Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W Windows Installer występuje luka umożliwiająca podniesienie uprawnień, gdy pakiety MSI przetwarzają dowiązania symboliczne. Podatność znana jest jako 'Windows Installer Elevation of Privilege Vulnerability'.
W Internet Explorerze występuje luka umożliwiająca zdalne wykonanie kodu (RCE) wynikająca ze sposobu, w jaki silnik skryptów przetwarza obiekty w pamięci. Podatność znana jest jako 'Scripting Engine Memory Corruption Vulnerability'.
Podatność na zdalne wykonanie kodu w Microsoft SQL Server Reporting Services, gdy nieprawidłowo obsługuje żądania stron.
Router Netis WF2419 jest podatny na uwierzytelnione zdalne wykonanie kodu (RCE) jako root poprzez panel zarządzania WWW. Luka występuje w wersjach firmware V1.2.31805 i V2.2.36123 i wynika z braku sanityzacji danych wejściowych w narzędziu diagnostycznym tracert.
TeamViewer Desktop do wersji 14.7.1965 pozwala na obejście kontroli dostępu zdalnego logowania, ponieważ ten sam klucz AES jest używany dla instalacji różnych klientów. Atakujący znający ten klucz może odszyfrować chronione informacje w rejestrze lub plikach konfiguracyjnych, a w wersjach przed v9.x także hasło dostępu bezobsługowego.
W EyesOfNetwork 5.3 występuje luka umożliwiająca podniesienie uprawnień w konfiguracji sudoers, pozwalająca użytkownikowi apache na uruchamianie dowolnych poleceń jako root poprzez spreparowany skrypt NSE dla nmap 7.
W EyesOfNetwork 5.3 instalacja domyślnie używa tego samego klucza API (zakodowanego na stałe jako EONAPI_KEY w include/api_functions.php dla wersji API 2.4.2) dla wszystkich instalacji, co pozwala atakującemu obliczyć lub odgadnąć token dostępu administratora.
PlaySMS przed wersją 1.4.3 nie sanityzuje danych wejściowych złośliwego ciągu znaków.
Podatność w implementacji protokołu Cisco Discovery Protocol w oprogramowaniu Cisco IOS XR pozwala nieuwierzytelnionemu atakującemu znajdującemu się w tym samym segmencie sieci (Layer 2) na wykonanie dowolnego kodu lub przeładowanie urządzenia. Wynika ona z niewłaściwej walidacji danych tekstowych w niektórych polach komunikatów CDP. Wysłanie spreparowanego pakietu CDP może doprowadzić do przepełnienia stosu i wykonania kodu z uprawnieniami administracyjnymi.
Urządzenia DrayTek Vigor2960 1.3.1_Beta, Vigor3900 1.4.4_Beta oraz Vigor300B 1.3.3_Beta, 1.4.2.1_Beta i 1.4.4_Beta pozwalają na zdalne wykonanie kodu jako root (bez uwierzytelniania) poprzez metaznaki powłoki w URI cgi-bin/mainfunction.cgi. Problem został naprawiony w wersji v1.5.1 dla Vigor3900/2960/300B.
ABRT może umożliwić atakującym uzyskanie wrażliwych informacji z raportów awarii.
smtp_mailaddr w smtp_session.c w OpenSMTPD 6.6, używanym w OpenBSD 6.6 i innych produktach, pozwala zdalnym atakującym na wykonanie dowolnych poleceń jako root poprzez spreparowaną sesję SMTP, co pokazano za pomocą metaznaków powłoki w polu MAIL FROM. Dotyczy to domyślnej konfiguracji "uncommented". Problem istnieje z powodu nieprawidłowej wartości zwracanej w przypadku niepowodzenia walidacji danych wejściowych.
Podatność w WhatsApp Desktop w wersjach starszych niż 0.3.9309 w połączeniu z WhatsApp dla iPhone w wersjach starszych niż 2.20.10 umożliwia ataki cross-site scripting oraz lokalne odczytywanie plików. Wykorzystanie wymaga kliknięcia przez ofiarę podglądu linku w specjalnie spreparowanej wiadomości tekstowej.
Podatność w Oracle Coherence (komponent Caching, CacheStore, Invocation) umożliwia nieuwierzytelnionemu atakującemu z dostępem sieciowym przez T3 przejęcie kontroli nad produktem. Dotyczy wersji 3.7.1.0, 12.1.3.0.0, 12.2.1.3.0 i 12.2.1.4.0. CVSS 3.0 Base Score 9.8.
Podatność w Oracle WebLogic Server (komponent WLS Core Components) umożliwia nieuwierzytelnionemu atakującemu z dostępem sieciowym przez IIOP przejęcie kontroli nad serwerem. Dotyczy wersji 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0 i 12.2.1.4.0. CVSS 3.0 Base Score 9.8.
Podatność zdalnego wykonania kodu w Microsoft .NET Framework wynika z nieprawidłowej walidacji danych wejściowych. Określana jako '.NET Framework Remote Code Execution Injection Vulnerability'.
Podatność w menedżerze powiadomień o aktualizacjach (Update Notification Manager) systemu Windows związana z nieprawidłową obsługą plików. Atakujący musi najpierw uzyskać możliwość wykonania kodu na systemie ofiary, aby wykorzystać podatność i podnieść uprawnienia.
Podatność typu spoofing w sposobie, w jaki Windows CryptoAPI (Crypt32.dll) weryfikuje certyfikaty kryptografii krzywych eliptycznych (ECC). Atakujący może użyć sfałszowanego certyfikatu podpisywania kodu do podpisania złośliwego pliku wykonywalnego, przez co plik wygląda na pochodzący z zaufanego, legalnego źródła.
OpenJPEG do wersji 2.3.1 ma przepełnienie bufora oparte na stercie w funkcji opj_t1_clbl_decode_processor w pliku openjp2/t1.c z powodu braku walidacji opj_j2k_update_image_dimensions.
Podatność polegająca na wstrzykiwaniu skryptów Bash w Kemp Load Master 7.1-16 i wcześniejszych wersjach, spowodowana brakiem sanityzacji danych wejściowych w interfejsie webowym (WUI).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS