Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Unraid w wersjach do 6.8.0 umożliwia zdalne wykonanie kodu. Ta podatność może być wykorzystana przez atakującego do uruchomienia nieautoryzowanego kodu na systemie.
W kontrolerach Rockwell Automation MicroLogix 1400 Series B w wersji v21.001 i wcześniejszych, oraz w kontrolerach MicroLogix 1100 i oprogramowaniu RSLogix 500 w wersji v12.001 i wcześniejszych, klucz kryptograficzny używany do ochrony hasła konta jest zakodowany na stałe w pliku binarnym RSLogix 500. Atakujący może zidentyfikować klucze kryptograficzne i wykorzystać je do dalszych ataków kryptograficznych.
Podatność CVE-2020-6988 dotyczy kontrolerów Rockwell Automation MicroLogix 1400 oraz MicroLogix 1100, a także oprogramowania RSLogix 500. Zdalny, nieautoryzowany atakujący może wysłać żądanie do kontrolera, co pozwala na uzyskanie wartości używanych haseł do autoryzacji użytkownika po stronie klienta.
W kontrolerach Rockwell Automation MicroLogix 1400 Series B w wersji v21.001 i wcześniejszych, oraz w kontrolerach MicroLogix 1100, funkcja kryptograficzna używana do ochrony hasła jest odkrywalna. Dotyczy to również oprogramowania RSLogix 500 w wersji v12.001 i wcześniejszych.
Podatność na zdalne wykonanie kodu istnieje w sposobie, w jaki protokół Microsoft Server Message Block 3.1.1 (SMBv3) obsługuje określone żądania, znana jako 'Windows SMBv3 Client/Server Remote Code Execution Vulnerability'.
Podatność w usłudze Windows Background Intelligent Transfer Service (BITS) związana z nieprawidłową obsługą dowiązań symbolicznych, umożliwia podniesienie uprawnień.
goform/formEMR30 w Sumavision Enhanced Multimedia Router (EMR) 3.0.4.27 pozwala na tworzenie dowolnych użytkowników z podwyższonymi uprawnieniami (administrator) na urządzeniu, co pokazano w żądaniu setString=new_user<*1*>administrator<*1*>123456.
SAP Solution Manager (User Experience Monitoring), wersja 7.2, z powodu braku sprawdzania uwierzytelniania nie wykonuje żadnej autoryzacji dla usługi, co skutkuje całkowitą kompromitacją wszystkich agentów SMDAgent połączonych z Solution Manager.
W procedurach ioctl sterownika kolejki poleceń Mediatek występuje możliwy zapis poza zakresem z powodu niewystarczającej sanityzacji danych wejściowych i braku ograniczeń SELinux. Może to prowadzić do lokalnej eskalacji uprawnień bez potrzeby dodatkowych uprawnień wykonania. Interakcja użytkownika nie jest wymagana do wykorzystania. Produkt: Android, Wersje: jądro Androida, ID Androida: A-147882143, Referencje: M-ALPS04356754.
W binder_transaction w binder.c występuje możliwy zapis poza zakresem z powodu nieprawidłowego sprawdzenia granic. Może to prowadzić do lokalnej eskalacji uprawnień bez potrzeby dodatkowych uprawnień wykonania. Interakcja użytkownika nie jest wymagana do wykorzystania. Produkt: Android, Wersje: jądro Androida, ID Androida: A-145988638, Referencje: Upstream kernel.
Zidentyfikowano podatność w rodzinie CPU SIMATIC S7-300 oraz powiązanych urządzeniach, które mogą zostać wywołane przez specjalnie skonstruowane pakiety wysyłane na port 102/tcp (Profinet). W wyniku tego urządzenie może przejść w tryb awarii, co wymaga ponownego uruchomienia systemu.
MISP w wersji 2.4.122 zawiera podatność typu Persistent XSS w narzędziu popover do obserwacji. Problem ten dotyczy pliku app/View/Elements/Events/View/sighting_field.ctp.
MISP w wersji 2.4.122 zawiera podatność na refleksyjne XSS poprzez niesanitizowane parametry URL. Problem ten dotyczy pliku app/View/Users/statistics_orgs.ctp.
setSystemCommand na urządzeniach D-Link DCS-930L przed wersją 2.12 pozwala zdalnemu atakującemu na wykonanie kodu poprzez komendę systemową w parametrze SystemCommand.
lib/ajaxHandlers/ajaxAddTemplate.php w rConfig do wersji 3.94 pozwala zdalnym atakującym na wykonanie dowolnych komend systemowych poprzez metaznaki powłoki w parametrze fileName POST.
CKEditor 4.0 przed wersją 4.14 zawiera podatność na cross-site scripting (XSS) w procesorze danych HTML. Zdalny atakujący może wstrzyknąć dowolny skrypt przez spreparowany komentarz "protected" (z składnią cke_protected).
Zoho ManageEngine Desktop Central przed wersją 10.0.474 pozwala na zdalne wykonanie kodu z powodu deserializacji niezaufanych danych w metodzie getChartImage klasy FileStorage. Jest to związane z serwletami CewolfServlet i MDMLogUploaderServlet.
Wszystkie wersje sterowników PLC serii CJ firmy Omron są podatne na atak, w którym napastnik może wysłać serię specyficznych pakietów danych w krótkim czasie. To prowadzi do błędu usługi w module Ethernet PLC, co skutkuje odmową dostępu do usługi PLC.
D-Link DWL-2600AP 4.2.0.15 Rev A ma uwierzytelnioną podatność na wstrzykiwanie komend OS poprzez funkcję Save Configuration w interfejsie webowym, używając metaznaków powłoki w parametrze admin.cgi?action=config_save configBackup lub downloadServerip.
Wielokrotne urządzenia ZyXEL NAS z firmware w wersji 5.21 zawierają podatność na wstrzyknięcie poleceń przed uwierzytelnieniem. Program weblogin.cgi nie sanityzuje parametru nazwy użytkownika, co pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu z uprawnieniami roota. Podatność dotyczy modeli NAS326, NAS520, NAS540, NAS542 oraz wycofanych z wsparcia NSA210, NSA220, NSA220+, NSA221, NSA310, NSA310S, NSA320, NSA320S, NSA325 i NSA325v2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS