Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.21)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Adobe Experience Manager w wersjach 6.5.24, LTS SP1, 2026.04 i wcześniejszych zawiera podatność niewłaściwej walidacji danych wejściowych, która może prowadzić do ominięcia funkcji bezpieczeństwa. Atakujący z niskimi uprawnieniami może ominąć zabezpieczenia i uzyskać nieautoryzowany dostęp do zapisu. Wymagana jest interakcja użytkownika (odwiedzenie spreparowanego URL lub interakcja ze spreparowaną stroną).
Adobe Experience Manager w wersjach 6.5.24, LTS SP1, 2026.04 i wcześniejszych ma podatność Improper Input Validation, która może prowadzić do obejścia zabezpieczeń i nieautoryzowanego zapisu.
Nieprawidłowa walidacja danych wejściowych w usłudze Microsoft Azure Attestation i Device Health Attestation Service umożliwia autoryzowanemu atakującemu przeprowadzenie ataku typu spoofing z wykorzystaniem fizycznego dostępu.
Odczyt poza zakresem w Microsoft Office umożliwia nieautoryzowanemu atakującemu lokalne ujawnienie informacji.
W programie Microsoft Office Word występuje przepełnienie bufora sterty, które pozwala nieautoryzowanemu atakującemu na lokalne ujawnienie informacji.
W programie Microsoft Office Excel występuje awaria mechanizmu ochrony, która pozwala nieautoryzowanemu atakującemu na lokalne ominięcie funkcji zabezpieczającej.
Odczyt poza zakresem w Microsoft Office Excel umożliwia nieautoryzowanemu atakującemu lokalne ujawnienie informacji.
Podatność w OpenSSL dotyczy funkcji EVP_PKEY_derive_set_peer() przy użyciu klucza DHX (X9.42). Złośliwy peer może wykorzystać brak prawidłowego sprawdzenia przynależności do podgrupy, co prowadzi do wycieku klucza prywatnego ofiary po kilku próbach wymiany kluczy.
Funkcje CMS_decrypt i PKCS7_decrypt w OpenSSL są podatne na atak typu Bleichenbacher, gdy atakujący może dostarczyć wiadomości CMS lub S/MIME i obserwować kod błędu lub wynik deszyfrowania. Atak umożliwia wykorzystanie podatnej aplikacji ofiary do deszyfrowania lub podpisywania wiadomości z użyciem jej prywatnego klucza RSA.
Podatność przepełnienia bufora sterty w 389 Directory Server. Funkcja create_masked_entry_string() w auditlog.c kopiuje maskę hasła do precyzyjnie określonego bufora bez sprawdzania dostępnego miejsca, co prowadzi do przepełnienia przy logowaniu krótkiego hasła w czystym tekście.
W 389 Directory Server parser LDIF odczytuje dane poza granicami bufora sterty podczas przetwarzania typów atrybutów z końcowymi średnikami podczas importu bazy danych, co powoduje odczyt poza zakresem wykrywalny przez instrumentację pamięci.
Podczas eksportu wszystkich nośników wielokrotnego użytku, sekrety powiązanych kart podarunkowych były dołączane do eksportu, nawet jeśli użytkownik nie miał uprawnień do ich przeglądania. Pozwala to na ominięcie granicy uprawnień.
W TYPO3 CMS funkcja GeneralUtility::isAllowedAbsPath() sprawdzała dozwolone ścieżki przez porównanie prefiksu bez wymagania separatora katalogów, co pozwalało administratorom z dostępem do File Abstraction Layer na tworzenie definicji magazynów plików poza katalogiem głównym.
Podatność polegająca na obejściu logiki w systemie plików. Udane wykorzystanie może wpłynąć na dostępność systemu.
Luka w kontroli uprawnień w powiadomieniach serwisowych. Udane wykorzystanie może wpłynąć na dostępność usługi.
Podatność w Custom Block Builder WordPress plugin przed wersją 4.3.0 umożliwia administratorom w instalacjach multisite (lub z DISALLOW_UNFILTERED_HTML) wstrzyknięcie dowolnego JavaScriptu, który wykona się dla odwiedzających strony z danym blokiem.
Podatność w logice ewaluacji Spring Expression Language (SpEL) umożliwia wywoływanie dowolnych metod bezargumentowych, nawet w ograniczonych kontekstach, co może pozwolić atakującemu na wywołanie niezamierzonej logiki aplikacji.
Aplikacje używające AntPathMatcher z Spring Framework mogą być podatne na atak typu ReDoS (Regular Expression Denial of Service), jeśli atakujący może dostarczyć wzorzec do metod match(), matchStart() lub extractUriTemplateVariables(). Dotyczy to Spring Framework 7.0.0-7.0.7, 6.2.0-6.2.18, 6.1.0-6.1.27 oraz 5.3.0-5.3.48.
W pewnych warunkach, gdy nieautoryzowany atakujący uzyska dostęp do konkretnego endpointu, SAP Business Objects ujawnia wrażliwe informacje. Wpływ na poufność danych jest niski, a na integralność i dostępność brak.
W Google Chrome przed wersją 149.0.7827.103 wykryto niewystarczającą walidację niezaufanego wejścia w stronie Nowej Karty. Zdalny atakujący, który skompromitował proces renderowania, może wyciec dane z innego pochodzenia za pomocą spreparowanej strony HTML. (Wysoka dotkliwość wg Chromium)