Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.07.27)
W repozytorium GitHub tsolucio/corebos przed wersją 8 występuje niezweryfikowana zmiana hasła, co może prowadzić do nieautoryzowanego dostępu.
W aplikacji webowej MOVEit Transfer przed wersją 2021.0.6 zidentyfikowano podatność na wstrzykiwanie SQL, która może umożliwić nieautoryzowanemu atakującemu dostęp do bazy danych MOVEit Transfer. Atakujący może uzyskać informacje o strukturze i zawartości bazy danych oraz wykonywać polecenia SQL, które mogą zmieniać lub usuwać elementy bazy danych.
ReadyMedia (MiniDLNA) w wersjach od 1.1.15 do 1.3.2 jest podatny na przepełnienie bufora. Podatność ta wynika z nieprawidłowej logiki walidacji podczas obsługi żądań HTTP z użyciem kodowania transportowego chunked.
W podatności CVE-2023-3000 w technologii ErMon firmy Erikoglu występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co pozwala na wykonanie poleceń z linii komend poprzez SQL Injection oraz obejście uwierzytelniania.
W DataEase, narzędziu do wizualizacji i analizy danych, przed wersją 1.18.7 występuje podatność na deserializację, która może być wykorzystana do wykonania dowolnego kodu.
Brook to wieloplatformowe narzędzie sieciowe, które zawiera serwer `tproxy` podatny na zdalne wstrzyknięcie poleceń. Atakujący może nakłonić ofiarę do odwiedzenia złośliwej strony internetowej, co prowadzi do wykonania zdalnego kodu.
Wersje oprogramowania routerów Draytek Vigor poniżej 3.9.6/4.2.4, punktów dostępowych poniżej v1.4.0, przełączników poniżej 2.6.7 oraz Myvigor poniżej 2.3.2 zawierają wbudowane klucze szyfrujące. Umożliwia to atakującym powiązanie dowolnego podatnego urządzenia z ich własnym kontem.
W BMC Patrol do wersji 23.1.00 odkryto problem, który pozwala na zdalną modyfikację konfiguracji agenta bez wymogu uwierzytelnienia. Niektóre pola konfiguracyjne związane z SNMP mogą prowadzić do wykonania kodu po ponownym uruchomieniu agenta.
W urządzeniu D-Link DIR-846 v1.00A52 odkryto podatność na zdalne wykonanie polecenia (RCE) poprzez parametr tomography_ping_address w interfejsie /HNAP1.
W funkcji 'GetUserCurrentPwd' w konsoli zarządzania eScan firmy Microworld Technologies występuje luka umożliwiająca eskalację uprawnień. Luka ta pozwala zdalnemu atakującemu na uzyskanie hasła dowolnego użytkownika (admina lub zwykłego) w formacie tekstu jawnego.
W JetBrains TeamCity przed wersją 2023.05 istniała możliwość obejścia kontroli uprawnień, co pozwalało na wykonywanie działań administracyjnych.
KramerAV VIA GO² w wersjach poniżej 4.0.1.1326 jest podatny na atak typu SQL Injection, co może umożliwić nieautoryzowany dostęp do bazy danych.
KramerAV VIA GO² w wersjach poniżej 4.0.1.1326 jest podatny na nieautoryzowane przesyłanie plików, co może prowadzić do zdalnego wykonania kodu (RCE).
TOTOLINK X5000R w wersjach V9.1.0u.6118_B20201102 oraz V9.1.0u.6369_B20230113 zawiera podatność na wstrzykiwanie poleceń w funkcji setDiagnosisCfg. Umożliwia to atakującemu wykonanie dowolnych poleceń za pomocą parametru 'ip'.
TOTOLINK X5000R w wersjach V9.1.0u.6118_B20201102 oraz V9.1.0u.6369_B20230113 zawiera podatność na wstrzykiwanie poleceń w funkcji setOpModeCfg. Umożliwia to atakującemu wykonanie dowolnych poleceń za pomocą parametru 'hostName'.
Wtyczka Wordapp dla WordPressa jest podatna na obejście autoryzacji z powodu niewystarczająco unikalnego podpisu kryptograficznego w funkcji 'wa_pdx_op_config_set' w wersjach do 1.6.0 włącznie. Umożliwia to nieautoryzowanym atakującym zmianę 'validation_token' w konfiguracji wtyczki.
Wykryto podatność w ImageMagick, która prowadzi do możliwości zdalnego wykonania kodu w funkcji OpenBlob, gdy skonfigurowano opcję --enable-pipes.
W wersji 1.6 BlueCMS odkryto podatność na wstrzyknięcie SQL poprzez parametr keywords w pliku search.php.
RIOT-OS, system operacyjny dla urządzeń IoT, zawiera stos sieciowy zdolny do przetwarzania ramek 6LoWPAN. W wersji 2023.01 i wcześniejszych, atakujący może wysłać spreparowaną ramkę do urządzenia, co prowadzi do zapisu poza granicami bufora pakietów.
Podatność w Emby Server może umożliwić dostęp administracyjny do systemu, w zależności od ustawień kont użytkowników. Atakujący może zafałszować nagłówki, co pozwala na logowanie bez hasła lub przeglądanie listy kont użytkowników bez skonfigurowanego hasła.