Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
GStreamer przed wersją 1.18.4 może uzyskiwać dostęp do już zwolnionej pamięci w ścieżkach kodu błędów podczas demuksowania niepoprawnie sformatowanych plików Matroska.
Implementacja overlayfs w jądrze Linux nie walidowała poprawnie ustawiania capabilities plików w odniesieniu do przestrzeni nazw użytkowników. W połączeniu z nieuprzywilejowanymi przestrzeniami nazw i łatką w jądrze Ubuntu umożliwiającą nieuprzywilejowane montowanie overlay, atakujący mógł uzyskać podwyższone uprawnienia.
Podatność typu command injection w systemach QTS oraz QuTS hero firmy QNAP. Wykorzystanie podatności pozwala atakującemu na wykonanie dowolnych poleceń w kontekście zaatakowanej aplikacji.
Biblioteka jose, używana do operacji kryptograficznych, zawiera podatność w algorytmie AES_CBC_HMAC_SHA2, która pozwala na wykorzystanie oracle padding do odszyfrowania danych bez znajomości klucza. W przypadku błędu w paddingu, różnice w czasie odpowiedzi mogą być obserwowalne, co umożliwia atakującemu przeprowadzenie ataku.
System Recenzenta Online w wersji 1.0 zawiera podatność na wstrzykiwanie SQL poprzez obejście uwierzytelniania, co może prowadzić do przesyłania powłoki odwrotnej.
W Appspace 6.2.4 wykryto podatność w mechanizmie uwierzytelniania. Strony takie jak /medianet/mail.aspx mogą być wywoływane bezpośrednio, co ujawnia framework z układami, menu i funkcjonalnościami.
W bibliotece Libsixel w wersji 1.8.6 występuje przepełnienie bufora w funkcji 'sixel_encoder_encode_bytes', co umożliwia atakującym wywołanie odmowy usługi (DoS).
Podatność na eskalację uprawnień w składniku Win32k systemu Windows.
Apache Commons IO przed wersją 2.7 zawiera podatność na ograniczoną trawersję ścieżek (path traversal) w metodzie FileNameUtils.normalize. Przy nieprawidłowym wejściu, takim jak "//../foo" lub "\\..\foo", wynik jest taki sam, co może umożliwić dostęp do plików w katalogu nadrzędnym, ale nie wyżej.
Podatność w telefonie IP INTELBRAS TIP200 w wersji 60.61.75.22 umożliwia atakującemu dostęp do wrażliwych informacji poprzez endpoint /cgi-bin/cgiServer.exx.
Podatność w SonicWall Email Security w wersji 10.0.9.x umożliwia uwierzytelnionemu atakującemu przesłanie dowolnego pliku na zdalny host.
Podatność w SonicWall Email Security w wersji 10.0.9.x pozwala atakującemu na utworzenie konta administracyjnego poprzez wysłanie spreparowanego żądania HTTP do zdalnego hosta.
Unibox SMB 2.4, UniBox Enterprise Series 2.4 oraz UniBox Campus Series 2.4 zawierają podatność na fałszerstwo żądania międzywitrynowego (CSRF) w kilku endpointach, takich jak /tools/network-trace, /list_users, /list_byod?usertype=raduser, /dhcp_leases oraz /go?rid=202. Specjalnie spreparowane żądanie HTTP może umożliwić atakującemu ponowne skonfigurowanie urządzenia bez zgody administratora.
Urządzenia UniBox U-50 2.4, Enterprise Series 2.4 oraz Campus Series 2.4 zawierają podatność na wstrzykiwanie poleceń systemu operacyjnego w skrypcie /tools/ping. Luka ta umożliwia atakującemu przejęcie pełnej kontroli nad urządzeniem.
W pakiecie jsrsasign w wersjach do 10.1.13 dla Node.js, niektóre nieprawidłowe podpisy RSA PKCS#1 v1.5 są błędnie uznawane za ważne. Nie ma znanego praktycznego ataku wykorzystującego tę podatność.
W RetroArch 1.9.0 dla Windows, funkcja accessibility_speak_windows w pliku platform_win32.c przekazuje niesprawdzony tekst do PowerShell, co umożliwia atakującym z dostępem do zapisu na systemach plików używanych przez RetroArch wykonanie kodu poprzez wstrzyknięcie poleceń za pomocą specjalnie spreparowanych nazw plików i katalogów.
Froala Editor 3.2.6 zawiera podatność na trwały atak XSS. Specjalnie spreparowany ciąg base64 w module tworzenia hiperłączy umożliwia wstrzyknięcie złośliwego skryptu.
Podatność została naprawiona poprzez lepsze zarządzanie czasem życia obiektów. Problem występuje w iOS 12.5.2, iOS 14.4.2, iPadOS 14.4.2 oraz watchOS 7.3.3 i polega na tym, że przetwarzanie złośliwie spreparowanej treści internetowej może prowadzić do uniwersalnego cross-site scripting. Apple wie o raportach, że podatność mogła być aktywnie wykorzystywana.
Błąd logiczny w systemach Apple został naprawiony poprzez zaostrzenie ograniczeń. Podatność występuje w macOS Big Sur 11.2, Security Update 2021-001 Catalina, Security Update 2021-001 Mojave, iOS 14.4 oraz iPadOS 14.4. Zdalny atakujący może doprowadzić do wykonania dowolnego kodu.
Błąd logiczny w systemach Apple został naprawiony poprzez zaostrzenie ograniczeń. Podatność występuje w macOS Big Sur 11.2, Security Update 2021-001 Catalina, Security Update 2021-001 Mojave, iOS 14.4 oraz iPadOS 14.4. Zdalny atakujący może doprowadzić do wykonania dowolnego kodu.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS