Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność w handlerze wiadomości SSL/TLS w Cisco Firepower Threat Defense (FTD) pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wywołanie przeładowania urządzenia, powodując odmowę usługi (DoS). Problem wynika z niewystarczającej walidacji wiadomości SSL/TLS podczas odszyfrowywania. Atak polega na wysłaniu spreparowanej wiadomości SSL/TLS przez urządzenie.
Podatność w CLI oprogramowania Cisco Firepower Threat Defense (FTD) umożliwia uwierzytelnionemu lokalnemu atakującemu nadpisywanie plików w systemie plików urządzenia przy użyciu technik traversal katalogów. Podatność wynika z niewystarczającej walidacji danych wejściowych użytkownika dla ścieżki pliku w konkretnym poleceniu CLI. Udany atak może spowodować niestabilność systemu, jeśli nadpisane zostaną ważne pliki systemowe.
Podatność typu path traversal w interfejsach webowych routerów Buffalo WSR-2533DHPL2 (firmware <= 1.02) oraz WSR-2533DHP3 (firmware <= 1.24). Umożliwia nieuwierzytelnionemu zdalnemu atakującemu obejście mechanizmu uwierzytelniania.
Unbound przed wersją 1.9.5 pozwala na wstrzyknięcie konfiguracji w skrypcie create_unbound_ad_servers.sh po udanym ataku man-in-the-middle na sesję HTTP bez szyfrowania. Producent nie uważa tego za podatność samego Unbound, ponieważ skrypt jest wkładem społeczności, a nie częścią instalacji Unbound.
Błąd typu (type confusion) w V8 w przeglądarce Google Chrome przed wersją 90.0.4430.85 umożliwiał zdalnemu atakującemu wykonanie dowolnego kodu wewnątrz piaskownicy za pomocą spreparowanej strony HTML.
Niewystarczająca walidacja niezaufanych danych wejściowych w V8 w przeglądarce Google Chrome przed wersją 89.0.4389.128 umożliwiała zdalnemu atakującemu potencjalne wykorzystanie uszkodzenia sterty (heap corruption) za pomocą spreparowanej strony HTML.
Użycie po zwolnieniu (use-after-free) w Blink w przeglądarce Google Chrome przed wersją 89.0.4389.128 umożliwiało zdalnemu atakującemu potencjalne wykorzystanie uszkodzenia sterty (heap corruption) za pomocą spreparowanej strony HTML.
Sonatype Nexus Repository Manager 3 Pro w wersjach do 3.30.0 włącznie posiada nieprawidłową kontrolę dostępu. Błąd może pozwolić na nieautoryzowany dostęp do zasobów repozytorium.
W MISP 2.4.141 w pliku app/Model/MispObject.php występuje błąd związany z nieprawidłowym powiązaniem grupy udostępniania, co może prowadzić do ujawnienia informacji podczas edytowania zdarzenia. Zamiast używać obiektu grupy udostępniania, ponownie wykorzystuje się przekazany lokalny identyfikator.
W GitLab CE/EE od wersji 11.9 wykryto podatność polegającą na nieprawidłowej walidacji plików graficznych przekazywanych do parsera. Umożliwia to zdalne wykonanie kodu.
Nieprawidłowa neutralizacja danych użytkownika w formacie pliku DjVu w ExifTool w wersjach 7.44 i nowszych umożliwia wykonanie dowolnego kodu podczas przetwarzania złośliwego obrazu.
Pulse Connect Secure 9.0R3/9.1R1 i nowsze są podatne na obejście uwierzytelniania w funkcjach Windows File Share Browser i Pulse Secure Collaboration, co może pozwolić nieuwierzytelnionemu użytkownikowi na zdalne wykonanie dowolnego kodu na bramie Pulse Connect Secure. Ta podatność była wykorzystywana w środowisku produkcyjnym.
W produkcie Oracle HRMS (Francja) z pakietu Oracle E-Business Suite (komponent: French HR) w wersjach 12.1.1-12.1.3 istnieje łatwo wykorzystywalna podatność, pozwalająca atakującemu z niskimi uprawnieniami i dostępem sieciowym przez HTTP na nieautoryzowane tworzenie, usuwanie lub modyfikację krytycznych danych oraz uzyskanie pełnego dostępu do wszystkich danych systemu.
W jądrze Linux w implementacji gniazd SCTP (net/sctp/socket.c) przed wersją 5.12-rc8 występuje wyścig. Jeśli funkcja sctp_destroy_sock zostanie wywołana bez blokady addr_wq_lock, element jest usuwany z listy auto_asconf_splist bez odpowiedniego blokowania. Może to zostać wykorzystane przez atakującego z uprawnieniami usługi sieciowej do eskalacji do roota lub przez nieuprzywilejowanego użytkownika, jeśli dołączony jest BPF_CGROUP_INET_SOCK_CREATE blokujący tworzenie niektórych gniazd SCTP.
Oprogramowanie AdTran Personal Phone Manager 10.8.1 zawiera podatność umożliwiającą eksfiltrację danych przez DNS. Atakujący może wykorzystać odsłonięte serwery WWW jako przekierowywacze DNS do tunelowania dowolnych danych.
Oprogramowanie AdTran Personal Phone Manager jest podatne na wiele odbitych ataków typu cross-site scripting (XSS). Podatność dotyczy co najmniej wersji 10.8.1 i wcześniejszych, ale może również wpływać na nowsze wersje. Urządzenia NetVanta 7060 i NetVanta 7100 są wycofane z eksploatacji i nie otrzymają łatki.
Oprogramowanie AdTran Personal Phone Manager jest podatne na uwierzytelniony, trwały atak XSS (przechowywany cross-site scripting). Podatność dotyczy co najmniej wersji 10.8.1 i starszych, ale może również występować w nowszych wersjach. Urządzenia NetVanta 7060 i NetVanta 7100 są wycofane z eksploatacji, więc luka nie zostanie załatana.
SonicWall Email Security w wersji 10.0.9.x zawiera podatność umożliwiającą uwierzytelnionemu atakującemu odczyt dowolnego pliku na zdalnym hoście.
W module f2fs jądra Linux (plik fs/f2fs/node.c) przed wersją 5.12.0-rc4 występuje błąd dostępu do pamięci poza zakresem (OOB) z powodu nieprawidłowego sprawdzania granic. Lokalny atakujący może uzyskać dostęp do pamięci poza zakresem, co prowadzi do awarii systemu lub wycieku wewnętrznych informacji jądra.
GStreamer przed wersją 1.18.4 może powodować uszkodzenie sterty podczas analizowania niektórych źle sformatowanych plików Matroska.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS