Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność typu path traversal w zasobie downloadallattachments w Confluence Server i Data Center. Umożliwia zapis plików w dowolnych lokalizacjach, co może prowadzić do zdalnego wykonania kodu.
Niektóre programowalne sterowniki logiczne (PLC) od firm ABB, Phoenix Contact, Schneider Electric, Siemens i WAGO są podatne na atak typu denial-of-service spowodowany zalewem pakietów sieciowych. Wiele wersji tych urządzeń może być dotkniętych tą podatnością.
Zidentyfikowano podatność w różnych urządzeniach SIMATIC, która pozwala na zdalne ataki poprzez specjalnie skonstruowane pakiety sieciowe wysyłane na port 4840/tcp. Atakujący może spowodować awarię komunikacji OPC lub zawieszenie urządzenia bez potrzeby posiadania uprawnień systemowych czy interakcji użytkownika.
Zidentyfikowano podatność w procesorach SIMATIC S7-300 (wszystkie wersje < V3.X.16), która polega na niewłaściwej walidacji pakietów komunikacyjnych S7. Może to prowadzić do stanu Denial-of-Service (DoS) procesora, który pozostanie w trybie DEFECT do momentu ręcznego restartu.
Wersja libxslt do 1.1.33 pozwala na obejście mechanizmu ochrony, ponieważ wywołania xsltCheckRead i xsltCheckWrite zezwalają na dostęp, nawet gdy zwracany jest kod błędu -1. Funkcja xsltCheckRead może zwrócić -1 dla spreparowanego URL, który nie jest faktycznie nieprawidłowy i jest następnie ładowany.
Podatność podniesienia uprawnień w systemie Windows, wynikająca z nieprawidłowego obsługiwania obiektów w pamięci przez komponent Win32k. Umożliwia lokalnemu atakującemu podniesienie uprawnień.
Podatność podniesienia uprawnień w usłudze Windows AppX Deployment Service (AppXSVC), wynikająca z nieprawidłowego obsługiwania twardych linków. Umożliwia lokalnemu atakującemu podniesienie uprawnień.
Podatność podniesienia uprawnień w systemie Windows, wynikająca z nieprawidłowego obsługiwania obiektów w pamięci przez komponent Win32k. Umożliwia lokalnemu atakującemu podniesienie uprawnień.
Podatność zdalnego wykonania kodu w silniku skryptowym Internet Explorer podczas obsługi obiektów w pamięci, znana jako 'Scripting Engine Memory Corruption Vulnerability'. Ten identyfikator CVE jest unikalny w stosunku do CVE-2019-0739, CVE-2019-0753 i CVE-2019-0862.
Podatność podniesienia uprawnień w systemie Windows, gdy komponent Win32k nieprawidłowo obsługuje obiekty w pamięci. Znana jako 'Win32k Elevation of Privilege Vulnerability'. Ten identyfikator CVE jest unikalny w stosunku do CVE-2019-0797.
Podatność podniesienia uprawnień w systemie Windows, gdy komponent Win32k nieprawidłowo obsługuje obiekty w pamięci. Znana jako 'Win32k Elevation of Privilege Vulnerability'. Ten identyfikator CVE jest unikalny w stosunku do CVE-2019-0808.
W serwerze Windows SMB występuje podatność ujawnienia informacji związana ze sposobem obsługi określonych żądań. Podatność została opisana jako 'Windows SMB Information Disclosure Vulnerability' i różni się od CVE-2019-0704 oraz CVE-2019-0821.
W Apache HTTP Server 2.4 (wersje 2.4.17 do 2.4.38) z MPM event, worker lub prefork, kod wykonujący się w procesach potomnych o niższych uprawnieniach lub wątkach (w tym skrypty wykonywane przez interpreter skryptów w procesie) może wykonać dowolny kod z uprawnieniami procesu nadrzędnego (zwykle root) poprzez manipulację scoreboardem. Systemy nie-Unixowe nie są dotknięte.
Na urządzeniach Reolink RLC-410W, C1 Pro, C2 Pro, RLC-422W i RLC-511W do wersji 1.0.227, uwierzytelniony administrator może użyć funkcji 'TestEmail' do wstrzyknięcia i uruchomienia poleceń systemu operacyjnego jako root, na przykład przez metaznaki powłoki w polu addr1.
Problem uszkodzenia pamięci został rozwiązany poprzez poprawę obsługi pamięci. Problem dotyczył wersji przed iOS 12, macOS Mojave 10.14, tvOS 12 i watchOS 5.
W MISP przed wersją 2.4.105 występuje podatność typu Reflected XSS w domyślnym szablonie układu app/View/Layouts/default.ctp.
W Action View w wersjach <5.2.2.1, <5.1.6.2, <5.0.7.2, <4.2.11.1 i v3 istnieje podatność ujawnienia zawartości plików, gdzie specjalnie spreparowane nagłówki Accept mogą spowodować ujawnienie zawartości dowolnych plików w systemie plików.
W Kentico 12.0.x przed 12.0.15, 11.0.x przed 11.0.48, 10.0.x przed 10.0.52 i w wersjach 9.x brakuje walidacji nagłówków bezpieczeństwa, co pozwala na obejście uwierzytelniania w usłudze staging i deserializację danych .NET. To prowadzi do zdalnego wykonania kodu bez uwierzytelnienia na serwerze z Kentico.
Kibana w wersjach przed 5.6.15 i 6.6.1 zawiera podatność na wykonanie dowolnego kodu w wizualizatorze Timelion. Atakujący z dostępem do aplikacji Timelion może wysłać żądanie, które próbuje wykonać kod JavaScript, co może prowadzić do wykonania dowolnych poleceń z uprawnieniami procesu Kibana na systemie.
Makro Widget Connector w Atlassian Confluence Server przed wersjami 6.6.12, 6.12.3, 6.13.3 i 6.14.2 pozwala zdalnym atakującym na przejście ścieżki (path traversal) i zdalne wykonanie kodu na serwerze Confluence lub Data Center poprzez wstrzyknięcie szablonu po stronie serwera.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS