Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.23)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Aplikacja blogowa XWiki w wersjach od 9.15 do 9.15.6 jest podatna na Stored Cross-Site Scripting (XSS) przez tytuł wpisu na blogu. Tytuł jest wstrzykiwany bezpośrednio do znacznika <title> bez odpowiedniego escapowania, co pozwala atakującemu z uprawnieniami do tworzenia wpisów na wykonanie skryptów w przeglądarce każdego użytkownika, w tym administratorów. Podatność została naprawiona w wersji 9.15.7.
W podatności CVE-2025-70225 występuje przepełnienie bufora stosu w urządzeniu D-Link DIR-513 w wersji 1.10, które jest wywoływane przez parametr curtime w komponencie goform/formEasySetupWWConfig.
W podatności CVE-2025-70221 występuje przepełnienie bufora stosu w urządzeniu D-Link DIR-513 w wersji 1.10, które jest spowodowane przez parametr curTime w funkcji goform/formLogin.
D-link Dir-513 A1FW110 jest podatny na przepełnienie bufora w funkcji formTcpipSetup. Ta podatność może prowadzić do nieautoryzowanego dostępu lub wykonania złośliwego kodu.
Niewystarczająca walidacja danych w nawigacji w Google Chrome przed wersją 145.0.7632.159 umożliwiała zdalnemu atakującemu potencjalne wykonanie ucieczki z piaskownicy za pomocą spreparowanej strony HTML.
W podatności CVE-2025-70219 występuje przepełnienie bufora stosu w urządzeniu D-Link DIR-513 w wersji 1.10, które można wykorzystać poprzez interfejs goform/formDeviceReboot.
W podatności CVE-2025-70226 występuje przepełnienie bufora stosu w urządzeniu D-Link DIR-513 w wersji 1.10, które jest wywoływane przez parametr curTime w funkcji goform/formEasySetupWizard.
W podatności CVE-2025-70223 występuje przepełnienie bufora stosu w urządzeniu D-Link DIR-513 w wersji 1.10, które jest spowodowane przez parametr curTime w funkcji goform/formAdvNetwork.
Podatność w interfejsie zarządzania opartym na sieci web oprogramowania Cisco Secure Firewall Management Center (FMC) może pozwolić nieautoryzowanemu, zdalnemu atakującemu na wykonanie dowolnego kodu Java jako root na podatnym urządzeniu. Problem wynika z niebezpiecznej deserializacji strumienia bajtów Java dostarczonego przez użytkownika.
Podatność w interfejsie sieciowym Cisco Secure Firewall Management Center (FMC) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu ominięcie uwierzytelniania i wykonanie skryptów w celu uzyskania dostępu root do systemu operacyjnego. Problem wynika z nieprawidłowego procesu systemowego tworzonego podczas uruchamiania.
W podatności CVE-2025-70220 występuje przepełnienie bufora stosu w urządzeniu D-Link DIR-513 w wersji 1.10, które jest wywoływane przez parametr curTime w funkcji goform/formAutoDetecWAN_wizard4.
W podatności CVE-2025-70218 występuje przepełnienie bufora stosu w urządzeniu D-Link DIR-513 w wersji 1.10, które można wykorzystać poprzez wysłanie żądania POST do komponentu goform/formAdvFirewall.
Craft to system zarządzania treścią (CMS), który przed wersjami 5.9.0-beta.1 i 4.17.0-beta.1 implementował listę blokującą, aby zapobiec wywoływaniu potencjalnie niebezpiecznych funkcji PHP przez funkcje strzałkowe Twig. Wiele funkcji PHP nie zostało uwzględnionych na liście blokującej, co może umożliwić atakującym wykonanie różnych typów ładunków, w tym RCE, odczytów plików, SSRF i SSTI.
Craft to system zarządzania treścią (CMS). Przed wersjami 4.17.0-beta.1 i 5.9.0-beta.1, uwierzytelniony administrator mógł osiągnąć zdalne wykonanie kodu (RCE) poprzez wstrzyknięcie ładunku SSTI do pól szablonów Twig, co pozwalało na zapisanie złośliwego skryptu PHP w katalogu dostępnym przez sieć.
Brak mechanizmów uwierzytelniania i autoryzacji w protokole komunikacyjnym Bluetooth Low Energy (BLE) w urządzeniu SRK Powertech Pvt Ltd Pebble Prism Ultra v2.9.2 umożliwia atakującym inżynierię wsteczną protokołu oraz wykonywanie dowolnych poleceń na urządzeniu bez nawiązywania połączenia. Wykorzystanie tej podatności możliwe jest w zasięgu Bluetooth Low Energy (BLE) bez potrzeby fizycznego kontaktu z urządzeniem.
Podatność typu SQL Injection w wersji 1.0.7 i wcześniejszych w bazie danych vran-dev umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez parametr zapytania w punkcie końcowym API wyszukiwania.
Problem w komponencie HwRwDrv.sys narzędzia Nil Hardware Editor Hardware Read & Write Utility w wersji 1.25.11.26 i wcześniejszych umożliwia atakującym wykonywanie dowolnych operacji odczytu i zapisu za pomocą spreparowanego żądania.
W urządzeniach Mobvoi Tichome Mini (modele 012-18853 i 027-58389) występuje podatność na wstrzykiwanie poleceń powłoki, która umożliwia zdalnym atakującym wysyłanie specjalnie przygotowanych datagramów UDP i wykonywanie dowolnego kodu powłoki jako konto root.
Wersja 3.4.2 i wcześniejsze 2N Access Commander niewłaściwie unieważniają tokeny sesji, co pozwala na utrzymanie aktywnych wielu ciasteczek sesyjnych po wylogowaniu z aplikacji webowej.
Brak uwierzytelniania dla krytycznej funkcji (CWE-306) w Apache Artemis i Apache ActiveMQ Artemis. Nieuwierzytelniony zdalny atakujący może użyć protokołu Core, aby zmusić docelowego brokera do ustanowienia wychodzącego połączenia federacyjnego Core z kontrolowanym przez atakującego złośliwym brokerem. Może to potencjalnie prowadzić do wstrzyknięcia wiadomości do dowolnej kolejki i/lub wycieku wiadomości z dowolnej kolejki za pośrednictwem złośliwego brokera.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS