Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.29)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność w Microsoft Exchange Server umożliwia zdalne wykonanie kodu. Atakujący może wykorzystać tę lukę do przejęcia kontroli nad systemem.
Podatność w Microsoft SQL Server umożliwia zdalne wykonanie kodu. Atakujący może wykorzystać ją do wykonania dowolnego kodu na serwerze.
Podatność XML External Entity (XXE) w ureport v2.2.9 umożliwia atakującym wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku XML do /ureport/designer/saveReportFile.
W systemie zamawiania jedzenia w wersji 2.0 odkryto podatność na atak typu SQL injection poprzez parametr email.
W systemie zamówień żywności w wersji 2.0 występuje podatność na przesyłanie dowolnych plików w komponencie /fos/admin/ajax.php, co pozwala atakującym na wykonanie dowolnego kodu za pomocą spreparowanego pliku PHP.
Ruckus Wireless Admin do wersji 10.4 pozwala na zdalne wykonanie kodu poprzez nieuwierzytelnione żądanie HTTP GET, co pokazano na przykładzie /forms/doLogin?login_username=admin&password=password$(curl substring.
W oprogramowaniu ureport w wersji 2.2.9 odkryto podatność na przemieszczanie się po katalogach w funkcji usuwania plików. Umożliwia ona atakującemu usunięcie dowolnych plików w systemie.
Router Comfast CF-WR6110N w wersji V2.3.1 zawiera podatność polegającą na nieprawidłowej walidacji danych wejściowych. Zdalny atakujący w tej samej sieci może wysłać spreparowane żądanie HTTP POST i wykonać dowolny kod na urządzeniu.
W routerze Comfast CF-WR6110N w wersji V2.3.1 wykryto nieprawidłową kontrolę dostępu. Zdalny atakujący w tej samej sieci może wysłać dowolne żądanie HTTP do nieuwierzytelnionej strony, co zmusza serwer do wygenerowania identyfikatora sesji (SESSION_ID). Następnie, używając tego identyfikatora, atakujący może wykonywać uwierzytelnione żądania.
W podatności CVE-2022-4557 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie Smartpower Web.
W podatności CVE-2022-45090 występuje niewłaściwa walidacja danych wejściowych w systemie Smartpower Web firmy Group Arge Energy and Control Systems, co umożliwia atak typu SQL Injection.
Podatność na niewłaściwą walidację danych wejściowych w systemie Smartpower Web firmy Group Arge Energy and Control Systems umożliwia atak typu SQL Injection. Problem dotyczy wersji Smartpower Web przed 23.01.01.
Podatność na niewłaściwą walidację danych wejściowych w systemie Smartpower Web firmy Group Arge Energy and Control Systems umożliwia lokalne dołączenie plików PHP. Problem dotyczy wersji Smartpower Web przed 23.01.01.
Wtyczka ImageMagick Engine dla WordPressa jest podatna na deserializację nieufnych danych wejściowych poprzez parametr 'cli_path' w wersjach do 1.7.5 włącznie. Umożliwia to nieautoryzowanym użytkownikom wywoływanie plików za pomocą opakowania PHAR, pod warunkiem, że zdołają oszukać administratora strony do wykonania akcji, która deserializuje i wywołuje dowolne obiekty PHP.
Tinacms to system zarządzania treścią oparty na Git, który wspiera edycję wizualną. Wersje @tinacms/cli od 1.0.0 do 1.0.9, które przechowują wrażliwe dane w zmiennej process.env, są narażone na ujawnienie tych danych w pliku index.js.
W Ravencoin Core 4.3.2.1 i wcześniejszych wersjach odkryto problem w pliku src/wallet/wallet.cpp, który umożliwia atakującym podgląd wrażliwych informacji poprzez funkcję CWallet::CreateTransactionAll().
TerraMaster NAS 4.2.29 i wcześniejsze pozwala zdalnym atakującym odkryć hasło administracyjne poprzez wysłanie "User-Agent: TNAS" do module/api.php?mobile/webNasIPS, a następnie odczytanie pola PWD w odpowiedzi.
W Dogecoin Core 1.14.3 i wcześniejszych wersjach odkryto problem w pliku src/wallet/wallet.cpp, który umożliwia atakującym podgląd wrażliwych informacji poprzez funkcję CWallet::CreateTransaction().
Podatność SQL Injection w usłudze provisioning Talend ESB Runtime przed wersjami 8.0.1-R2022-10-RT i 7.3.1-R2022-09-RT. Atakujący może wstrzyknąć złośliwe zapytania SQL przez tę usługę.
Fortra GoAnywhere MFT ma podatność na wstrzyknięcie komend przed uwierzytelnieniem w servlecie License Response z powodu deserializacji dowolnego obiektu kontrolowanego przez atakującego. Problem został naprawiony w wersji 7.1.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS