Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność na zdalne wykonanie kodu w Microsoft Exchange Server. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.
Podatność zdalnego wykonania kodu w Microsoft Exchange Server. Umożliwia atakującemu wykonanie dowolnego kodu na serwerze.
W MISP 2.4.139 odkryto problem w pliku app/Model/SharingGroupServer.php, który w implementacji grup udostępniania czasami przyznawał dostęp do widoku niezamierzonym podmiotom poprzez flagę 'wszystkie organizacje'.
W Veritas Backup Exec przed wersją 21.2 występuje podatność w schemacie uwierzytelniania SHA. Atakujący może uzyskać nieautoryzowany dostęp i wykonać dowolne polecenia z uprawnieniami systemowymi.
W Veritas Backup Exec przed wersją 21.2 występuje podatność w schemacie uwierzytelniania SHA, który nie został wyłączony. Atakujący może zdalnie wykorzystać ten schemat do uzyskania nieautoryzowanego dostępu do agenta i wykonania uprzywilejowanych poleceń.
W Veritas Backup Exec przed wersją 21.2 występuje podatność w schemacie uwierzytelniania SHA. Atakujący może uzyskać nieautoryzowany dostęp i za pomocą spreparowanych parametrów wejściowych uzyskać dostęp do dowolnego pliku w systemie z uprawnieniami System.
Poprawka dla CVE-2020-9484 była niekompletna. Podczas korzystania z Apache Tomcat 10.0.0-M1 do 10.0.0, 9.0.0.M1 do 9.0.41, 8.5.0 do 8.5.61 lub 7.0.0 do 7.0.107 z konfiguracją, która była bardzo mało prawdopodobna do użycia, instancja Tomcat była nadal podatna na CVE-2020-9494. Należy zauważyć, że zarówno wcześniej opublikowane wymagania wstępne dla CVE-2020-9484, jak i wcześniej opublikowane środki łagodzące dla CVE-2020-9484 mają również zastosowanie do tego problemu.
Apache Tomcat w wersjach 10.0.0-M1 do 10.0.0, 9.0.0.M1 do 9.0.41 oraz 8.5.0 do 8.5.61, podczas odpowiadania na nowe żądania połączeń h2c, może duplikować nagłówki żądań i ograniczoną ilość treści żądania z jednego żądania do drugiego, co oznacza, że użytkownik A i użytkownik B mogą widzieć wyniki żądania użytkownika A.
Urządzenia SerComm AG Combo VD625 z oprogramowaniem AGSOT_2.1.0 są podatne na wstrzykiwanie znaków CRLF w funkcji pobierania plików. Atakujący może manipulować nagłówkiem Content-Disposition, co umożliwia wstrzyknięcie dowolnych nagłówków HTTP.
Podatność CVE-2021-24105 pozwala atakującemu na wprowadzenie złośliwego pakietu do repozytoriów menedżerów pakietów, co może prowadzić do zdalnego wykonania kodu. Dotyczy to wielu menedżerów pakietów w różnych językach programowania, takich jak Python/pip, .NET/NuGet, Java/Maven oraz JavaScript/npm.
Podatność w komponencie Win32k systemu Windows umożliwia podniesienie uprawnień. Atakujący może wykorzystać ją do uzyskania wyższych uprawnień w systemie.
Moduł mongodb-client-encryption w wersji 1.2.0 dla Node.js nie wykonuje poprawnej walidacji certyfikatu serwera KMS. W połączeniu z atakiem MITM z uprzywilejowanej pozycji sieciowej może to umożliwić przechwycenie ruchu między sterownikiem Node.js a usługą KMS, co czyni szyfrowanie na poziomie pól (CSFLE) nieskutecznym.
OpenSLP używany w ESXi (7.0 przed ESXi70U1c-17325551, 6.7 przed ESXi670-202102401-SG, 6.5 przed ESXi650-202102101-SG) ma podatność na przepełnienie sterty. Złośliwy aktor znajdujący się w tej samej sieci co ESXi, mający dostęp do portu 427, może wywołać problem przepełnienia sterty w usłudze OpenSLP, co może prowadzić do zdalnego wykonania kodu.
Klient vSphere (HTML5) zawiera podatność SSRF (Server Side Request Forgery) z powodu nieprawidłowej walidacji adresów URL w wtyczce vCenter Server. Złośliwy aktor z dostępem sieciowym do portu 443 może wykorzystać tę lukę, wysyłając żądanie POST do wtyczki vCenter Server, co prowadzi do ujawnienia informacji.
Klient vSphere (HTML5) zawiera podatność na zdalne wykonanie kodu we wtyczce vCenter Server. Osoba atakująca z dostępem sieciowym do portu 443 może wykorzystać ten problem do wykonania poleceń z nieograniczonymi uprawnieniami na systemie operacyjnym hostującym vCenter Server. Dotyczy to VMware vCenter Server (7.x przed 7.0 U1c, 6.7 przed 6.7 U3l i 6.5 przed 6.5 U3n) oraz VMware Cloud Foundation (4.x przed 4.2 i 3.x przed 3.10.1.2).
W bibliotece Yz1 w wersjach 0.30 i 0.32, używanej w programach IZArc 4.4, ZipGenius 6.3.2.3116 oraz Explzh (rozszerzenie) 8.14, występuje przepełnienie bufora podczas obsługi nazw plików. Podatność umożliwia atakującemu wykonanie dowolnego kodu poprzez spreparowany plik archiwum.
Urządzenia Yeastar NeoGate TG400 w wersji 91.3.0.3 są podatne na przechodzenie między katalogami. Uwierzytelniony użytkownik może odszyfrować oprogramowanie układowe i odczytać poufne informacje, takie jak hasło lub klucz deszyfrujący.
W urządzeniach PowerLogic ION7400, ION7650, ION83xx/84xx/85xx/8600, ION8650, ION8800, ION9000 oraz PM800 występuje podatność CWE-319 związana z przesyłaniem wrażliwych informacji w postaci niezaszyfrowanej. Może to prowadzić do ujawnienia danych logowania użytkowników, gdy złośliwy aktor przechwyci ruch sieciowy HTTP między użytkownikiem a urządzeniem.
W urządzeniach PowerLogic ION7400, ION7650, ION7700/73xx, ION83xx/84xx/85xx/8600, ION8650, ION8800, ION9000 oraz PM800 występuje podatność CWE-319, polegająca na przesyłaniu wrażliwych informacji w postaci niezaszyfrowanej. Może to prowadzić do ujawnienia danych logowania użytkowników, gdy złośliwy aktor przechwyci ruch sieciowy Telnet między użytkownikiem a urządzeniem.
W urządzeniach PowerLogic ION7400, ION7650, ION83xx/84xx/85xx/8600, ION8650, ION8800, ION9000 oraz PM800 występuje podatność typu CWE-352: Cross-Site Request Forgery. Może to spowodować, że użytkownik wykona niezamierzoną akcję na docelowym urządzeniu podczas korzystania z interfejsu webowego HTTP.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS