Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność wynika z niewłaściwej walidacji danych wejściowych w systemie QNAP QTS, co umożliwia zdalnym atakującym wstrzyknięcie dowolnego kodu do systemu. QNAP zaleca aktualizację QTS do najnowszej wersji w celu usunięcia luki.
Podatność polega na niewłaściwej kontroli dostępu w aplikacji QNAP Photo Station, co pozwala zdalnym atakującym uzyskać nieautoryzowany dostęp do systemu. QNAP zaleca aktualizację Photo Station do najnowszej wersji.
Podatność w bibliotece class.upload.php (wersje przed 1.0.3 i 2.x przed 2.0.4) polega na pominięciu rozszerzenia .phar na liście niebezpiecznych rozszerzeń plików. Biblioteka ta jest używana m.in. w rozszerzeniu K2 dla Joomla!.
W rhn-proxy znaleziono lukę, która może pozwolić na przesyłanie danych uwierzytelniających użytkowników w postaci niezaszyfrowanej podczas dostępu do RHN Satellite. Może to prowadzić do ujawnienia informacji, w tym wrażliwych danych uwierzytelniających.
W MISP 2.4.118 w pliku app/Controller/TagsController.php użytkownicy mogą obejść zamierzone ograniczenia dotyczące tagowania danych.
Urządzenia Crestron DMC-STRO w wersji 1.0 umożliwiają zdalne wykonanie poleceń jako root poprzez użycie znaków specjalnych powłoki w funkcji ping.
Luka w interfejsie zarządzania opartym na sieci Web niektórych routerów Cisco Small Business RV Series pozwala uwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnych poleceń z uprawnieniami roota. Atakujący musi posiadać ważne poświadczenia lub aktywny token sesji. Luka wynika z braku walidacji danych wejściowych w ładunku HTTP.
Błąd zapisu poza granicami bufora w JavaScript w Google Chrome przed 73.0.3683.86 pozwalał zdalnemu atakującemu na potencjalne wykorzystanie uszkodzenia sterty poprzez spreparowaną stronę HTML.
Wykorzystanie po zwolnieniu pamięci w PDFium w Google Chrome przed wersją 78.0.3904.87 umożliwia zdalnemu atakującemu potencjalne wykorzystanie uszkodzenia sterty za pomocą spreparowanej strony HTML.
Luka use-after-free w WebAudio w Google Chrome przed wersją 78.0.3904.87 pozwala zdalnemu atakującemu na potencjalne wykorzystanie uszkodzenia sterty poprzez spreparowaną stronę HTML. Może to prowadzić do wykonania dowolnego kodu.
Moduł Quick Tabs dla Drupal ma podatność na XSS w wersjach 6.x-2.x przed 6.x-2.1, 6.x-3.x przed 6.x-3.1 oraz 7.x-3.x przed 7.x-3.3. Umożliwia to atakującemu wstrzyknięcie skryptów po stronie klienta.
W wersjach Sangoma FreePBX 115.0.16.26 i niższych, 14.0.13.11 i niższych oraz 13.0.197.13 i niższych występuje nieprawidłowa kontrola dostępu.
Użycie twardo zakodowanego klucza kryptograficznego do szyfrowania wrażliwych danych w pliku kopii zapasowej konfiguracji FortiOS może pozwolić atakującemu z dostępem do pliku na odszyfrowanie danych, znając klucz. Dane obejmują hasła użytkowników (oprócz hasła administratora), frazy kluczy prywatnych i hasło High Availability (jeśli ustawione).
W kontrolerach Modicon (M340, Premium, Quantum) występuje podatność CWE-200: Ujawnienie informacji, która może prowadzić do ujawnienia twardo zakodowanych poświadczeń FTP podczas korzystania z serwera WWW kontrolera w niezabezpieczonej sieci.
W tesseract 2.03 i 2.04 atakujący może nadpisać dowolny plik użytkownika, odgadując PID i tworząc dowiązanie do pliku użytkownika. Podatność wynika z niewystarczającego zabezpieczenia operacji na plikach tymczasowych.
Luka zdalnego wykonania kodu w silniku skryptów Internet Explorer wynika z nieprawidłowego przetwarzania obiektów w pamięci. Określana jako 'Scripting Engine Memory Corruption Vulnerability'. Może pozwolić atakującemu na wykonanie dowolnego kodu w kontekście użytkownika.
Podatność w usłudze Windows Universal Plug and Play (UPnP) związana z nieprawidłowym zezwalaniem na tworzenie obiektów COM, umożliwia podniesienie uprawnień.
Luka podniesienia uprawnień w oknie dialogowym certyfikatów systemu Windows wynika z nieprawidłowego egzekwowania uprawnień użytkownika. Określana jako 'Windows Certificate Dialog Elevation of Privilege Vulnerability'. Może pozwolić na uzyskanie wyższych uprawnień.
Podatność w rozszerzeniach wdrażania AppX systemu Windows (AppX Deployment Extensions) związana z nieprawidłowym zarządzaniem uprawnieniami, co umożliwia dostęp do plików systemowych. Uwierzytelniony atakujący może uruchomić specjalnie spreparowaną aplikację w celu podniesienia uprawnień.
W Hibernate-Validator znaleziono podatność. Adnotacja walidatora SafeHtml nie sanitizuje poprawnie danych zawierających potencjalnie złośliwy kod w komentarzach HTML i instrukcjach. Ta podatność może prowadzić do ataku XSS.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS