Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.29)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W przypadku włączonego uwierzytelniania SAML SSO (konfiguracja nie domyślna) dane sesji mogą być modyfikowane przez złośliwego aktora, ponieważ login użytkownika zapisany w sesji nie był weryfikowany. Nieuwierzytelniony atakujący może wykorzystać tę lukę do eskalacji uprawnień i uzyskania dostępu administratora do interfejsu Zabbix Frontend.
W wersji 1.4.0 Trusted Firmware-M (TF-M) przy użyciu profilu Small występuje nieprawidłowa kontrola dostępu. NSPE może uzyskać dostęp do zabezpieczonego klucza (przechowywanego przez usługę Crypto) jedynie na podstawie znajomości jego identyfikatora klucza.
W panelu administracyjnym JPress v4.2.0 istnieje funkcja umożliwiająca modyfikację szablonu. Atakujący może wstrzyknąć złośliwy kod, co prowadzi do przejęcia kontroli nad stroną.
Podatność podniesienia uprawnień w usłudze Windows User Profile Service.
Podatność na eskalację uprawnień w składniku Win32k systemu Windows.
Podatność w Microsoft Excel umożliwia zdalne wykonanie kodu. Atakujący może wykorzystać tę lukę, aby przejąć kontrolę nad systemem ofiary.
Podatność w Microsoft Office umożliwia zdalne wykonanie kodu, co może prowadzić do przejęcia kontroli nad systemem użytkownika. Atakujący może wykorzystać tę lukę poprzez złośliwe dokumenty, które użytkownik otworzy.
Podatność w interfejsie usług webowych Cisco ASA i FTD pozwala nieuwierzytelnionemu zdalnemu atakującemu wywołać DoS. Wynika to z nieprawidłowej walidacji danych wejściowych podczas parsowania żądań HTTPS. Atakujący może wysłać złośliwe żądanie HTTPS, co powoduje przeładowanie urządzenia i DoS.
Podatność w interfejsie usług webowych Cisco ASA i FTD pozwala nieuwierzytelnionemu zdalnemu atakującemu wywołać DoS. Wynika to z nieprawidłowej walidacji danych wejściowych podczas parsowania żądań HTTPS. Atakujący może wysłać złośliwe żądanie HTTPS, co powoduje przeładowanie urządzenia i DoS.
W sterowniku NPU występuje nieprawidłowe sprawdzanie lub obsługa warunków wyjątkowych. Luka pozwala na dowolny zapis do pamięci i wykonanie kodu.
Podatność w zarządzaniu informacjami w urządzeniu bone voice ID TA może prowadzić do naruszenia poufności danych. Jej skuteczne wykorzystanie może wpłynąć na bezpieczeństwo przechowywanych informacji.
Podatność w identyfikatorze głosu TA w systemie bone polega na błędnym obliczaniu długości bufora. Skuteczne wykorzystanie tej podatności może wpłynąć na poufność danych.
Aplikacja zaufana (TA) bone voice ID posiada podatność na przepełnienie sterty. Udana eksploitacja tej podatności może wpłynąć na poufność danych.
Ekran logowania web Serv-U do uwierzytelniania LDAP zezwalał na znaki, które nie były wystarczająco oczyszczane. SolarWinds zaktualizował mechanizm wejściowy, aby wykonywać dodatkową walidację i sanityzację.
Podatność CVE-2022-0121 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji hoppscotch. Problem ten występuje w wersjach przed 2.1.1.
W sterowniku SdHostDriver w oprogramowaniu InsydeH2O dla jąder 5.1 do 5.5 wykryto podatność w gałęzi SMM, która rejestruje handler SWSMI bez wystarczającego sprawdzania lub walidacji wskaźnika do przydzielonego bufora (CommBufferData).
Podatność w komponencie IdeBusDxe w oprogramowaniu InsydeH2O z jądrem 5.1-5.5 dotyczy rejestracji procedury obsługi SWSMI, która nie sprawdza wystarczająco wskaźnika bufora. Może to pozwolić atakującemu na manipulację danymi w pamięci SMRAM.
W sterowniku AhciBusDxe w oprogramowaniu InsydeH2O dla jąder 5.1 do 5.5 wykryto podatność w gałęzi SMM, która rejestruje handler SWSMI bez wystarczającego sprawdzania lub walidacji wskaźnika do przydzielonego bufora (lokalizacja CommBuffer+8).
Fluxbb w wersji 1.4.12 zawiera podatność na atak typu Cross Site Scripting (XSS). Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript do stron wyświetlanych innym użytkownikom.
Podatność polegająca na pobieraniu kodu bez sprawdzania integralności w poleceniu "execute restore src-vis" w FortiOS przed 7.0.3 może pozwolić lokalnemu uwierzytelnionemu atakującemu na pobranie dowolnych plików na urządzenie poprzez specjalnie spreparowane pakiety aktualizacji.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS