Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność zdalnego wykonania kodu w serwerach Windows DNS występuje, gdy nieprawidłowo obsługują żądania. Znana jako 'Windows DNS Server Remote Code Execution Vulnerability'.
W podatności CVE-2020-1336 występuje możliwość podniesienia uprawnień w sposobie, w jaki jądro systemu Windows obsługuje obiekty w pamięci. Atakujący, który skutecznie wykorzysta tę podatność, może wykonać kod z podwyższonymi uprawnieniami.
W .NET Framework, Microsoft SharePoint i Visual Studio występuje podatność umożliwiająca zdalne wykonanie kodu, gdy oprogramowanie nie sprawdza źródłowego znacznika wejściowego pliku XML. Podatność znana jest jako '.NET Framework, SharePoint Server, and Visual Studio Remote Code Execution Vulnerability'.
Podatność zdalnego wykonania kodu występuje, gdy Hyper-V RemoteFX vGPU na serwerze hosta nieprawidłowo waliduje dane wejściowe od uwierzytelnionego użytkownika w systemie gościa. Znana jako 'Hyper-V RemoteFX vGPU Remote Code Execution Vulnerability'.
Występuje podatność na podniesienie uprawnień w Microsoft SharePoint Server i Skype for Business Server, związana z niewłaściwą walidacją tokenów OAuth. Atakujący, który skutecznie wykorzysta tę podatność, może obejść uwierzytelnianie i uzyskać nieautoryzowany dostęp.
W Apache Tomcat w wersjach 10.0.0-M1 do 10.0.0-M6, 9.0.0.M1 do 9.0.36, 8.5.0 do 8.5.56 i 7.0.27 do 7.0.104 długość ładunku w ramce WebSocket nie była poprawnie walidowana. Nieprawidłowe długości ładunku mogły wywołać nieskończoną pętlę, a wiele takich żądań mogło prowadzić do odmowy usługi.
W Apache Tomcat w wersjach 10.0.0-M1 do 10.0.0-M6, 9.0.0.M5 do 9.0.36 i 8.5.1 do 8.5.56, bezpośrednie połączenie h2c nie zwalniało procesora HTTP/1.1 po przejściu na HTTP/2. Wystarczająca liczba takich żądań mogła spowodować OutOfMemoryException, prowadząc do odmowy usługi.
SAP NetWeaver AS JAVA (LM Configuration Wizard) w wersjach 7.30, 7.31, 7.40, 7.50 nie wykonuje sprawdzenia uwierzytelnienia, co pozwala nieuwierzytelnionemu atakującemu na wykonywanie zadań konfiguracyjnych i krytycznych akcji, w tym tworzenie użytkownika administracyjnego. Prowadzi to do naruszenia poufności, integralności i dostępności systemu.
W MISP przed wersją 2.4.129 ustawienie ulubionej strony głównej nie było chronione przed atakami CSRF.
Endpoint goform/setUsbUnload w Tenda AC15 AC1900 w wersji 15.03.05.19 pozwala zdalnym atakującym na wykonanie dowolnych poleceń systemowych poprzez parametr POST deviceName.
Nieprawidłowa kontrola dostępu w Citrix ADC i Citrix Gateway w wersjach przed 13.0-58.30, 12.1-57.18, 12.0-63.21, 11.1-64.14 i 10.5-70.18 oraz Citrix SDWAN WAN-OP w wersjach przed 11.1.1a, 11.0.3d i 10.2.7 skutkuje ograniczonym ujawnieniem informacji użytkownikom o niskich uprawnieniach.
Nieprawidłowa walidacja danych wejściowych w Citrix ADC i Citrix Gateway w wersjach przed 13.0-58.30, 12.1-57.18, 12.0-63.21, 11.1-64.14 i 10.5-70.18 oraz Citrix SDWAN WAN-OP w wersjach przed 11.1.1a, 11.0.3d i 10.2.7 skutkuje ograniczonym ujawnieniem informacji użytkownikom o niskich uprawnieniach.
Nieprawidłowa kontrola dostępu w Citrix ADC i Citrix Gateway w wersjach przed 13.0-58.30, 12.1-57.18, 12.0-63.21, 11.1-64.14 i 10.5-70.18 oraz w Citrix SDWAN WAN-OP przed 11.1.1a, 11.0.3d i 10.2.7 pozwala nieuwierzytelnionym użytkownikom na dostęp do niektórych punktów końcowych URL.
IndexedDB powinno być czyszczone po opuszczeniu trybu prywatnego, ale nie jest, ponieważ API WKWebViewConfiguration było używane nieprawidłowo i wymaga usunięcia prywatnej instancji tego obiektu po opuszczeniu trybu prywatnego. Podatność dotyczy Firefox for iOS przed wersją 27.
W Firefox dla iOS < 26 token używany do mostkowania natywnego i JavaScript może wyciekać podczas pobierania plików, co pozwala nieautoryzowanemu kodowi na wywoływanie funkcji mostkujących.
Urządzenia D-Link DIR-610 umożliwiają zdalne wykonanie poleceń poprzez parametr cmd w pliku command.php. Uwaga: podatność dotyczy wyłącznie produktów, które nie są już wspierane przez producenta.
VeloCloud Orchestrator nie stosuje prawidłowej walidacji danych wejściowych, co umożliwia ślepą iniekcję SQL. Złośliwy użytkownik z dostępem do dzierżawcy VeloCloud Orchestrator może wprowadzić spreparowane zapytania SQL i uzyskać dane, do których nie ma uprawnień.
Podatność zdalnego wykonania kodu w MobileIron Core & Connector w wersjach 10.3.0.3 i wcześniejszych, 10.4.0.0, 10.4.0.1, 10.4.0.2, 10.4.0.3, 10.5.1.0, 10.5.2.0 i 10.6.0.0; oraz Sentry w wersjach 9.7.2 i wcześniejszych, 9.8.0; oraz Monitor and Reporting Database (RDB) w wersji 2.0.0.1 i wcześniejszych pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez nieokreślone wektory.
W BIG-IP w wersjach 15.0.0-15.1.0.3, 14.1.0-14.1.2.5, 13.1.0-13.1.3.3, 12.1.0-12.1.5.1 i 11.6.1-11.6.5.1 interfejs Traffic Management User Interface (TMUI), znany również jako Configuration utility, zawiera podatność zdalnego wykonania kodu (RCE) w nieujawnionych stronach.
Na urządzeniach DrayTek Vigor3900, Vigor2960 i Vigor300B przed wersją 1.5.1, cgi-bin/mainfunction.cgi/cvmcfgupload pozwala na zdalne wykonanie poleceń poprzez metaznaki powłoki w nazwie pliku, gdy używany jest typ zawartości text/x-python-script. To inny problem niż CVE-2020-14472.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS