Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność deserializacji w systemach Apple, naprawiona w Security Update 2021-005 Catalina, iOS 12.5.5, iOS 14.8 i iPadOS 14.8, macOS Big Sur 11.6 oraz watchOS 7.6.2, może pozwolić procesowi w sandboxie na obejście ograniczeń sandboxa. Apple potwierdza aktywne wykorzystywanie tej luki.
Podatność przepełnienia bufora w systemach Apple, naprawiona w iOS 15.2 i iPadOS 15.2, może pozwolić aplikacji na wykonanie dowolnego kodu z uprawnieniami jądra.
Wykryto przepełnienie całkowitoliczbowe, które zostało naprawione dzięki poprawionej walidacji wejścia. Problem ten został rozwiązany w tvOS 15.2, macOS Monterey 12.1, Safari 15.2, iOS 15.2, iPadOS 15.2 oraz watchOS 8.3.
Podatność zapisu poza zakresem w systemach Apple, naprawiona w iOS 14.8.1 i iPadOS 14.8.1 oraz iOS 15.1 i iPadOS 15.1, może pozwolić złośliwej aplikacji na wykonanie dowolnego kodu z uprawnieniami jądra.
Podatność uszkodzenia pamięci w systemach Apple, naprawiona w iOS 15.0.2 i iPadOS 15.0.2, macOS Monterey 12.0.1, iOS 14.8.1 i iPadOS 14.8.1, tvOS 15.1, watchOS 8.1 oraz macOS Big Sur 11.6.1, może pozwolić aplikacji na wykonanie dowolnego kodu z uprawnieniami jądra. Apple potwierdza aktywne wykorzystywanie tej luki.
Podatność polegająca na pomyłce typu w systemach Apple, naprawiona w iOS 12.5.5, iOS 14.4 i iPadOS 14.4, macOS Big Sur 11.2 oraz aktualizacjach zabezpieczeń, może pozwolić złośliwej aplikacji na wykonanie dowolnego kodu z uprawnieniami jądra. Apple potwierdza istnienie exploitów w środowisku naturalnym.
Podatność przepełnienia liczby całkowitej w systemach Apple, naprawiona w Security Update 2021-005 Catalina, iOS 14.8 i iPadOS 14.8, macOS Big Sur 11.6 oraz watchOS 7.6.2, może prowadzić do wykonania dowolnego kodu podczas przetwarzania złośliwie spreparowanego pliku PDF. Apple potwierdza aktywne wykorzystywanie tej luki.
Podatność use-after-free w WebKit, naprawiona przez poprawę zarządzania pamięcią. Przetwarzanie złośliwie spreparowanych treści internetowych może prowadzić do wykonania dowolnego kodu. Apple wie o raporcie, że problem mógł być aktywnie wykorzystywany.
W OpenSSL, struktura ASN1_STRING, która przechowuje dane ciągu ASN.1, może nie być poprawnie zakończona znakiem NUL. Aplikacje mogą tworzyć poprawne struktury ASN1_STRING, które nie kończą się tym znakiem, co prowadzi do potencjalnych problemów z bezpieczeństwem w funkcjach drukujących dane ASN.1.
XStream to biblioteka do serializacji obiektów do XML i z powrotem. W dotkniętych wersjach podatność może pozwolić zdalnemu atakującemu z wystarczającymi uprawnieniami na wykonanie poleceń na hoście poprzez manipulację przetwarzanym strumieniem wejściowym. Użytkownicy, którzy zastosowali się do zaleceń dotyczących skonfigurowania frameworka bezpieczeństwa XStream z białą listą ograniczoną do minimalnych wymaganych typów, nie są dotknięci. XStream 1.4.18 nie używa już domyślnie czarnej listy, ponieważ nie może być zabezpieczony do ogólnych celów.
MISP w wersji 2.4.148, w określonych konfiguracjach, umożliwia atak typu SQL injection poprzez wartość $conditions['org'] w pliku app/Model/Log.php.
Realtek Jungle SDK w wersjach od v2.x do v3.4.14B zawiera wbudowany serwer HTTP z interfejsem zarządzania (webs lub boa), który jest podatny na wiele przepełnień bufora stosu oraz zdalne wykonanie dowolnych poleceń. Podatności występują m.in. w funkcjach formRebootCheck, formWsc, formWlanMultipleAP, formWlSiteSurvey, formStaticDHCP i formSysCmd i wynikają z niebezpiecznego kopiowania parametrów takich jak submit-url, ifname, hostname, peerPin czy sysCmd. Udana eksploatacja pozwala zdalnemu atakującemu na wykonanie dowolnego kodu na urządzeniu.
Realtek Jungle SDK w wersjach od v2.x do v3.4.14B zawiera narzędzie diagnostyczne 'MP Daemon' (zwykle kompilowane jako 'UDPServer'), które jest podatne na wiele błędów uszkodzenia pamięci oraz podatność na wstrzyknięcie dowolnych poleceń, wykorzystywaną przez zdalnych nieuwierzytelnionych atakujących.
Podatne wersje Atlassian Jira Server i Data Center pozwalają zdalnym atakującym na odczyt określonych plików poprzez podatność path traversal w punkcie końcowym /WEB-INF/web.xml. Dotyczy wersji przed 8.5.14, od 8.6.0 przed 8.13.6 oraz od 8.14.0 przed 8.16.1.
Sunhillo SureLine przed wersją 8.7.0.1.1 pozwala na nieuwierzytelnione wstrzyknięcie poleceń systemu operacyjnego przez metaznaki powłoki w parametrach ipAddr lub dnsAddr w /cgi/networkDiag.cgi.
Podatność w Nagios XI przed wersją 5.8.5 umożliwia lokalną eskalację uprawnień. Wynika to z importowania pliku xi-sys.cfg z katalogu var przez skrypty uruchamiane z podwyższonymi uprawnieniami.
Podatność zdalnego wykonania kodu w usłudze Windows Print Spooler, która nieprawidłowo wykonuje uprzywilejowane operacje na plikach. Atakujący może uruchomić dowolny kod z uprawnieniami SYSTEM, instalować programy, przeglądać, zmieniać lub usuwać dane oraz tworzyć nowe konta z pełnymi prawami.
Podatność na cross-site scripting (XSS) w Microsoft Dynamics 365 (on-premises). Umożliwia wstrzyknięcie złośliwego skryptu do aplikacji.
Podatność w Microsoft Azure Active Directory Connect umożliwia obejście uwierzytelniania. Atakujący może uzyskać nieautoryzowany dostęp do systemu.
Podatność podniesienia uprawnień w usłudze Windows Update Medic Service.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS