Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W Modicon M580 (wersja oprogramowania przed V2.90) i Modicon M340 (wersja oprogramowania przed V3.10) występuje podatność typu CWE-248: Nieprzechwycona wyjątek, która może prowadzić do potencjalnego odmowy usługi podczas zapisywania do określonych adresów pamięci w kontrolerze przez Modbus.
W cURL w wersjach od 7.19.4 do 7.65.3 występuje przepełnienie bufora na stercie w obsłudze protokołu TFTP. Może to prowadzić do nieautoryzowanego dostępu lub awarii aplikacji.
W cURL w wersjach od 7.52.0 do 7.65.3 występuje podatność typu double-free w kodzie FTP-kerberos. Może to prowadzić do nieprzewidzianego zachowania aplikacji.
Skrypt login_mgr.cgi w urządzeniach D-Link DNS-320 do wersji 2.05.B10 jest podatny na zdalne wstrzyknięcie poleceń. Atakujący może wykorzystać tę lukę do wykonania dowolnych poleceń w systemie.
Niektóre urządzenia Samsung zawierają SIMalliance Toolbox Browser (S@T Browser) na karcie UICC, co może pozwolić zdalnym atakującym na uzyskanie informacji o lokalizacji i IMEI, innych danych lub wykonanie określonych poleceń poprzez instrukcje SIM Toolkit (STK) w wiadomości SMS. Podatność znana jest jako Simjacker.
W programie Microsoft Excel występuje podatność zdalnego wykonania kodu spowodowana nieprawidłową obsługą obiektów w pamięci. Podatność znana jest jako 'Microsoft Excel Remote Code Execution Vulnerability'.
W Windows AppX Deployment Server występuje podatność podniesienia uprawnień wynikająca z nieprawidłowej obsługi punktów połączeń (junctions). Aby wykorzystać tę podatność, atakujący musi najpierw uzyskać możliwość wykonania kodu w systemie ofiary.
W sterowniku ws2ifsl.sys (Winsock) występuje podatność podniesienia uprawnień wynikająca z nieprawidłowej obsługi obiektów w pamięci. Podatność znana jest jako 'Windows Elevation of Privilege Vulnerability'.
W sterowniku Windows Common Log File System (CLFS) występuje podatność podniesienia uprawnień wynikająca z nieprawidłowej obsługi obiektów w pamięci. Podatność znana jest jako 'Windows Common Log File System Driver Elevation of Privilege Vulnerability'.
MISP w wersjach przed 2.4.115 umożliwia eskalację uprawnień w określonych sytuacjach. Po aktualizacji do wersji 2.4.115, próby eskalacji są blokowane przez funkcję __checkLoggedActions.
Nagios XI w wersjach przed 5.6.6 pozwala na zdalne wykonanie poleceń jako root. Wykorzystanie wymaga dostępu do serwera jako użytkownik nagios lub jako administrator przez interfejs webowy; skrypt getprofile.sh jest uruchamiany jako root przez wpis sudo bez hasła i wykonuje check_plugin, który należy do użytkownika nagios.
Użytkownik lub program bez uprawnień na systemie Microsoft Windows, który może tworzyć pliki konfiguracyjne OpenSSL w określonej lokalizacji, może spowodować uruchomienie kodu zdefiniowanego przez atakującego w programach narzędziowych dostarczanych z serwerem MongoDB. Problem dotyczy wersji MongoDB Server v4.0 przed 4.0.11, v3.6 przed 3.6.14 oraz v3.4 przed 3.4.22.
Citrix StoreFront Server w wersjach przed 1903, 7.15 LTSR przed CU4 (3.12.4000) oraz 7.6 LTSR przed CU8 (3.0.8000) pozwala na ataki XXE (XML External Entity).
Docker Desktop Community Edition w wersjach przed 2.1.0.1 pozwala lokalnym użytkownikom na podniesienie uprawnień poprzez umieszczenie trojańskiego pliku docker-credential-wincred.exe w katalogu %PROGRAMDATA%\DockerDesktop\version-bin\ jako użytkownik o niskich uprawnieniach, a następnie oczekiwanie na uwierzytelnienie, restart Dockera lub uruchomienie 'docker login' przez administratora lub użytkownika usługi.
Podatność w konfiguracji polityk aplikacji w oprogramowaniu Cisco Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu, zdalnemu atakującemu uzyskać nieautoryzowany dostęp do odczytu wrażliwych danych. Wynika to z niewystarczającej identyfikacji aplikacji. Atakujący może wykorzystać tę podatność, wysyłając spreparowany ruch do urządzenia, co może umożliwić odczyt wrażliwych danych.
W Apache Commons Beanutils 1.9.2 dodano specjalną klasę BeanIntrospector, która pozwala na zablokowanie dostępu do classloadera przez właściwość 'class' dostępną na wszystkich obiektach Java. Jednak nie była ona domyślnie używana przez PropertyUtilsBean.
Podatność w Webmin w wersji 1.920 i wcześniejszych. Parametr 'old' w pliku password_change.cgi zawiera podatność na wstrzykiwanie poleceń.
W bibliotece Azure Active Directory Authentication Library występuje podatność na podniesienie uprawnień w przepływie On-Behalf-Of, związana z tym, jak biblioteka buforuje tokeny. Podatność ta pozwala uwierzytelnionemu atakującemu na wykonywanie działań w kontekście innego użytkownika.
W Dynamics On-Premise v9 występuje podatność na podniesienie uprawnień. Atakujący, który skutecznie wykorzysta tę podatność, może uzyskać kontrolę nad rolą sieciową hostującą instalację Dynamics, wykorzystując uprawnienia dostosowującego.
W Remote Desktop Services występuje podatność na zdalne wykonanie kodu, która pozwala nieautoryzowanemu atakującemu na połączenie się z systemem docelowym za pomocą RDP i wysłanie specjalnie przygotowanych żądań. Ta podatność nie wymaga uwierzytelnienia ani interakcji użytkownika.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS