Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.21)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Przepełnienie bufora w wbudowanym serwerze WWW w DiskSavvy Enterprise 9.4.18 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez długi URI w żądaniu GET.
Podatność CVE-2017-6077 dotyczy urządzeń NETGEAR DGN2200 z firmware do wersji 10.0.0.50, gdzie zdalni uwierzytelnieni użytkownicy mogą wykonywać dowolne polecenia systemowe poprzez wykorzystanie metaznaków powłoki w polu ping_IPAddr w żądaniu HTTP POST.
W daemonie zebra w Quagga przed wersją 1.0.20161017 odkryto podatność na przepełnienie bufora na stosie podczas przetwarzania wiadomości IPv6 Neighbor Discovery. Przyczyną problemu było poleganie na BUFSIZ, który jest zależny od systemu, co prowadzi do niezgodności z rozmiarem wiadomości.
OpenText Documentum D2 w wersji 4.x umożliwia zdalnym atakującym wykonywanie dowolnych poleceń za pomocą spreparowanego zserializowanego obiektu Java, co jest związane z bibliotekami BeanShell (bsh) oraz Apache Commons Collections (ACC).
Podatność w OpenText Documentum Content Server 7.3, gdy używana jest baza danych PostgreSQL i opcja return_top_results_row_based jest ustawiona na fałsz, pozwala na nieprawidłowe ograniczenie wskazówek DQL. Umożliwia to zdalnym uwierzytelnionym użytkownikom przeprowadzenie ataków DQL injection oraz wykonanie dowolnych poleceń DML lub DDL za pomocą spreparowanego żądania.
Menadżer tras w FlightGear przed wersją 2016.4.4 pozwala zdalnym atakującym na zapis do dowolnych plików za pomocą spreparowanego skryptu Nasal.
Metoda CClient::ProcessServerPacket w Teeworlds przed wersją 0.6.4 pozwala zdalnym serwerom na zapis do dowolnych lokalizacji pamięci fizycznej, co może prowadzić do wykonania dowolnego kodu.
Przepełnienie całkowite w funkcji mem_check_range w jądrze Linux przed wersją 4.9.10 umożliwia lokalnym użytkownikom spowodowanie odmowy usługi (uszkodzenie pamięci) oraz uzyskanie wrażliwych informacji z pamięci jądra.
Funkcja installPackage w podkomponencie installerHelper w Libmacgpg w GPG Suite przed wersją 2015.06 pozwala lokalnym użytkownikom na wykonywanie dowolnych poleceń z uprawnieniami roota poprzez metaznaki powłoki w argumencie xmlPath.
Serwer SonicWall Secure Remote Access (wersja 8.1.0.2-14sv) jest podatny na zdalne wstrzykiwanie poleceń w swoim interfejsie administracyjnym. Podatność występuje w komponencie 'viewcert' CGI, który nieprawidłowo przetwarza informacje o certyfikatach SSL.
Serwer SonicWall Secure Remote Access (wersja 8.1.0.2-14sv) jest podatny na zdalne wstrzykiwanie poleceń w swoim interfejsie administracyjnym. Podatność ta występuje w komponencie 'extensionsettings' CGI, który nieprawidłowo przetwarza dane wejściowe, co umożliwia zdalne wykonanie poleceń.
Serwer SonicWall Secure Remote Access (wersja 8.1.0.2-14sv) jest podatny na dwie luki typu Remote Command Injection w swoim interfejsie administracyjnym. Luki te występują w komponencie CGI diagnostyki, co pozwala na zdalne wstrzyknięcie poleceń.
Podatność w interfejsie webowym Cisco Secure Access Control System (ACS) może umożliwić nieautoryzowanemu, zdalnemu atakującemu ujawnienie wrażliwych informacji.
Podatność w przetwarzaniu pakietów HTTP w interfejsie Web Bridge serwera Cisco Meeting Server (CMS) może umożliwić uwierzytelnionemu, zdalnemu atakującemu uzyskanie dostępu do zawartości pamięci, co może prowadzić do ujawnienia poufnych informacji. Atakujący może również spowodować niespodziewane awarie aplikacji, co skutkuje warunkiem odmowy usługi (DoS).
Podatność w portalu sponsora Cisco Identity Services Engine (ISE) umożliwia uwierzytelnionemu, zdalnemu atakującemu dostęp do powiadomień należących do innych użytkowników, z powodu podatności na SQL Injection.
Podatność w wewnętrznym API Cisco Meeting Server (CMS) może umożliwić nieautoryzowanemu, zdalnemu atakującemu spowodowanie stanu odmowy usługi (DoS) na dotkniętym urządzeniu.
Siemens SIMATIC Logon przed wersją V1.5 SP3 Update 2 może pozwolić atakującemu, który zna ważną nazwę użytkownika oraz ma fizyczny lub sieciowy dostęp do systemu, na ominięcie uwierzytelniania na poziomie aplikacji.
W systemie Aerospike Database Server 3.10.0.3 występuje podatność związana z indeksowaniem poza zakresem w typie komunikatu RW fabric. Specjalnie przygotowany pakiet może spowodować, że serwer spróbuje uzyskać tabelę funkcji poza granicami tablicy, co prowadzi do zdalnego wykonania kodu.
W Aerospike Database Server 3.10.0.3 występuje podatność na zapis poza granicami w funkcjonalności parsowania pól transakcji wsadowych. Specjalnie przygotowany pakiet może spowodować zapis poza granicami, co prowadzi do uszkodzenia pamięci i potencjalnie umożliwia zdalne wykonanie kodu.
W komponentach fabric-worker serwera bazy danych Aerospike w wersji 3.10.0.3 występuje podatność na atak typu denial-of-service. Specjalnie skonstruowany pakiet może spowodować dereferencję wskaźnika null, co prowadzi do awarii procesu serwera.