Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.29)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
BigAnt Server w wersji 5.6.06 jest podatny na ataki typu directory traversal, co pozwala atakującemu na odczyt plików poza katalogiem głównym serwera.
W systemie BigAnt Server w wersji 5.6.06 wykryto problemy z nieprawidłową kontrolą dostępu. Podatność ta może pozwolić nieautoryzowanym użytkownikom na dostęp do zasobów bez odpowiednich uprawnień.
W systemie BigAnt Server w wersji 5.6.06 wykryto nieprawidłową kontrolę dostępu. Podatność ta może pozwolić nieautoryzowanym użytkownikom na dostęp do zasobów bez odpowiednich uprawnień.
Podatność w taocms v3.0.2 umożliwia atakującym wstrzyknięcie kodu poprzez dowolną edycję pliku .htaccess. Atakujący może zmodyfikować ten plik, aby wykonać złośliwe polecenia na serwerze.
W MISP przed wersją 2.4.156 zidentyfikowano problem związany z logo organizacji w formacie SVG, które domyślnie nie ma zakazu używania JavaScript.
W MISP przed wersją 2.4.156 odkryto problem, w którym plik app/Model/Server.php nie ogranicza funkcji generateServerSettings do interfejsu wiersza poleceń (CLI). Może to prowadzić do ataków SSRF.
W MISP przed wersją 2.4.156 odkryto problem, który pozwala złośliwemu administratorowi na zapisanie ładunku XSS w niestandardowej nazwie autoryzacji. Ładunek ten będzie wykonywany za każdym razem, gdy administrator modyfikuje użytkownika.
W MISP przed wersją 2.4.156 odkryto problem, który pozwala na lokalne włączenie pliku poprzez ustawienie niestandardowego pliku warunków w app/View/Users/terms.ctp.
Podatność use-after-free w WebKit, naprawiona poprzez lepsze zarządzanie pamięcią. Przetwarzanie złośliwej treści internetowej może prowadzić do wykonania dowolnego kodu. Apple potwierdza aktywne wykorzystanie tej podatności.
Problem uszkodzenia pamięci został rozwiązany poprzez ulepszoną walidację danych wejściowych. Podatność została naprawiona w iOS 15.3 i iPadOS 15.3, macOS Big Sur 11.6.3, macOS Monterey 12.2. Złośliwa aplikacja może wykonać dowolny kod z uprawnieniami jądra; Apple wie o raportach o aktywnej eksploatacji.
W jądrze Linux w systemie plików FUSE znaleziono błąd use-after-free, który może zostać wywołany przez operację write(). Pozwala to lokalnemu użytkownikowi na nieautoryzowany dostęp do danych z systemu plików FUSE, co prowadzi do eskalacji uprawnień.
Podatność w OpenDocMan 1.4.4 umożliwia atakującemu ominięcie kontroli typu MIME podczas przesyłania plików przez add.php. Może to prowadzić do automatycznego przetworzenia złośliwych plików w środowisku produktu lub zdalnego wykonania kodu.
Podatność SQL Injection w systemie Attendance and Payroll System v1.0 umożliwia zdalnemu atakującemu ominięcie uwierzytelniania poprzez niesanitowane parametry logowania.
Podatność zdalnego wykonania kodu (RCE) w systemie Attendance and Payroll System v1.0 od Sourcecodester umożliwia nieuwierzytelnionemu atakującemu zdalne przesłanie złośliwego pliku PHP poprzez funkcję przesyłania zdjęć.
Veeam Backup & Replication w wersjach 10.x i 11.x zawiera błąd nieprawidłowej kontroli dostępu (problem 1 z 2).
Niewłaściwe ograniczenie nazw ścieżek w Veeam Backup & Replication 9.5U3, 9.5U4, 10.x i 11.x. Uwierzytelniony zdalny użytkownik może uzyskać dostęp do wewnętrznych funkcji API i przesłać oraz wykonać dowolny kod.
W funkcji kbase_jd_user_buf_pin_pages w mali_kbase_mem.c występuje możliwe zapisanie poza granicami bufora z powodu błędu logicznego. Może to prowadzić do lokalnego podniesienia uprawnień bez dodatkowych uprawnień wykonawczych.
Funkcja BN_mod_sqrt() zawiera błąd, który może prowadzić do nieskończonej pętli dla nieprymitywnych modułów. Błąd ten może być wywołany przez odpowiednio skonstruowany certyfikat z nieprawidłowymi parametrami krzywej eliptycznej.
W OpenSSH przed wersją 8.9 odkryto problem związany z uwierzytelnianiem kluczem publicznym przy użyciu przekazywania agenta. Jeśli atakujący zmodyfikował serwer, aby wspierał opcję uwierzytelniania None, użytkownik nie może określić, czy uwierzytelnienie FIDO potwierdza chęć połączenia z serwerem, czy też pozwala temu serwerowi na połączenie z innym serwerem w imieniu użytkownika.
W urządzeniu TOTOLINK A3100R w wersji do V4.1.2cu.5050_B20200504 wykryto podatność na wstrzykiwanie poleceń w skrypcie adm/ntm.asp poprzez parametr hosTime. Umożliwia ona zdalnemu atakującemu wykonanie dowolnych poleceń systemowych na urządzeniu.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS