Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność zdalnego wykonania kodu w usłudze Windows Print Spooler wynika z nieprawidłowego wykonywania operacji na plikach z podwyższonymi uprawnieniami. Atakujący może wykorzystać ją do uruchomienia dowolnego kodu z uprawnieniami SYSTEM, co pozwala na instalowanie programów, modyfikację danych lub tworzenie kont z pełnymi prawami. Microsoft opublikował aktualizacje zabezpieczeń, ale wymagane jest również sprawdzenie ustawień rejestru i zasad grupy.
Podatność typu use-after-free w komponencie WebGL przeglądarki Google Chrome w wersjach przed 91.0.4472.114. Zdalny atakujący może potencjalnie wykorzystać uszkodzenie pamięci (heap corruption) poprzez specjalnie spreparowaną stronę HTML.
Tesseract OCR w wersji 5.0.0-alpha-20201231 zawiera podatność typu use-after-free w funkcji one_ell_conflict, występującą podczas wywołania strpbrk. Błąd może prowadzić do nieprawidłowego dostępu do zwolnionej pamięci.
Plixer Scrutinizer 19.0.2 zawiera podatność na wstrzykiwanie SQL. Atakujący może zdalnie uzyskać dostęp do wrażliwych danych.
Podatność XSS w Chevereto przed wersją 3.17.1 umożliwia atakującemu wstrzyknięcie złośliwego skryptu poprzez tytuł obrazu podczas przesyłania pliku.
Złośliwy lub błędny frontend sieci PV może wymusić na netbacku Linuksa wyłączenie interfejsu i zakończenie wątku jądra związanego z kolejką 0, co prowadzi do użycia po zwolnieniu (use-after-free) podczas niszczenia backendu.
W MVISION EDR (MVEDR) przed wersją 3.4.0 występuje podatność na wstrzykiwanie poleceń, która pozwala uwierzytelnionemu administratorowi MVEDR na wywołanie klienta EDR do wykonania dowolnych poleceń za pomocą PowerShell poprzez funkcjonalność EDR 'wykonaj reakcję'.
W MISP w wersji 2.4.144 w pliku app/View/Elements/genericElements/IndexTable/Fields/generic_field.ctp nie oczyszczono niektórych danych związanych z generic-template:index.
W oprogramowaniu sprzętowym TrippLite SU2200RTXL2Ua w wersji 12.04.0055 odkryto podatność na trwały atak XSS w skrypcie /Forms/device_vars_1. Umożliwia ona uwierzytelnionym atakującym wstrzyknięcie złośliwego skryptu poprzez spreparowane żądanie POST, co prowadzi do kradzieży danych innych użytkowników.
PHPGurukul Hospital Management System w wersji 4.0 zawiera podatność na wstrzykiwanie SQL w pliku \hms\change-emaild.php. Zdalny, nieuwierzytelniony atakujący może wykorzystać tę lukę do uzyskania wrażliwych danych z bazy.
W Typesetter 5.1 wykryto podatność na atak XSS (Cross-Site Scripting) poprzez pola className i Description w skrypcie index.php/Admin/Classes. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce ofiary.
W MetInfo 7.0.0 wykryto podatność na atak typu Cross Site Scripting (XSS) poprzez parametr gourl w pliku login.php. Umożliwia ona wstrzyknięcie złośliwego kodu JavaScript do strony logowania.
Router D-Link DIR-2640-US w wersji 1.01B04 przechowuje hasło systemowe w postaci jawnego tekstu. Urządzenie nie korzysta z zarządzania użytkownikami systemu Linux, a hasła są identyczne dla wszystkich urządzeń i nie mogą być zmienione przez zwykłych użytkowników. Atakujący może łatwo zalogować się przez port szeregowy i uzyskać uprawnienia root.
Router D-Link DIR-2640-US w wersji 1.01B04 posiada podatność na nieprawidłową kontrolę dostępu. Podczas konfiguracji PPPoE uruchamiany jest proces Quagga monitorujący całą sieć, który używa domyślnego hasła i portu. Atakujący może łatwo zalogować się przez Telnet, modyfikować routing, monitorować ruch wszystkich urządzeń, przechwytywać DNS i przeprowadzać ataki phishingowe.
W routerze D-Link DIR-2640-US w wersji 1.01B04 wykryto podatność na przepełnienie bufora. W niektórych procesach urządzenia występuje wiele błędów odczytu/zapisu poza dozwolonym obszarem pamięci. Lokalni użytkownicy mogą nadpisywać zmienne globalne w sekcji .bss, co prowadzi do awarii procesów lub zmiany ich działania.
W oprogramowaniu routera D-Link AC2600 (DIR-2640) w wersji 1.01B04 wykryto wiele podatności typu out-of-bounds. Pozwalają one na eskalację uprawnień ze zwykłych do administratorskich, co umożliwia lokalne wykonanie dowolnego kodu.
W jądrze InsydeH2O 5.x niektóre sterowniki SMM nieprawidłowo walidują parametry CommBuffer i CommBufferSize, co pozwala wywołującym na uszkodzenie pamięci firmware lub systemu operacyjnego. Dotyczy sterowników AhciBusDxe, IdeBusDxe, NvmExpressDxe, SdHostDriverDxe i SdMmcDeviceDxe.
Podatność w konsoli zarządzania SafeNet KeySecure 8.12.0 umożliwia ataki polegające na dzieleniu odpowiedzi HTTP. Zdalny atakujący może wykorzystać specjalnie spreparowany URL, aby po kliknięciu przez ofiarę serwer zwrócił rozdzieloną odpowiedź.
Podatność typu type confusion w silniku V8 przeglądarki Google Chrome w wersjach przed 91.0.4472.101. Zdalny atakujący może potencjalnie wykorzystać uszkodzenie pamięci (heap corruption) poprzez specjalnie spreparowaną stronę HTML.
Podatność CWE-552 w oprogramowaniu sprzętowym Easergy T300 w wersji V2.7.1 i starszych umożliwia nieautoryzowanym atakującym dostęp do plików i katalogów systemowych. Brak odpowiednich ograniczeń dostępu pozwala na ujawnienie poufnych danych.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS