Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
curl w wersjach od 7.20.0 do 7.70.0 jest podatny na niewłaściwe ograniczenie nazw plików i innych zasobów, co może prowadzić do nadpisania lokalnego pliku przy użyciu flagi -J.
W systemie OpenAsset Digital Asset Management (DAM) w wersji 12.0.19 i wcześniejszych brakuje kontroli dostępu na punkcie końcowym /Stream/ProjectsCSV, co pozwala nieuwierzytelnionym atakującym na uzyskanie dostępu do potencjalnie wrażliwych informacji o projektach przechowywanych przez aplikację.
OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nieprawidłowo oczyszcza dane wejściowe użytkownika, włączając je do zapytań SQL, co umożliwia uwierzytelnioną ślepą iniekcję SQL.
OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nieprawidłowo oczyszcza dane wejściowe użytkownika w wielu parametrach i punktach końcowych, co umożliwia odbite ataki typu cross-site scripting (XSS).
OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nie weryfikuje poprawnie, czy żądanie do aplikacji zostało celowo wykonane przez użytkownika, co umożliwia ataki cross-site request forgery (CSRF) na wszystkie funkcje użytkownika.
OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nieprawidłowo oczyszcza dane wejściowe użytkownika w wielu parametrach i punktach końcowych, co umożliwia ataki typu stored cross-site scripting (XSS).
OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nieprawidłowo określa źródłowy adres IP żądania HTTP, umożliwiając atakującym jego sfałszowanie za pomocą nagłówka X-Forwarded-For, np. poprzez podanie adresu localhost 127.0.0.1, co skutecznie omija wszelkie mechanizmy kontroli dostępu oparte na adresie IP.
Podatność na wstrzykiwanie SQL w WebAdmin systemu Cyberoam OS do wersji 2020-12-04 pozwala nieuwierzytelnionym atakującym na zdalne wykonywanie dowolnych zapytań SQL.
Wymuszona ewaluacja OGNL, gdy jest wykonywana na surowych danych wejściowych użytkownika w atrybutach tagów, może prowadzić do zdalnego wykonania kodu. Dotyczy Apache Struts 2.0.0 - 2.5.25.
Podatność w Microsoft Exchange umożliwiająca zdalne wykonanie kodu. Szczegóły techniczne nie zostały podane w opisie.
Podatność w sterowniku mini filtra plików chmurowych systemu Windows umożliwia podniesienie uprawnień. Atakujący może wykorzystać tę lukę, aby uzyskać wyższe uprawnienia w systemie.
Podatność w Firefox dla Androida, dotycząca funkcji zdalnego debugowania przez USB, która była aktywna na Androidzie w wersji starszej niż 6.0. Niezaufane aplikacje mogły połączyć się z tą funkcją i działać z uprawnieniami przeglądarki, czytając i modyfikując treści internetowe.
OneCRL nie działał w nowym Firefoksie dla Androida z powodu braku inicjalizacji usługi. Mogło to skutkować brakiem egzekwowania niektórych odwołań certyfikatów. Uwaga: problem dotyczy tylko Firefoksa dla Androida. Inne systemy operacyjne nie są dotknięte. Podatność dotyczy Firefoksa < 83.
Gdy użytkownik pobiera plik w Firefox for Android, jeśli ustawione jest ciasteczko, zostanie ono ponownie wysłane podczas kolejnej operacji pobierania w tej samej domenie, niezależnie od tego, czy oryginalne i kolejne żądania były w trybie prywatnym czy nieprywatnym. Podatność dotyczy Firefox < 83.
Podczas akceptowania złośliwego intencji z innych zainstalowanych aplikacji, Firefox for Android akceptował manifesty z dowolnych ścieżek plików i pozwalał na deklarowanie manifestów aplikacji webowych dla innych źródeł. Może to być użyte do uzyskania dostępu pełnoekranowego w celu fałszowania interfejsu użytkownika oraz może prowadzić do ataków cross-origin na docelowe strony. Podatność dotyczy tylko Firefox for Android i wpływa na wersje przed 83.
Problem z inicjalizacją pamięci został rozwiązany. Ta luka jest naprawiona w macOS Big Sur 11.0.1, watchOS 7.1, iOS 12.4.9, watchOS 6.2.9, Security Update 2020-006 High Sierra, Security Update 2020-006 Mojave, iOS 14.2 i iPadOS 14.2, watchOS 5.3.9, macOS Catalina 10.15.7 Supplemental Update, macOS Catalina 10.15.7 Update. Złośliwa aplikacja może ujawnić pamięć jądra.
Podatność typu type confusion została naprawiona poprzez ulepszoną obsługę stanu. Problem występuje w wielu wersjach systemów Apple: macOS, watchOS, iOS i iPadOS. Złośliwa aplikacja może wykonać dowolny kod z uprawnieniami jądra.
Podatność polegająca na uszkodzeniu pamięci została naprawiona poprzez ulepszoną walidację danych wejściowych. Problem występuje w wielu wersjach systemów Apple: macOS, watchOS, iOS i iPadOS. Przetworzenie specjalnie spreparowanej czcionki może prowadzić do wykonania dowolnego kodu.
Typ GeneralName w X.509 jest używany do reprezentowania różnych typów nazw, w tym EDIPartyName. Funkcja GENERAL_NAME_cmp w OpenSSL porównuje instancje GENERAL_NAME, ale w przypadku EDIPARTYNAME może prowadzić do dereferencji wskaźnika NULL i awarii, co może skutkować atakiem typu denial of service.
Apache Groovy dostarcza metody rozszerzające do tworzenia katalogów tymczasowych. Przed poprawką implementacja tych metod używała przestarzałej metody JDK, która może być niebezpieczna na niektórych systemach operacyjnych w niektórych kontekstach. Dotyczy wersji 2.0 do 2.4.20, 2.5.0 do 2.5.13, 3.0.0 do 3.0.6 i 4.0.0-alpha-1. Poprawiono w wersjach 2.4.21, 2.5.14, 3.0.7 i 4.0.0-alpha-2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS