Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.21)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W aplikacji Kabona AB WebDatorCentral (WDC) przed wersją 3.4.0 odkryto problem związany z niewłaściwym sanitizowaniem wejść URL serwera WWW, co może prowadzić do podatności na ataki typu cross-site scripting.
W oprogramowaniu Schneider Electric Unity PRO przed wersją V11.1 odkryto problem, który pozwala na kompilację projektów Unity jako instrukcji x86. Te instrukcje są następnie wykonywane bezpośrednio przez symulator PLC dostarczany z Unity PRO, co umożliwia wykonanie złośliwego kodu.
W urządzeniach Schneider Electric ConneXium zapory ogniowe występuje problem z przepełnieniem bufora na stosie, który może być wywołany podczas procesu uwierzytelniania SNMP. To może umożliwić atakującemu zdalne wykonanie kodu.
W wersji 6.5 i wcześniejszych aplikacji Emerson Liebert SiteScan odkryto problem związany z XML External Entity (XXE). Atakujący może wprowadzić złośliwe dane do Liebert SiteScan poprzez słabo skonfigurowany parser XML, co może prowadzić do wykonania dowolnego kodu lub ujawnienia zawartości plików z serwera lub podłączonej sieci.
W aplikacji Kabona AB WebDatorCentral (WDC) przed wersją 3.4.0 odkryto problem związany z brakiem ograniczeń prób uwierzytelniania, co może umożliwić atak metodą brute force.
W urządzeniu Moxa EDR-810 Industrial Secure Router odkryto problem, który pozwala złośliwemu użytkownikowi uzyskać dostęp do plików konfiguracyjnych i logów poprzez dostęp do określonego adresu URL na serwerze WWW.
W wersji 5.0.413.0 Ecava IntegraXor zidentyfikowano problem związany z podatnością na SQL injection w serwerze WWW. Niezabezpieczone parametry mogą prowadzić do nieautoryzowanego dostępu do bazy danych.
W oprogramowaniu układowym Siemens ETA4 (wszystkie wersje przed rewizją 08) modułu rozszerzeń SM-2558 zidentyfikowano problem. Specjalnie skonstruowane pakiety wysyłane do portu 2404/TCP mogą spowodować przejście urządzenia w tryb defektu.
W urządzeniu Schneider Electric PowerLogic PM8ECC w wersji 2.651 i starszych odkryto problem związany z nieudokumentowanymi, twardo zakodowanymi poświadczeniami, które umożliwiają dostęp do urządzenia.
W urządzeniach pomiarowych energii serii IONXXXX firmy Schneider Electric, takich jak ION73XX, ION75XX, ION76XX, ION8650, ION8800 oraz PM5XXX, odkryto problem związany z brakiem domyślnej autoryzacji. Nieautoryzowany użytkownik może uzyskać dostęp do portalu zarządzania urządzeniem i wprowadzać zmiany w konfiguracji.
W urządzeniach pomiarowych energii elektrycznej serii IONXXXX firmy Schneider Electric zidentyfikowano problem związany z brakiem generowania tokena CSRF do uwierzytelniania użytkownika podczas sesji. W wyniku skutecznego wykorzystania tej podatności możliwe jest wprowadzenie i zapisanie nieautoryzowanych zmian w konfiguracji.
W oprogramowaniu Delta Electronics WPLSoft, ISPSoft i PMSoft zidentyfikowano wiele przypadków przepełnienia bufora w stercie, które mogą prowadzić do wykonania dowolnego kodu lub odmowy usługi.
W oprogramowaniu CA Unified Infrastructure Management w wersji 8.47 i wcześniejszych odkryto problem związany z nieprawidłowym przetwarzaniem zewnętrznych danych wejściowych do konstrukcji ścieżki. Oprogramowanie nie neutralizuje poprawnie sekwencji takich jak '..', co może prowadzić do uzyskania dostępu do lokalizacji poza ograniczonym katalogiem.
W oprogramowaniu Delta Electronics WPLSoft, ISPSoft i PMSoft zidentyfikowano problem związany z wieloma przypadkami zapisu poza przydzielonym obszarem pamięci. Może to umożliwić odczyt i wykonanie złośliwych plików przez podatne oprogramowanie.
W OmniMetrix OmniView w wersji 1.2 odkryto problem związany z niewystarczającymi wymaganiami dotyczącymi haseł. Może to umożliwić atakującemu uzyskanie dostępu do aplikacji webowej poprzez atak brute force na hasła kont.
W oprogramowaniu Fatek Automation PM Designer V3 w wersji 2.1.2.2 oraz Automation FV Designer w wersji 1.2.8.0 odkryto problem, który pozwala atakującemu na wywołanie przepełnienia bufora na stosie poprzez wysłanie dodatkowych, prawidłowych pakietów. Może to prowadzić do awarii systemu oraz umożliwia zdalne przepełnienie bufora na serwerze komunikacyjnym Fatek.
W oprogramowaniu Fatek Automation PM Designer V3 w wersji 2.1.2.2 oraz Automation FV Designer w wersji 1.2.8.0 odkryto problem, który pozwala atakującemu na wysłanie dodatkowych poprawnych pakietów. Może to prowadzić do awarii systemu lub wykonania dowolnego kodu z powodu niewłaściwego ograniczenia operacji w obrębie bufora pamięci.
W aplikacji internetowej OmniView w wersji 1.2 odkryto problem związany z przesyłaniem poświadczeń za pomocą protokołu HTTP. To może umożliwić atakującemu przechwycenie tych poświadczeń, co prowadzi do kompromitacji konta.
W Locus Energy LGate przed wersją 1.05H występuje problem związany z niewłaściwą walidacją danych w skrypcie PHP, który zarządza parametrami liczników energii. Dotyczy to modeli LGate 50, LGate 100, LGate 101, LGate 120 oraz LGate 320.
W aplikacji Sauter NovaWeb HMI odkryto problem związany z mechanizmem ochrony, który opiera się na istnieniu lub wartościach ciasteczka. Mechanizm ten nie zapewnia jednak prawidłowej weryfikacji, czy ciasteczko jest ważne dla powiązanego użytkownika.