Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wtyczka social-warfare w wersji przed 3.5.3 dla WordPressa zawiera podatność typu stored XSS poprzez parametr swp_url w wp-admin/admin-post.php?swp_debug=load_options. Podatność była wykorzystywana w atakach w marcu 2019 roku i dotyczy Social Warfare oraz Social Warfare Pro.
Sonatype Nexus Repository Manager przed wersją 3.15.0 ma nieprawidłową kontrolę dostępu, co może pozwolić nieautoryzowanym użytkownikom na wykonywanie operacji, do których nie mają uprawnień.
W komponentach Gecko systemu KaiOS 2.5 10.05 na urządzeniach Nokia 8810 4G odkryto problem z odmową usługi. Odwiedzenie specjalnie przygotowanej strony internetowej w wewnętrznej przeglądarce powoduje awarię procesu Gecko z błędem segmentacji.
Wtyczka Jenkins Pipeline: Groovy w wersji 2.63 i wcześniejszych ma podatność na obejście sandboxa, która pozwala atakującym kontrolującym skrypty pipeline na wykonanie dowolnego kodu w JVM głównego węzła Jenkinsa.
Wtyczka Jenkins Script Security w wersji 1.53 i wcześniejszych ma podatność na obejście sandboxa, która pozwala atakującym z uprawnieniami Overall/Read na wykonanie dowolnego kodu w JVM głównego węzła Jenkinsa.
Domyślna implementacja serwera TIBCO JasperReports Library, JasperReports Server i powiązanych produktów zawiera podatność typu directory traversal, która teoretycznie może pozwolić użytkownikom serwera WWW na dostęp do zawartości systemu hosta. Podatność dotyczy wielu wersji wymienionych produktów TIBCO.
W programie Internet Explorer występuje podatność ujawnienia informacji związana z nieprawidłowym przetwarzaniem obiektów w pamięci. Atakujący, który skutecznie wykorzysta tę podatność, może sprawdzić obecność plików na dysku.
Microsoft SharePoint ma podatność na zdalne wykonanie kodu, gdy oprogramowanie nie sprawdza poprawnie źródła znaczników pakietu aplikacji. Podatność ta jest znana jako 'Microsoft SharePoint Remote Code Execution Vulnerability'.
Wystąpił problem logiczny w obsłudze połączeń grupowych FaceTime. Problem został rozwiązany poprzez poprawę zarządzania stanem. Problem został naprawiony w iOS 12.1.4 i macOS Mojave 10.14.3 Supplemental Update. Inicjator połączenia grupowego FaceTime może być w stanie spowodować, że odbiorca odpowiedzi.
W MISP w wersji 2.4.102, uwierzytelniony użytkownik może zobaczyć obserwacje, do których nie powinien mieć dostępu. Wykorzystanie tej podatności wymaga dostępu do zdarzenia, które otrzymało obserwację.
Wiele urządzeń Phoenix Contact umożliwia zdalnym atakującym nawiązywanie sesji TCP na porcie 1962, co pozwala na uzyskanie wrażliwych informacji lub wprowadzenie zmian. Przykładem jest wykorzystanie funkcji tworzenia kopii zapasowej do przeszukiwania wszystkich katalogów.
ThinkPHP przed wersją 3.2.4, używany w Open Source BMS v1.1.1 i innych produktach, umożliwia zdalne wykonanie poleceń poprzez public//?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]= po którym następuje polecenie.
Niektóre typy pól nieprawidłowo sanityzują dane z nie-formularzowych źródeł w Drupal 8.5.x przed 8.5.11 i Drupal 8.6.x przed 8.6.10. Może to prowadzić do wykonania dowolnego kodu PHP w niektórych przypadkach. Witryna jest dotknięta tylko wtedy, gdy spełniony jest jeden z warunków: moduł RESTful Web Services (rest) jest włączony i pozwala na żądania PATCH lub POST, lub inny moduł usług webowych jest włączony, jak JSON:API w Drupal 8, lub Services lub RESTful Web Services w Drupal 7.
Podatność w silniku detekcji Cisco Firepower Threat Defense Software może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na nieoczekiwane ponowne uruchomienie silnika SNORT, co prowadzi do warunku odmowy usługi (DoS). Problem wynika z niepełnej obsługi błędów w nagłówku pakietów SSL lub TLS podczas nawiązywania połączenia. Atakujący może wysłać spreparowany pakiet SSL/TLS podczas uzgadniania połączenia, co powoduje restart silnika i częściowy DoS.
Zoho ManageEngine ServiceDesk Plus (SDP) w wersji przed 10.0 build 10012 pozwala zdalnym atakującym na przesyłanie dowolnych plików poprzez dostosowywanie strony logowania.
W WinRAR w wersjach do 5.61 włącznie istnieje podatność na przechodzenie poza katalog (path traversal) podczas tworzenia pola nazwy pliku w formacie ACE (w UNACEV2.dll). Gdy pole nazwy pliku jest manipulowane określonymi wzorcami, folder docelowy (wyodrębniania) jest ignorowany, co powoduje traktowanie nazwy pliku jako ścieżki bezwzględnej.
Kaseya VSA RMM przed R9.3 9.3.0.35, R9.4 przed 9.4.0.36 i R9.5 przed 9.5.0.5 umożliwia nieuprzywilejowanym zdalnym atakującym wykonanie payloadów PowerShell na wszystkich zarządzanych urządzeniach. W styczniu 2018 atakujący aktywnie wykorzystywali tę podatność w środowisku produkcyjnym.
Integracja ConnectWise ManagedITSync do 2017 dla Kaseya VSA jest podatna na nieuwierzytelnione zdalne polecenia, które umożliwiają pełny bezpośredni dostęp do bazy danych Kaseya VSA. W lutym 2019 atakujący aktywnie wykorzystywali tę podatność do pobierania i wykonywania oprogramowania ransomware na wszystkich punktach końcowych zarządzanych przez serwer VSA. Jeśli strona ManagedIT.asmx jest dostępna przez interfejs webowy Kaseya VSA, każdy z dostępem może wykonywać dowolne zapytania SQL, zarówno odczyt, jak i zapis, bez uwierzytelnienia.
ARM Trusted Firmware-A umożliwia ujawnienie informacji. Podatność ta może prowadzić do nieautoryzowanego dostępu do wrażliwych danych.
Podatność w komponencie akwizycji danych (DAQ) oprogramowania Cisco Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu, zdalnemu atakującemu ominąć skonfigurowane polityki kontroli dostępu lub wywołać warunek odmowy usługi (DoS). Wynika to z nieprawidłowego zarządzania zasobami pamięci podczas inspekcji ruchu. Atakujący może wykorzystać tę podatność, generując określone wzorce ruchu, co może doprowadzić do wyczerpania pamięci i w zależności od konfiguracji do przerwania inspekcji lub DoS.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS