Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność w interfejsie zarządzania opartym na sieci w routerach Cisco Small Business RV320 i RV325 Dual Gigabit WAN VPN może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na pobranie wrażliwych informacji. Podatność wynika z nieprawidłowej kontroli dostępu do adresów URL. Atakujący może wykorzystać tę podatność, łącząc się z urządzeniem przez HTTP lub HTTPS i żądając określonych adresów URL. Udany atak może pozwolić na pobranie konfiguracji routera lub szczegółowych informacji diagnostycznych. Cisco wydało aktualizacje oprogramowania układowego, które rozwiązują tę podatność.
Podatność w interfejsie zarządzania routerów Cisco Small Business RV320 i RV325 pozwala uwierzytelnionemu zdalnemu atakującemu z uprawnieniami administratora na wykonanie dowolnych poleceń. Wynika ona z niewłaściwej walidacji danych wejściowych, a atak następuje przez złośliwe żądania HTTP POST. Udana eksploatacja umożliwia wykonanie poleceń w powłoce Linux z uprawnieniami roota.
Podatność niewłaściwej kontroli dostępu w Fortinet FortiOS i FortiADC umożliwia atakującemu uzyskanie poświadczeń logowania do serwera LDAP skonfigurowanego w FortiGate poprzez przekierowanie testu połączenia do fałszywego serwera LDAP.
Spring Batch w wersjach 3.0.9, 4.0.1, 4.1.0 i starszych nieobsługiwanych jest podatny na wstrzykiwanie zewnętrznych encji XML (XXE) podczas przetwarzania danych XML pochodzących z niezaufanych źródeł.
Spring Web Services w wersjach 2.4.3, 3.0.4 oraz starszych nieobsługiwanych wersjach wszystkich trzech projektów jest podatny na wstrzykiwanie XML External Entity (XXE) podczas odbierania danych XML z niezaufanych źródeł.
Flash Player w wersjach 31.0.0.153 i wcześniejszych oraz 31.0.0.108 i wcześniejszych ma podatność use-after-free. Skuteczne wykorzystanie może prowadzić do wykonania dowolnego kodu.
Podatność polegająca na podniesieniu uprawnień występuje, gdy Windows nieprawidłowo obsługuje żądania uwierzytelniania. Dotyczy wielu wersji systemu Windows, w tym Windows 7, Windows Server 2012 R2, Windows RT 8.1, Windows Server 2008, Windows Server 2019, Windows Server 2012, Windows 8.1, Windows Server 2016, Windows Server 2008 R2, Windows 10 i Windows 10 Servers.
Podatność umożliwiająca zdalne wykonanie kodu występuje w silniku MSHTML, który nieprawidłowo waliduje dane wejściowe. Dotyczy to takich produktów jak Microsoft Office, Microsoft Office Word Viewer, Internet Explorer 9, 10, 11, Microsoft Excel Viewer oraz Office 365 ProPlus.
Dokan w wersjach od 1.0.0.5000 do 1.2.0.1000 jest podatny na przepełnienie bufora na stosie w sterowniku dokan1.sys. Atakujący może stworzyć uchwyt urządzenia do sterownika systemowego i wysłać dowolne dane wejściowe, które wywołają tę podatność.
W wersji 1.8.2 biblioteki libsixel występuje błąd przepełnienia bufora w pamięci sterty w funkcji load_jpeg() w pliku loader.c, co zostało zademonstrowane przez img2sixel.
Niskopoziomowy sterownik GDrv w GIGABYTE APP Center v1.05.21 i wcześniejszych, AORUS GRAPHICS ENGINE przed 1.57, XTREME GAMING ENGINE przed 1.26 i OC GURU II v2.08 udostępnia funkcje do odczytu i zapisu rejestrów specyficznych dla procesora (MSR).
Sterowniki niskopoziomowe GPCIDrv i GDrv w oprogramowaniu GIGABYTE APP Center i innych narzędziach umożliwiają odczyt i zapis danych z/do portów I/O. Może to być wykorzystane do uruchomienia kodu z podniesionymi uprawnieniami.
Sterowniki niskopoziomowe GPCIDrv i GDrv w oprogramowaniu GIGABYTE APP Center i innych narzędziach umożliwiają odczyt i zapis dowolnej pamięci fizycznej. Lokalny atakujący może to wykorzystać do podniesienia uprawnień.
Sterownik niskopoziomowy GDrv w oprogramowaniu GIGABYTE APP Center i innych narzędziach udostępnia funkcję memcpy w trybie ring0, co może pozwolić lokalnemu atakującemu na całkowite przejęcie systemu.
Netatalk w wersjach przed 3.1.12 jest podatny na zapis poza granicami w pliku dsi_opensess.c. Problem wynika z braku sprawdzania granic na danych kontrolowanych przez atakującego.
Podatność umożliwiająca zdalne wykonanie kodu występuje w sposobie, w jaki silnik skryptów obsługuje obiekty w pamięci w programie Internet Explorer. Dotyczy to Internet Explorer 9, 10 i 11. Podatność ta jest oznaczona jako CVE-2018-8653 i różni się od CVE-2018-8643.
Wszystkie wersje ARM Trusted Firmware do i włącznie z wersją 1.4 nie inicjalizują ani nie zapisują/przywracają rejestru PMCR_EL0, co może prowadzić do wycieku informacji o czasie w bezpiecznym świecie.
Podatność polegająca na podniesieniu uprawnień występuje, gdy komponent Win32k systemu Windows nieprawidłowo obsługuje obiekty w pamięci. Dotyczy wielu wersji systemu Windows, w tym Windows 7, Windows Server 2012 R2, Windows RT 8.1, Windows Server 2008, Windows Server 2019, Windows Server 2012, Windows 8.1, Windows Server 2016, Windows Server 2008 R2, Windows 10 i Windows 10 Servers. Podatność ta jest oznaczona jako CVE-2018-8639 i różni się od CVE-2018-8641.
Podatność polegająca na podniesieniu uprawnień występuje, gdy jądro systemu Windows nieprawidłowo obsługuje obiekty w pamięci. Dotyczy wielu wersji systemu Windows, w tym Windows 7, Windows Server 2012 R2, Windows RT 8.1, Windows Server 2008, Windows Server 2019, Windows Server 2012, Windows 8.1, Windows Server 2016, Windows Server 2008 R2, Windows 10 i Windows 10 Servers.
NoneCms V1.3 zawiera podatność w thinkphp/library/think/App.php, która pozwala zdalnym atakującym na wykonanie dowolnego kodu PHP poprzez spreparowane użycie parametru filter, na przykład przez ciąg zapytania s=index/\think\Request/input&filter=phpinfo&data=1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS