Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Występuje problem ujawnienia informacji w D-LINK-DIR-605 B2 w wersji firmware 2.01MT. Atakujący może uzyskać nazwę użytkownika i hasło poprzez sfałszowanie żądania POST do strony /getcfg.php.
Niewłaściwa kontrola dostępu w kontrolerze stref przechowywania Citrix ShareFile przed wersją 5.11.20 może pozwolić nieuwierzytelnionemu atakującemu na zdalne przejęcie kontrolera stref przechowywania.
Rhttproxy używany w vCenter Server zawiera podatność wynikającą z nieprawidłowej implementacji normalizacji URI. Złośliwy aktor z dostępem sieciowym do portu 443 na vCenter Server może wykorzystać ten problem do obejścia proxy, co prowadzi do dostępu do wewnętrznych punktów końcowych.
vCenter Server zawiera podatność na dowolne przesyłanie plików w usłudze Analytics. Złośliwy aktor z dostępem sieciowym do portu 443 na vCenter Server może wykorzystać ten problem do wykonania kodu na vCenter Server poprzez przesłanie specjalnie spreparowanego pliku.
Podatność na wstrzykiwanie poleceń w serwerze WWW niektórych produktów Hikvision. Z powodu niewystarczającej walidacji danych wejściowych atakujący może wykorzystać podatność do przeprowadzenia ataku polegającego na wstrzyknięciu poleceń, wysyłając wiadomości ze złośliwymi poleceniami.
W Kubernetes odkryto problem bezpieczeństwa, który może umożliwić użytkownikom wysyłanie ruchu sieciowego do lokalizacji, do których normalnie nie mieliby dostępu, poprzez atak 'confused deputy'.
W Kubernetes odkryto problem bezpieczeństwa, który pozwala aktorom kontrolującym odpowiedzi na żądania MutatingWebhookConfiguration lub ValidatingWebhookConfiguration na przekierowanie żądań kube-apiserver do prywatnych sieci apiservera. Użytkownik, który ma dostęp do logów kube-apiserver przy poziomie logowania ustawionym na 10, może zobaczyć przekierowane odpowiedzi i nagłówki w logach.
Biblioteka ncurses do wersji v6.2-1 zawiera podatność na przepełnienie bufora sterty w funkcji _nc_captoinfo w pliku captoinfo.c.
W Redis 5.0.7 wykryto błąd segmentacji w komponencie redis-server, który może prowadzić do odmowy usługi (DOS). Producent nie potwierdził możliwości reprodukcji tego problemu w wydanej wersji 5.0.7.
Wszystkie wersje Apache Santuario - XML Security for Java przed 2.2.3 i 2.1.7 są podatne na problem, gdzie właściwość "secureValidation" nie jest poprawnie przekazywana podczas tworzenia KeyInfo z elementu KeyInfoReference. Pozwala to atakującemu nadużyć transformacji XPath do wyodrębnienia dowolnych lokalnych plików .xml w elemencie RetrievalMethod.
Libsixel w wersji 1.8.3 zawiera przepełnienie bufora na stercie w funkcji sixel_encode_highcolor w pliku tosixel.c. Ta podatność może prowadzić do nieautoryzowanego dostępu do pamięci.
Libsixel w wersji 1.8.2 zawiera przepełnienie bufora na stercie w funkcji dither_func_fs w pliku tosixel.c. Ta podatność może prowadzić do nieautoryzowanego dostępu do pamięci.
Delta Electronic DOPSoft 2 (wersja 2.00.07 i wcześniejsze) nieprawidłowo waliduje dane dostarczone przez użytkownika podczas parsowania określonych plików projektu. Może to skutkować wielokrotnymi zapisami poza granicami bufora. Atakujący może wykorzystać tę podatność do wykonania kodu w kontekście bieżącego procesu.
W MISP przed wersją 2.4.148, plik app/Lib/Export/OpendataExport.php niewłaściwie obsługuje parametr data, który jest używany w wywołaniu shell_exec.
W podatności CVE-2021-31843 w McAfee Endpoint Security (ENS) dla systemu Windows przed aktualizacją z września 2021 roku występuje niewłaściwe zarządzanie uprawnieniami. Umożliwia to lokalnym użytkownikom dostęp do plików, do których normalnie nie powinni mieć dostępu, poprzez manipulację linkami junction w celu przekierowania operacji folderów McAfee do niezamierzonej lokalizacji.
Podatność w Apache HTTP Server pozwala zdalnemu atakującemu na przekierowanie żądania przez mod_proxy do wybranego przez siebie serwera źródłowego. Wystarczy spreparowana ścieżka URI w żądaniu. Problem dotyczy wersji 2.4.48 i wcześniejszych.
W Jfinal CMS 5.1.0 wykryto nieprawidłową kontrolę dostępu, która umożliwia atakującym odczyt wrażliwych informacji poprzez bezpośrednie żądanie do pliku /classes/conf/db.properties&config=filemanager.config.js.
Podatność na obejście uwierzytelniania tożsamości w niektórych produktach Dahua podczas procesu logowania. Atakujący mogą obejść uwierzytelnianie urządzenia, konstruując złośliwe pakiety danych.
Podatność na obejście uwierzytelniania tożsamości w niektórych produktach Dahua podczas procesu logowania. Atakujący mogą obejść uwierzytelnianie urządzenia, konstruując złośliwe pakiety danych.
Podatność ujawniania informacji w aplikacji Microsoft Accessibility Insights for Android. Może pozwolić atakującemu na uzyskanie dostępu do poufnych danych.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS