Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.21)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność XXE w PySAML2 w wersji 4.4.0 i wcześniejszych umożliwia zdalnym atakującym odczyt dowolnych plików poprzez spreparowane żądanie lub odpowiedź SAML XML.
Lokalna podatność na eskalację uprawnień w pakiecie Gentoo QEMU przed wersją 2.5.0-r1.
Funkcja edytowania banera w SolarWinds LEM (znanym również jako SIEM) w wersji do 6.3.1 pozwala zdalnie uwierzytelnionym użytkownikom na wykonanie dowolnego kodu poprzez edytowanie pliku /usr/local/contego/scripts/mgrconfig.pl.
SolarWinds LEM (znany również jako SIEM) w wersjach przed 6.3.1 ma nieprawidłową konfigurację sudo, co pozwala lokalnym użytkownikom uzyskać dostęp do konta root poprzez edytowanie pliku /usr/local/contego/scripts/hostname.sh.
SAP GUI w wersjach 7.2 do 7.5 umożliwia zdalnym atakującym obejście zamierzonych ograniczeń polityki bezpieczeństwa oraz wykonanie dowolnego kodu za pomocą spreparowanego kodu ABAP.
USB Pratirodh umożliwia zdalnym atakującym przeprowadzenie ataków typu XML External Entity (XXE) poprzez dane XML w pliku usb.xml.
Microsoft Skype w wersji 7.16.0.102 zawiera podatność, która może umożliwić nieautoryzowanemu, zdalnemu atakującemu wykonanie dowolnego kodu na docelowym systemie. Problem wynika z sposobu ładowania plików .dll przez Skype.
Funkcja User::randomPassword w MediaWiki przed wersją 1.23.12 oraz w wersjach 1.24.x przed 1.24.5, 1.25.x przed 1.25.4 i 1.26.x przed 1.26.1 generuje hasła krótsze niż $wgMinimalPasswordLength, co ułatwia zdalnym atakującym uzyskanie dostępu poprzez atak brute-force.
MediaWiki w wersjach przed 1.23.12, 1.24.x przed 1.24.5, 1.25.x przed 1.25.4 oraz 1.26.x przed 1.26.1 nieprawidłowo sanitizuje parametry podczas wywoływania biblioteki cURL. To umożliwia zdalnym atakującym odczyt dowolnych plików poprzez użycie znaku @ w nieokreślonych parametrach tablicy POST.
Funkcja User::matchEditToken w MediaWiki przed wersją 1.23.12 oraz 1.24.x przed 1.24.5, 1.25.x przed 1.25.4 i 1.26.x przed 1.26.1 nie wykonuje porównania tokenów w stałym czasie, co umożliwia zdalnym atakującym odgadnięcie tokena edycji i obejście ochrony CSRF za pomocą ataku czasowego.
Funkcja User::matchEditToken w MediaWiki przed wersją 1.23.12 oraz 1.24.x przed wersją 1.24.5 nie porównuje tokenów w stałym czasie, co umożliwia zdalnym atakującym zgadywanie tokena edycji i obejście ochrony CSRF za pomocą ataku czasowego.
Funkcja Soft Access Point w telewizorach Samsung Smart TV X10P, X12, X14H, X14J oraz NT14U i drukarkach Xpress M288OFW generuje słabe klucze WPA2 PSK, co ułatwia zdalnym atakującym uzyskanie poufnych informacji lub obejście uwierzytelnienia za pomocą ataku brute-force.
Serwer Cloudera Key Trustee przed wersją 5.4.3 nie przechowuje kluczy w sposób synchroniczny, co może umożliwić atakującym wywołanie nieokreślonego wpływu związane z utratą klucza szyfrowania.
Funkcja _mediaLibraryPlayCb w pliku mainwindow.py w pitivi przed wersją 0.95 umożliwia atakującym wykonanie dowolnego kodu poprzez wykorzystanie metaznaków powłoki w ścieżce pliku.
Funkcja calcstepsizes w jpc_dec.c w JasPer 1.900.22 umożliwia zdalnym atakującym spowodowanie odmowy usługi (awaria asercji) poprzez nieokreślone wektory.
Funkcja jpc_floorlog2 w pliku jpc_math.c w JasPer przed wersją 1.900.17 umożliwia zdalnym atakującym spowodowanie awarii usługi (błąd asercji) poprzez nieokreślone wektory.
Funkcja jpc_dequantize w jpc_dec.c w JasPer 1.900.13 umożliwia zdalnym atakującym spowodowanie awarii usługi (błąd asercji) poprzez nieokreślone wektory.
Funkcja JPC_NOMINALGAIN w JasPer do wersji 2.0.12 pozwala zdalnym atakującym na wywołanie awarii usługi (błąd asercji JPC_COX_RFT) poprzez nieokreślone wektory.
Funkcja jpc_bitstream_getbits w pliku jpc_bs.c w JasPer przed wersją 2.0.10 pozwala zdalnym atakującym na spowodowanie awarii usługi (błąd asercji) poprzez przesłanie bardzo dużej liczby całkowitej.
Funkcje jpc_irct i jpc_iict w pliku jpc_mct.c w JasPer przed wersją 1.900.14 umożliwiają zdalnym atakującym spowodowanie awarii usługi (błąd asercji).