Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W MISP przed wersją 2.4.124, plik app/Model/feed.php pozwala administratorom na wybór dowolnych plików do zaimportowania. Choć nie powoduje to ujawnienia pełnej zawartości pliku, może prowadzić do wycieku ciągów pasujących do określonych wzorców, takich jak hasła z pliku database.php czy hasła kluczy GPG z config.php.
Sonatype Nexus Repository w wersjach przed 3.21.2 pozwala na wstrzyknięcie JavaEL (JavaEL Injection). Jest to pierwsza z dwóch powiązanych podatności.
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.4 niewłaściwie obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.openjpa.ee.WASRegistryManagedRuntime (znanym również jako openjpa).
Wersje 2.x biblioteki FasterXML jackson-databind przed 2.9.10.4 niewłaściwie obsługują interakcję między gadżetami serializacyjnymi a typowaniem, co jest związane z org.apache.commons.proxy.provider.remoting.RmiProvider.
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.4 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.activemq.* (znanym jako activemq-jms, activemq-core, activemq-pool i activemq-pool-jms).
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.4 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z javax.swing.JEditorPane.
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.4 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.aoju.bus.proxy.provider.remoting.RmiProvider (znanym jako bus-proxy).
Urządzenia TP-Link Archer C50 V3 przed wersją Build 200318 Rel. 62209 są podatne na atak typu denial of service (DoS) poprzez specjalnie skonstruowany nagłówek HTTP zawierający nieoczekiwane pole Referer. Atakujący może zdalnie wywołać ten problem.
W module sieci Ethernet Quantum 140NOE771x1 oraz w procesorach Quantum i Premium z zintegrowanym Ethernetem występuje podatność CWE-754, która może prowadzić do odmowy usługi (DoS) w wyniku wysłania specjalnie przygotowanej komendy przez Modbus.
Interfejs HTTP serii Grandstream UCM6200 jest podatny na nieuwierzytelnioną zdalną SQL injection poprzez spreparowane żądanie HTTP. Atakujący może wykorzystać tę podatność do wykonania poleceń powłoki jako root w wersjach przed 1.0.19.20 lub wstrzyknięcia HTML w e-mailach odzyskiwania hasła w wersjach przed 1.0.20.17.
Podatność deserializacji niezaufanych danych w Liferay Portal przed wersją 7.2.1 CE GA2 pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez usługi sieciowe JSON (JSONWS).
Das U-Boot w wersji do 2020.01 pozwala atakującym na ominięcie ograniczeń związanych z weryfikacją rozruchu i uruchomienie dowolnych obrazów, poprzez dostarczenie spreparowanego obrazu FIT do systemu skonfigurowanego do uruchamiania domyślnej konfiguracji.
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.4 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z com.caucho.config.types.ResourceRef (znanym jako caucho-quercus).
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.4 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.aries.transaction.jms.internal.XaPooledConnectionFactory (znanym jako aries.transaction.jms).
Trend Micro Apex One (2019) i OfficeScan XG zawierają podatny plik EXE, który może pozwolić zdalnemu atakującemu na zapis dowolnych danych do dowolnej ścieżki na zainstalowanych systemach i obejście logowania ROOT. Uwierzytelnianie nie jest wymagane do wykorzystania tej podatności.
Agenci Trend Micro Apex One (2019), OfficeScan XG oraz Worry-Free Business Security (9.0, 9.5, 10.0) są podatni na lukę polegającą na obejściu walidacji treści, co może pozwolić atakującemu na manipulowanie niektórymi komponentami klienta agenta. Próba ataku wymaga uwierzytelnienia użytkownika.
Komponent narzędzia migracji w Trend Micro Apex One (2019) i OfficeScan XG zawiera podatność, która może pozwolić zdalnym atakującym na wykonanie dowolnego kodu na zainstalowanych systemach (RCE). Próba ataku wymaga uwierzytelnienia użytkownika.
VMware Fusion (11.x przed 11.5.2), VMware Remote Console dla Mac (11.x i wcześniejsze przed 11.0.1) oraz Horizon Client dla Mac (5.x i wcześniejsze przed 5.4.0) zawierają podatność na eskalację uprawnień z powodu niewłaściwego użycia binariów setuid. Skuteczne wykorzystanie może pozwolić atakującym z normalnymi uprawnieniami użytkownika na podniesienie uprawnień do roota na systemie, gdzie zainstalowano Fusion, VMRC lub Horizon Client.
W pliku configurationwatcher.go w Traefik 2.x przed wersją 2.1.4 oraz TraefikEE 2.0.0 występuje problem z niewłaściwym usuwaniem zawartości certyfikatów z dostawców przed zapisaniem ich w logach.
Unraid w wersji 6.8.0 umożliwia obejście uwierzytelniania, co może prowadzić do nieautoryzowanego dostępu do systemu.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS