Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W SeedDMS 6.0.13 odkryto podatność na atak typu Cross-Site Scripting (XSS) poprzez parametr folderid w pliku views/bootstrap/class.DropFolderChooser.php. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce ofiary.
W MISP w wersji 2.4.135 występuje podatność XSS w polu komentarza authkey w pliku genericField.ctp.
W FasterXML Jackson Databind stwierdzono usterkę, w której ekspansja encji nie była odpowiednio zabezpieczona. Usterka ta umożliwia podatność na ataki XML External Entity (XXE). Największe zagrożenie z tej podatności dotyczy integralności danych.
W Saibo Cyber Game Accelerator 3.7.9 wykryto lokalną podatność na eskalację uprawnień. Atakujący może wykorzystać skonstruowany program do podniesienia swoich uprawnień w systemie.
W jądrze Linuxa znaleziono lukę w implementacji futex, która pozwala lokalnemu atakującemu na uszkodzenie pamięci systemowej lub eskalację uprawnień podczas tworzenia futex na systemie plików, który ma być odmontowany. Luka ta wpływa na poufność, integralność oraz dostępność systemu.
W jądrze Linuxa przed wersją 5.6.8 odkryto problem związany z funkcją do_madvise w pliku mm/madvise.c. Występuje warunek wyścigu pomiędzy operacjami coredump a implementacją IORING_OP_MADVISE.
Crafter CMS Crafter Studio 3.0.1 zawiera podatność XML External Entity (XXE). Nieuwierzytelniony atakujący może utworzyć witrynę ze specjalnie spreparowanym XML, co umożliwia zdalne odczytywanie plików systemu operacyjnego poza pasmem.
Crafter CMS Crafter Studio 3.0.1 zawiera podatność na przemieszczanie się po katalogach, która umożliwia nieuwierzytelnionym atakującym przeglądanie plików z systemu operacyjnego.
W Crafter CMS Crafter Studio 3.0.1 nieuwierzytelniony atakujący może utworzyć witrynę ze specjalnie spreparowanym XML, co umożliwia zdalne odczytywanie plików systemu operacyjnego poza pasmem.
W Crafter CMS Crafter Studio 3.0.1 nieuwierzytelniony atakujący może wstrzyknąć złośliwy kod JavaScript, co prowadzi do trwałego/ukrytego XSS w panelu administracyjnym.
W Crafter CMS Crafter Studio 3.0.1 występuje podatność na przemieszczanie się po katalogach, która pozwala nieuwierzytelnionym atakującym nadpisywać pliki systemu operacyjnego, co może prowadzić do zdalnego wykonania kodu (RCE).
W Crafter CMS Crafter Studio 3.0.1 wykryto podatność IDOR (Insecure Direct Object Reference), która umożliwia nieuwierzytelnionym atakującym przeglądanie i modyfikowanie danych administracyjnych.
Podatność SSRF w generowaniu PDF w MicroStrategy 10.4, 2019 przed Update 6 i 2020 przed Update 2 pozwala uwierzytelnionym użytkownikom na dostęp do wewnętrznych zasobów sieciowych lub wyciek plików z lokalnego systemu poprzez kontenery HTML osadzone w dokumencie dashboardu. Wersja 10.4 nie otrzyma łatki, ponieważ osiągnie koniec życia 31.12.2020.
MISP w wersjach przed 2.4.135 nie posiada kontroli ACL, co dotyczy plików app/Controller/GalaxyElementsController.php oraz app/Model/GalaxyElement.php.
VMware Workspace One Access, Access Connector, Identity Manager oraz Identity Manager Connector zawierają lukę wstrzyknięcia poleceń.
Drupal core nie sanitizuje prawidłowo niektórych nazw plików podczas przesyłania, co może prowadzić do interpretacji plików jako o nieprawidłowym rozszerzeniu i serwowania ich jako zły typ MIME lub wykonania jako PHP w niektórych konfiguracjach hostingu. Problem dotyczy Drupal Core 9.0 przed 9.0.8, 8.9 przed 8.9.9, 8.8 przed 8.8.11 i 7 przed 7.74.
W Modicon M221 (wszystkie wersje) występuje podatność CWE-200, która umożliwia ujawnienie niepoufnych informacji. Atakujący może wykorzystać tę lukę, przechwytując ruch między oprogramowaniem EcoStruxure Machine - Basic a kontrolerem Modicon M221.
W Modicon M221 (wszystkie wersje) występuje podatność CWE-311: Brak szyfrowania wrażliwych danych, która może umożliwić atakującemu odnalezienie hasha hasła. Podatność ta występuje, gdy atakujący przechwyci ruch między oprogramowaniem EcoStruxure Machine - Basic a kontrolerem Modicon M221 i złamie klucze szyfrujące.
W Modicon M221 (wszystkie wersje) występuje podatność CWE-334: Mała przestrzeń losowych wartości, która może umożliwić atakującemu złamanie kluczy szyfrujących, jeśli przechwyci ruch między oprogramowaniem EcoStruxure Machine - Basic a kontrolerem Modicon M221.
W podatności CWE-326: Niewystarczająca siła szyfrowania w Modicon M221 (wszystkie wersje) istnieje możliwość, że atakujący może złamać klucz szyfrowania, gdy przechwyci ruch między oprogramowaniem EcoStruxure Machine - Basic a kontrolerem Modicon M221.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS