduje się w komponencie /goform/Diagnosis.
Xpand IT Write-back manager w wersji 2.3.1 używa zaszytego na stałe saltu w konfiguracji klasy licencji, co prowadzi do generowania przewidywalnych, symetrycznych kluczy szyfrujących używanych do tworzenia i walidacji licencji. Umożliwia to atakującemu odtworzenie kluczy i sfałszowanie licencji.
Podatność w systemach tvOS 16.3, iOS 16.3, iPadOS 16.3, macOS Monterey 12.6.8, macOS Big Sur 11.7.9, iOS 15.7.8, iPadOS 15.7.8, macOS Ventura 13.2 i watchOS 9.3 została naprawiona poprzez ulepszone przetwarzanie pamięci podręcznych. Przetwarzanie pliku czcionki może prowadzić do wykonania dowolnego kodu. Apple potwierdza, że podatność mogła być aktywnie wykorzystywana w wersjach iOS przed 15.7.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS