Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.29)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Na urządzeniach WatchGuard Firebox i XTM nieuwierzytelniony użytkownik może wykonać dowolny kod (znany jako FBX-22786). Podatność dotyczy Fireware OS przed 12.7.2_U2, 12.x przed 12.1.3_U8 oraz 12.2.x do 12.5.x przed 12.5.9_U2.
Podatność CSRF w Subrion CMS v4.2.1 umożliwia nieuwierzytelnionemu atakującemu wysłanie spreparowanego żądania do administratora, co prowadzi do utworzenia dowolnego konta administratora.
W systemie Intelliants Subrion CMS w wersji 4.2.1 wykryto podatność na ataki typu Cross Site Scripting (XSS) w panelu konfiguracji. Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript do strony, który może być wykonany w przeglądarce administratora.
W CMS Subrion 4.2.1 w szablonie Kickstart parametr q jest podatny na atak XSS (Cross Site Scripting). Atakujący może wstrzyknąć złośliwy kod JavaScript, który wykona się w przeglądarce ofiary.
Wada projektowa we wszystkich wersjach Go-Ethereum umożliwia atakującemu węzłowi wysłanie 5120 oczekujących transakcji z jednego konta o wysokiej cenie gazu, które całkowicie wyczerpują saldo konta, do ofiary węzła Geth. Powoduje to usunięcie wszystkich oczekujących transakcji z puli pamięci ofiary i zajęcie jej, uniemożliwiając dodanie nowych transakcji, co prowadzi do odmowy usługi (DoS).
W Go-Ethereum 1.10.12 i starszych wersjach wykryto wadę konstrukcyjną, która pozwala atakującemu węzłowi wysłać 5120 przyszłych transakcji z wysoką ceną gazu w jednej wiadomości. Może to wyczyścić wszystkie oczekujące transakcje z puli pamięci ofiary, powodując odmowę usługi (DoS).
W Spring Cloud Gateway w wersjach przed 3.1.1+ i 3.0.7+ aplikacje są podatne na atak wstrzyknięcia kodu, gdy endpoint Gateway Actuator jest włączony, wystawiony i niezabezpieczony. Zdalny atakujący może wysłać złośliwie spreparowane żądanie, które może pozwolić na dowolne zdalne wykonanie kodu na zdalnym hoście.
Wykryto podatność w funkcji cgroup_release_agent_write jądra Linux w pliku kernel/cgroup/cgroup-v1.c. W określonych okolicznościach, flaw ta pozwala na wykorzystanie funkcji release_agent cgroups v1 do eskalacji uprawnień oraz nieoczekiwanego obejścia izolacji przestrzeni nazw.
Sterownik jądra GPU Arm Mali umożliwia nieuprzywilejowanemu użytkownikowi uzyskanie zapisu do stron pamięci tylko do odczytu. Dotyczy to wersji Midgard r26p0 do r31p0, Bifrost r0p0 do r35p0 oraz Valhall r19p0 do r35p0.
Podatność zdalnego wykonania kodu (RCE) w Zepl Notebooks przed 25 października 2021 roku. Uwierzytelniony użytkownik może utworzyć notatnik ze złośliwym kodem i uruchomić go zdalnie.
W interfejsie administracyjnym HTTP Commander 7.0.0 firmy Element-IT wykryto podatność na trwałe cross-site scripting (XSS). Nieuwierzytelniony użytkownik może wstrzyknąć złośliwy skrypt w pole User-Agent, co prowadzi do uzyskania dostępu administracyjnego.
Moduł Remote App w Liferay Portal i Liferay DXP nie weryfikuje pochodzenia wiadomości zdarzeń, co umożliwia atakującym kradzież tokena CSRF poprzez spreparowaną wiadomość.
Podatność w Printix Secure Cloud Print Management do wersji 1.3.1106.0 polega na nieprawidłowym używaniu uprzywilejowanych API do modyfikacji wartości w rejestrze HKEY_LOCAL_MACHINE przez UITasks.PersistentRegistryData. Umożliwia to eskalację uprawnień lub nieautoryzowane zmiany w systemie.
Podatność na atak XSS w module Gogo Shell w Liferay Portal 7.1.0-7.3.6 i 7.4.0 oraz Liferay DXP 7.1-7.3 przed odpowiednimi poprawkami. Zdalny atakujący może wstrzyknąć dowolny skrypt lub HTML przez wynik polecenia Gogo Shell.
Podatność na atak XSS w module Blogów portalu Liferay Portal 7.3.2–7.3.6 oraz Liferay DXP 7.3 przed fix pack 2. Atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez parametry tytułu i podtytułu na stronie edycji wpisu bloga.
Podatność na atak typu Cross-site scripting (XSS) w module Asset w Liferay Portal 7.3.4 do 7.3.6 umożliwia zdalnym atakującym wstrzyknięcie dowolnego skryptu lub kodu HTML podczas tworzenia strony kolekcji za pomocą parametru _com_liferay_asset_list_web_portlet_AssetListPortlet_title.
Podatność na skrypty między witrynami (XSS) w module Frontend Taglib w Liferay Portal 7.4.0 i 7.4.1 umożliwia zdalnym atakującym wstrzyknięcie dowolnego skryptu lub kodu HTML do paska wyszukiwania w panelu zarządzania poprzez parametr `keywords`. Problem wynika z niekompletnej poprawki dla CVE-2021-35463.
Podatność na atak typu Cross-site scripting (XSS) w konsoli skryptów modułu serwera Liferay Portal 7.3.2 i wcześniejszych oraz Liferay DXP 7.0 przed fix pack 101, 7.1 przed fix pack 20 i 7.2 przed fix pack 10. Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez wynik działania skryptu.
Moduł bezpieczeństwa portalu w Liferay Portal 7.2.1 i wcześniejszych oraz Liferay DXP 7.0 przed fix pack 90, 7.1 przed fix pack 17 i 7.2 przed fix pack 5 nieprawidłowo importuje użytkowników z LDAP. Umożliwia to zdalnemu atakującemu zablokowanie uwierzytelniania legalnego użytkownika poprzez próbę zalogowania się jako użytkownik istniejący w LDAP.
Moduł Dynamic Data Mapping w Liferay Portal 7.0.0 do 7.3.6 oraz Liferay DXP 7.0 do fix pack 101, 7.1 do fix pack 21, 7.2 do fix pack 10 i 7.3 do fix pack 2 nieprawidłowo ustawia domyślne uprawnienia dla członków witryny. Pozwala to zdalnie uwierzytelnionym użytkownikom z rolą członka witryny na dodawanie i duplikowanie formularzy przez interfejs użytkownika lub API.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS