Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.18)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność typu directory traversal w pliku 'jcss.php' w Zikula 1.3.x przed 1.3.11 oraz 1.4.x przed 1.4.4 na systemie Windows umożliwia zdalnemu atakującemu przeprowadzenie ataku PHP object injection poprzez przesłanie zserializowanego pliku.
Podatność w Siemens SICAM PAS (wszystkie wersje przed V8.09) może umożliwić zdalnemu atakującemu spowodowanie stanu Denial of Service oraz potencjalne wykonanie nieautoryzowanego kodu zdalnie poprzez wysyłanie specjalnie przygotowanych pakietów na port 19234/TCP.
Podatność w Siemens SICAM PAS (wszystkie wersje przed V8.09) umożliwia zdalnemu atakującemu przesyłanie, pobieranie lub usuwanie plików w określonych częściach systemu plików poprzez wysyłanie specjalnie skonstruowanych pakietów do portu 19235/TCP.
OmniVista 8770 w wersjach 2.0 do 3.0 ujawnia różne interfejsy ORB, które mogą być zapytane za pomocą protokołu GIOP na porcie TCP 30024. Atakujący może obejść uwierzytelnianie i wywołać metody, które pozwalają na uruchamianie dowolnych poleceń na serwerze z uprawnieniami NT AUTHORITY\SYSTEM.
W BMC Patrol przed wersją 9.13.10.02, binarka 'listguests64' jest skonfigurowana z ustawionym bitem setuid. Przy jej uruchamianiu, program szuka binarki o nazwie 'virsh' w zmiennej środowiskowej PATH, co pozwala na uruchomienie 'virsh' z uprawnieniami roota.
Funkcjonalność 'zapomniane hasło' w b2evolution przed wersją 6.7.9 pozwala zdalnym atakującym na resetowanie haseł dowolnych użytkowników za pomocą odpowiednio skonstruowanego żądania.
W Serendipity przed wersją 2.0.5, atakujący może obejść ochronę SSRF, wykorzystując źle sformatowany adres IP (np. http://127.1) lub kod statusu HTTP 30x (czyli przekierowanie).
Podatność CVE-2016-3055 w IBM FileNet Workplace 4.0.2 przed wersją 4.0.2.14 LA012 umożliwia zdalnym uwierzytelnionym użytkownikom odczyt dowolnych plików lub spowodowanie odmowy usługi (zużycie pamięci) poprzez dokument XML zawierający deklarację zewnętrznego bytu w połączeniu z odniesieniem do bytu.
IBM AppScan Source w wersjach od 8.7 do 9.0.3.3 pozwala zdalnym uwierzytelnionym użytkownikom na odczyt dowolnych plików lub spowodowanie odmowy usługi (zużycie pamięci) poprzez dokument XML zawierający deklarację zewnętrznego bytu w połączeniu z odniesieniem do bytu, co jest związane z problemem XML External Entity (XXE).
IBM API Connect przed wersją 5.0.3.0 z NPM przed wersją 2.2.8 zawiera wewnętrzne dane uwierzytelniające serwera w pakiecie oprogramowania, co może umożliwić zdalnym atakującym ominięcie zamierzonych ograniczeń dostępu.
W bibliotece ax w Agencie IBM Tivoli Monitoring (ITM) występuje przepełnienie bufora na stosie, które może pozwolić lokalnym użytkownikom na uzyskanie podwyższonych uprawnień. Dotyczy to wersji 6.2.2 przed FP9, 6.2.3 przed FP5 oraz 6.3.0 przed FP2 na systemach Linux i UNIX.
Komponent powiadomień w aplikacjach IBM TRIRIGA w wersjach 10.4 i 10.5 przed 10.5.1 pozwala zdalnym uwierzytelnionym użytkownikom na uzyskanie wrażliwych informacji o hasłach, co może prowadzić do uzyskania nieautoryzowanych uprawnień.
IBM IMS Enterprise Suite Data Provider przed wersją 3.2.0.1 dla Microsoft .NET umożliwia zdalnym uwierzytelnionym użytkownikom uzyskanie wrażliwych informacji lub modyfikację danych za pomocą nieokreślonych wektorów.
W podatności CVE-2016-2884 występuje luka CSRF w IBM Forms Experience Builder w wersjach 8.5.x i 8.6.x przed 8.6.3.1, w nieokreślonej konfiguracji, która pozwala zdalnym uwierzytelnionym użytkownikom na przejęcie uwierzytelnienia dowolnych użytkowników dla żądań wstawiających sekwencje XSS.
Wielokrotne podatności typu cross-site request forgery (CSRF) w IBM QRadar SIEM 7.1 przed poprawką MR2 Patch 13 oraz 7.2 przed wersją 7.2.7 umożliwiają zdalnym atakującym przejęcie uwierzytelnienia dowolnych użytkowników dla żądań, które wstawiają sekwencje XSS.
IBM QRadar SIEM w wersjach 7.1 przed MR2 Patch 13 oraz 7.2 przed 7.2.7 wykonuje nieokreślone procesy na niewłaściwym poziomie uprawnień, co ułatwia zdalnie uwierzytelnionym użytkownikom uzyskanie dostępu do konta root poprzez wykorzystanie problemu z wstrzykiwaniem poleceń.
Podatność na wstrzykiwanie SQL w IBM QRadar SIEM 7.1 przed poprawką MR2 Patch 13 oraz 7.2 przed wersją 7.2.7 umożliwia zdalnym uwierzytelnionym użytkownikom wykonywanie dowolnych poleceń SQL za pomocą nieokreślonych wektorów.
IBM QRadar SIEM w wersjach 7.1 przed MR2 Patch 13 oraz 7.2 przed 7.2.7 przechowuje hasła w postaci niezaszyfrowanej, co umożliwia lokalnym użytkownikom uzyskanie wrażliwych informacji poprzez odczyt pliku konfiguracyjnego.
Przepełnienie bufora w funkcji send_redirect() w serwerze WWW Boa 0.92r umożliwia zdalnym atakującym przeprowadzenie ataku DoS poprzez wysłanie żądania HTTP GET z długim URI składającym się wyłącznie z znaków '/' i '.'.
W podatności CVE-2016-2963 występuje luka CSRF w IBM BigFix Remote Control przed wersją 9.1.3, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia dowolnych użytkowników w celu wykonania żądań wstawiających sekwencje XSS.