Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W produkcie PowerLogic firmy Schneider Electric (PM5560 przed wersją FW 2.5.4) występuje podatność na wstrzykiwanie między protokołami. Podatność ta umożliwia atak typu cross site scripting w przeglądarce internetowej urządzenia, co pozwala na manipulację danymi wejściowymi i wykonanie kodu JavaScript.
W produkcie Modicon M221 firmy Schneider Electric występuje podatność związana z niewłaściwym sprawdzaniem nietypowych lub wyjątkowych warunków. Umożliwia to nieautoryzowanym użytkownikom zdalne ponowne uruchomienie urządzenia Modicon M221 za pomocą spreparowanych ramek protokołu programowania.
Apache Struts w wersjach 2.3 do 2.3.34 oraz 2.5 do 2.5.16 jest podatny na zdalne wykonanie kodu, gdy parametr alwaysSelectFullNamespace jest ustawiony na true (przez użytkownika lub wtyczkę taką jak Convention Plugin), a wyniki są używane bez przestrzeni nazw, podczas gdy pakiet nadrzędny nie ma przestrzeni nazw lub ma ją z symbolem wieloznacznym. Podobna możliwość występuje przy użyciu tagu url bez wartości i akcji, gdy pakiet nadrzędny nie ma przestrzeni nazw lub ma ją z symbolem wieloznacznym.
W sterowniku jądra dla surowego MIDI (rawmidi) wykryto brak ochrony przed współbieżnym dostępem, co prowadzi do podwójnego zwolnienia pamięci w funkcjach snd_rawmidi_input_params() i snd_rawmidi_output_status() w pliku rawmidi.c. Lokalny atakujący może wykorzystać tę podatność do eskalacji uprawnień.
W Windows Shell występuje podatność umożliwiająca zdalne wykonanie kodu w wyniku nieprawidłowej walidacji ścieżek plików. Podatność dotyczy Windows 10 Servers oraz Windows 10.
W sterowniku DirectX Graphics Kernel (DXGKRNL) występuje podatność umożliwiająca podniesienie uprawnień w wyniku nieprawidłowej obsługi obiektów w pamięci. Podatność dotyczy Windows Server 2016, Windows 10 oraz Windows 10 Servers.
W sterowniku DirectX Graphics Kernel (DXGKRNL) występuje podatność umożliwiająca podniesienie uprawnień w wyniku nieprawidłowej obsługi obiektów w pamięci. Podatność dotyczy Windows Server 2012 R2, Windows RT 8.1, Windows Server 2016, Windows 8.1, Windows 10 oraz Windows 10 Servers.
W silniku skryptowym Internet Explorer występuje podatność umożliwiająca zdalne wykonanie kodu w wyniku nieprawidłowej obsługi obiektów w pamięci. Podatność dotyczy Internet Explorer 9, Internet Explorer 10 oraz Internet Explorer 11.
Systemy z mikroprocesorami wykorzystującymi spekulacyjną egzekucję i translacje adresów mogą umożliwić nieautoryzowane ujawnienie informacji znajdujących się w pamięci podręcznej L1. Atakujący z lokalnym dostępem użytkownika i uprawnieniami gościa systemu operacyjnego może wykorzystać błąd strony terminala oraz analizę kanału bocznego.
Systemy z mikroprocesorami wykorzystującymi spekulacyjną egzekucję i translacje adresów mogą umożliwić nieautoryzowane ujawnienie informacji znajdujących się w pamięci podręcznej L1. Atakujący z lokalnym dostępem użytkownika może wykorzystać błąd strony terminala oraz analizę kanałów bocznych.
Systemy z mikroprocesorami wykorzystującymi spekulacyjną egzekucję oraz rozszerzenia zabezpieczeń Intel (Intel SGX) mogą umożliwiać nieautoryzowane ujawnienie informacji znajdujących się w pamięci podręcznej L1 z enclave do atakującego z lokalnym dostępem użytkownika poprzez analizę kanałów bocznych.
Monitor pacjenta Medtronic MyCareLink wykorzystuje dane uwierzytelniające specyficzne dla produktu, które są przechowywane w formacie możliwym do odzyskania. Atakujący może wykorzystać te dane do uwierzytelnienia w sieci.
W Laravel Framework do wersji 5.5.40 oraz 5.6.x do 5.6.29 może wystąpić zdalne wykonanie kodu w wyniku wywołania unserialize na potencjalnie niezaufanej wartości X-XSRF-TOKEN. Dotyczy to metody decrypt w Illuminate/Encryption/Encrypter.php oraz PendingBroadcast w gadgetchains/Laravel/RCE/3/chain.php w phpggc. Atakujący musi znać klucz aplikacji, co normalnie nie powinno mieć miejsca, ale może się zdarzyć, jeśli wcześniej miał uprzywilejowany dostęp lub przeprowadził skuteczny atak.
Plik upgrade_handle.php na urządzeniach NUUO NVRmini pozwala na zdalne wykonanie poleceń poprzez metaznaki powłoki w parametrze uploaddir dla polecenia writeuploaddir.
W SecurityCenter przed wersją 5.7.0 występuje podatność XSS, która pozwala uwierzytelnionemu atakującemu na wstrzyknięcie kodu JavaScript do parametru nazwy pliku obrazu w obszarze Reports.
W SecurityCenter przed wersją 5.7.0 występuje problem z enumeracją nazw użytkowników. Nieuwierzytelniony atakujący może zautomatyzować odkrywanie aliasów użytkowników metodą brute force, co może ułatwić nieautoryzowany dostęp.
MikroTik RouterOS do wersji 6.42 pozwala nieuwierzytelnionym zdalnym atakującym na odczyt dowolnych plików, a uwierzytelnionym zdalnym atakującym na zapis dowolnych plików z powodu podatności typu directory traversal w interfejsie WinBox.
W Johnson Controls Metasys System w wersjach 8.0 i wcześniejszych oraz BCPro (BCM) we wszystkich wersjach przed 3.0.2 występuje luka wynikająca z nieprawidłowej obsługi błędów w komunikacji HTTP z serwerem. Może to pozwolić atakującemu na uzyskanie informacji technicznych.
SharpCompress w wersjach przed 0.21.0 jest podatny na atak typu directory traversal, co pozwala atakującym na zapis do dowolnych plików poprzez wykorzystanie sekwencji ../ w wpisie archiwum Zip, który jest niewłaściwie obsługiwany podczas ekstrakcji. Ta podatność jest znana jako 'Zip-Slip'.
Podatność CVE-2018-8859 dotyczy urządzeń Echelon SmartServer 1, SmartServer 2 (wszystkie wersje przed wydaniem 4.11.007), i.LON 100 oraz i.LON 600 (wszystkie wersje). Atakujący może obejść wymaganą autoryzację określoną w pliku konfiguracyjnym bezpieczeństwa, dodając dodatkowe znaki do nazwy katalogu przy określaniu katalogu do uzyskania dostępu.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS