Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.22)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W Moodle występuje podatność typu CSRF w pliku markposts.php, która dotyczy wersji od 3.0 do 3.0.3, 2.9 do 2.9.5, 2.8 do 2.8.11 oraz 2.7 do 2.7.13 i wcześniejszych. Umożliwia ona zdalnym atakującym przejęcie uwierzytelnienia użytkowników w celu oznaczenia postów na forum jako przeczytane.
W podatności CVE-2016-1161 występuje luka typu Cross-site request forgery (CSRF) w ManageEngine Password Manager Pro przed wersją 8.5 (Build 8500).
Sterownik webssx.sys w QuickHeal 16.00 umożliwia zdalnym atakującym spowodowanie odmowy usługi.
W systemie Schneider Electric Wonderware InTouch Access Anywhere, wersja 11.5.2 i wcześniejsze, odkryto problem z ujawnieniem informacji. Uwierzytelnienia mogą być narażone na ujawnienie zewnętrznym systemom poprzez określone parametry URL.
W systemie Schneider Electric Wonderware InTouch Access Anywhere, wersja 11.5.2 i wcześniejsze, odkryto problem z fałszowaniem żądań między witrynami (CSRF). Atakujący może sfałszować żądanie klienta z innej witryny, co umożliwia dostęp do wewnętrznych systemów RDP w imieniu aktualnie zalogowanego użytkownika.
W bibliotece ARM mbed TLS przed wersjami 1.3.19, 2.x przed 2.1.7 oraz 2.4.x przed 2.4.2 występuje podatność związana z niewłaściwym zwolnieniem wskaźnika stosu podczas analizy certyfikatów x509. Złośliwie skonstruowany certyfikat x509 może prowadzić do potencjalnego zdalnego wykonania kodu.
W aplikacji webowej 'ping' w punktach dostępowych Moxa AWK-3131A z firmware 1.1 występuje podatność na wstrzyknięcie poleceń systemowych. Specjalnie przygotowane dane wejściowe mogą prowadzić do całkowitego przejęcia kontrola nad podatnym urządzeniem.
Twigmo w wersji 4.3.9 i wcześniejszych, dołączony do CS-Cart oraz CS-Cart Multi-Vendor, pozwala zdalnym uwierzytelnionym użytkownikom na wykonywanie dowolnego kodu PHP na serwerach.
LINE dla systemu Windows przed wersją 4.8.3 umożliwia atakującym typu man-in-the-middle wykonanie dowolnego kodu.
W podatności CVE-2016-1218 występuje luka typu SQL injection w Cybozu Garoon przed wersją 4.2.2.
MediaWiki w wersji 1.27.x przed 1.27.1 może pozwolić zdalnym atakującym na obejście zamierzonych ograniczeń dostępu do sesji poprzez wykorzystanie wywołania funkcji UserGetRights po Session::getAllowedUserRights.
MediaWiki w wersjach przed 1.23.15, 1.26.x przed 1.26.4 oraz 1.27.x przed 1.27.1 nie generuje elementów nagłówka w kontekście danego tytułu, co pozwala zdalnym atakującym na uzyskanie wrażliwych informacji za pomocą akcji parsowania do api.php.
MediaWiki w wersjach przed 1.23.15, 1.26.x przed 1.26.4 oraz 1.27.x przed 1.27.1, gdy $wgBlockDisablesLogin jest ustawione na true, może pozwolić zdalnym atakującym na uzyskanie wrażliwych informacji poprzez niewłaściwe zakończenie sesji, gdy konto użytkownika jest zablokowane.
ApiParse w MediaWiki przed wersją 1.23.15, 1.26.x przed 1.26.4 oraz 1.27.x przed 1.27.1 umożliwia zdalnym atakującym ominięcie zamierzonych ograniczeń odczytu dla poszczególnych tytułów poprzez akcję parsowania w api.php.
Przepełnienie całkowite w agencie Poczty w Novell GroupWise przed 2014 R2 Service Pack 1 Hot Patch 1 może umożliwić zdalnym atakującym wykonanie dowolnego kodu poprzez długą nazwę użytkownika lub hasło, co prowadzi do przepełnienia bufora w stercie.
Red Hat OpenShift Enterprise 2 nie ustawia flagi HTTPOnly w nagłówku Set-Cookie dla ciasteczka GEARID, co ułatwia zdalnym atakującym uzyskanie potencjalnie wrażliwych informacji poprzez dostęp do ciasteczek za pomocą skryptów.
W systemach Apple iOS przed wersją 9.3.2, OS X przed wersją 10.11.5 oraz tvOS przed wersją 9.2.1 występuje przepełnienie bufora w sterowniku IOHIDFamily. Atakujący mogą wykorzystać tę podatność do wykonania dowolnego kodu w kontekście z uprawnieniami lub spowodować awarię usługi poprzez złośliwą aplikację.
W Hancom Office 2014 VP występują wielokrotne przepełnienia bufora w stercie w funkcjach CBookBase::SetDefTableStyle oraz CBookBase::SetDefPivotStyle, które mogą być wykorzystane przez zdalnych atakujących do wykonania dowolnego kodu za pomocą spreparowanego pliku dokumentu Hangul Hcell (.cell).
Cybozu Garoon w wersjach przed 4.2.2 pozwala zdalnym atakującym na ominięcie uwierzytelniania logowania poprzez wykorzystanie interfejsu API.
SquirrelMail w wersji 1.4.22 (oraz inne wersje przed 20170427_0200-SVN) umożliwia zdalne wykonanie kodu po uwierzytelnieniu poprzez niewłaściwe przetwarzanie pliku sendmail.cf w wywołaniu popen. Wykorzystanie tej podatności pozwala na wykonanie dowolnych poleceń powłoki na zdalnym serwerze.