Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność na odmowę usługi w sterowniku TCP/IP systemu Windows. Atakujący może spowodować awarię systemu.
W podatności CVE-2021-22779 występuje możliwość ominięcia uwierzytelniania poprzez spoofing w EcoStruxure Control Expert oraz powiązanych produktach. Dotyczy to wszystkich wersji przed V15.0 SP1 oraz wersji V15.0 SP1, co może prowadzić do nieautoryzowanego dostępu do kontrolera.
Podczas czytania specjalnie spreparowanego archiwum ZIP lub formatów pochodnych, build Apache Ant może zostać zmuszony do alokacji dużych ilości pamięci, co prowadzi do błędu braku pamięci, nawet dla małych danych wejściowych. Może to zakłócić buildy używające Apache Ant. Dotyczy wersji przed 1.9.16 i 1.10.11.
Podczas czytania specjalnie spreparowanego archiwum TAR, build Apache Ant może zostać zmuszony do alokacji dużych ilości pamięci, co prowadzi do błędu braku pamięci, nawet dla małych danych wejściowych. Może to zakłócić buildy używające Apache Ant. Dotyczy wersji przed 1.9.16 i 1.10.11.
Apache Tomcat w wersjach 10.0.0-M1 do 10.0.6, 9.0.0.M1 do 9.0.46 i 8.5.0 do 8.5.66 niepoprawnie parsował nagłówek transfer-encoding w niektórych sytuacjach, co umożliwia przemycanie żądań (request smuggling) w połączeniu z odwrotnym proxy. Tomcat ignorował nagłówek transfer-encoding, gdy klient deklarował akceptację tylko odpowiedzi HTTP/1.0, honorował kodowanie identity i nie zapewniał, że chunked encoding jest ostatnim kodowaniem.
Podatność CVE-2021-33012 dotyczy wszystkich wersji kontrolera MicroLogix 1100 firmy Rockwell Automation. Umożliwia zdalnemu, nieautoryzowanemu atakującemu wysyłanie specjalnie przygotowanych poleceń, co prowadzi do awarii PLC w trybie RUN, skutkując warunkami odmowy usługi.
Złośliwie przygotowany plik PDF, otwarty przez użytkownika w aplikacji Autodesk Design Review, może wywołać podatność typu Double Free. Atakujący może wykorzystać tę podatność do spowodowania uszkodzenia pamięci i wykonania dowolnego kodu w kontekście bieżącego procesu.
Kaseya VSA przed wersją 9.5.7 pozwala atakującym na obejście wymogu uwierzytelniania dwuskładnikowego (2FA). Weryfikacja 2FA jest wymuszana po stronie klienta, a nie serwera, co można obejść za pomocą lokalnego proxy.
W aplikacji HelpDeskTab/rcResults.asp stwierdzono odzwierciedlony atak XSS po uwierzytelnieniu. Parametr result w /HelpDeskTab/rcResults.asp jest niebezpiecznie zwracany w żądanej stronie, co umożliwia wykonanie ataku XSS. Podobny problem dotyczy parametru FileName w /done.asp.
Kaseya VSA przed wersją 9.5.7 umożliwia ujawnienie poświadczeń. Domyślna strona pobierania klientów (dl.asp) nie wymaga uwierzytelnienia i generuje plik KaseyaD.ini zawierający Agent_Guid i AgentPassword, które można wykorzystać do uzyskania sesji (sessionId) i obejścia uwierzytelnienia.
W systemie PbootCMS w wersji 2.0.3 wykryto podatność na atak typu Cross-Site Scripting (XSS) w pliku admin.php. Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript do panelu administracyjnego.
W systemie XYHCMS V3.6 wykryto podatność na fałszerstwo żądania międzywitrynowego (CSRF) w URI /xyhai.php?s=/Auth/editUser. Umożliwia ona atakującemu modyfikację danych administratora, w tym nazwy, adresu e-mail i hasła.
W Metinfo 7.0 beta w pliku /admin/?n=logs&c=index&a=dode występuje ślepa iniekcja SQL, która umożliwia atakującym dostęp do wrażliwych danych w bazie danych.
W baigo CMS w wersji 4.0-beta-1 odkryto podatność na atak typu Cross-Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML poprzez parametr 'post' w formularzu wysyłanym do /public/console/profile/info-submit/.
Podatność w WinWaste.NET w wersji 1.0.6183.16475 wynika z nieprawidłowych uprawnień, co pozwala lokalnemu nieuprzywilejowanemu użytkownikowi na zastąpienie pliku wykonywalnego złośliwym plikiem, który zostanie uruchomiony z uprawnieniami 'LocalSystem'.
W Teradici PCoIP Management Console-Enterprise 20.07.0, nieuwierzytelniony użytkownik może wstrzyknąć dowolny tekst do przeglądarki ofiary za pośrednictwem aplikacji webowej.
Mikrotik RouterOS 6.44.5 (gałąź long-term) zawiera podatność polegającą na uszkodzeniu pamięci w procesie /nova/bin/console. Uwierzytelniony zdalny atakujący może wywołać odmowę usługi (dereferencja wskaźnika NULL).
Mikrotik RouterOS 6.44.5 (gałąź long-term) zawiera podatność polegającą na błędzie asercji w procesie /nova/bin/console. Uwierzytelniony zdalny atakujący może wywołać odmowę usługi poprzez spreparowany pakiet.
W MISP przed wersją 2.4.146 występuje podatność na przechowywane XSS w widoku grup udostępniania, zlokalizowanym w pliku app/View/SharingGroups/view.ctp.
Odkryto podatność polegającą na zapisie poza zakresem sterty w jądrze Linux od wersji v2.6.19-rc1 w pliku net/netfilter/x_tables.c. Pozwala to atakującemu na uzyskanie uprawnień lub spowodowanie DoS (poprzez uszkodzenie pamięci sterty) przez przestrzeń nazw użytkownika.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS