Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.18)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W jhead 2.87, używanym w libjhead w systemach Android 4.x przed 4.4.4, 5.0.x przed 5.0.2, 5.1.x przed 5.1.1 oraz 6.x przed 2016-08-01, występuje podatność, która pozwala zdalnym atakującym na wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez spreparowane dane EXIF.
W libmedia w mediaserver w systemie Android 4.x przed wersją 4.4.4, 5.0.x przed 5.0.2, 5.1.x przed 5.1.1 oraz 6.x przed 2016-08-01 występują błędne deklaracje, które umożliwiają zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez spreparowany plik multimedialny.
Dekoder ih264d w mediaserverze w systemie Android 6.x przed 2016-08-01 niewłaściwie obsługuje numery slice, co pozwala zdalnym atakującym na wykonanie dowolnego kodu lub spowodowanie odmowy usługi (uszkodzenie pamięci) za pomocą spreparowanego pliku multimedialnego.
Przepełnienie całkowite w pliku h264bsd_dpb.c w libstagefright w mediaserver w systemie Android przed wersją 4.4.4, 5.0.2, 5.1.1 oraz 6.x przed 2016-08-01 umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi (uszkodzenie pamięci) poprzez spreparowany plik multimedialny.
Sterownik GPU Qualcomm w systemie Android przed 2016-08-05 na urządzeniach Nexus 5, 5X, 6, 6P i 7 (2013) umożliwia atakującym uzyskanie uprawnień za pomocą spreparowanej aplikacji.
W systemie Android 4.x przed wersją 4.4.4, 5.0.x przed 5.0.2, 5.1.x przed 5.1.1 oraz 6.x przed 1 sierpnia 2016 roku, występuje podatność, która pozwala atakującym na zwiększenie priorytetu filtrów intencji za pomocą spreparowanej aplikacji.
Przepełnienie bufora w sterowniku Wi-Fi Qualcomm w systemie Android przed 2016-08-05 na urządzeniach Nexus 7 (2013) umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany element informacji w ramce zarządzającej 802.11.
Sterownik Wi-Fi Qualcomm w systemie Android przed 2016-08-05 na urządzeniach Nexus 7 (2013) zawiera błędne wywołania funkcji snprintf, co umożliwia zdalnym atakującym spowodowanie odmowy usługi (zawieszenie lub ponowne uruchomienie urządzenia) za pomocą spreparowanych ramek.
W podatności CVE-2016-4999 występuje luka typu SQL injection w metodzie getStringParameterSQL w Dashbuilder przed wersją 0.6.0.Beta1. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez filtr wyszukiwania zestawu danych w interfejsie edytora autorów zestawów danych lub edytora wyświetlacza.
System operacyjny Junos w wersjach przed 12.1X46-D50 na urządzeniach serii SRX przechodzi do trybu 'safe mode' po nieudanej aktualizacji do wersji 12.1X46, co umożliwia logowanie się do CLI jako root bez hasła. Może to pozwolić lokalnym użytkownikom na uzyskanie uprawnień poprzez wykorzystanie polecenia 'request system software' z opcją 'partition'.
Funkcja kontenera bazy danych wielodostępowych w SAP HANA nieprawidłowo szyfruje komunikację, co pozwala zdalnym atakującym na obejście zamierzonych ograniczeń dostępu.
SAP HANA DB w wersji 1.00.73.00.389160 umożliwia zdalnym atakującym spowodowanie odmowy usługi (zakończenie procesu) lub wykonanie dowolnego kodu poprzez wektory związane z instrukcją IMPORT.
Nieokreślony interfejs w SAP TREX 7.10 Revision 63 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń systemowych z uprawnieniami SIDadm poprzez nieokreślone wektory.
Interfejs SQL w SAP HANA przed rewizją 102 nie ogranicza liczby prób logowania dla użytkownika SYSTEM, gdy opcja password_lock_for_system_user nie jest obsługiwana lub jest skonfigurowana jako 'False'. Umożliwia to zdalnym atakującym łatwiejsze obejście uwierzytelniania za pomocą ataku brute force.
SAP TREX w wersji 7.10 Revision 63 umożliwia zdalnym atakującym zapis do dowolnych plików poprzez wektory związane z RFC-Gateway, co stanowi poważne zagrożenie dla bezpieczeństwa systemu.
SAP TREX w wersji 7.10 Revision 63 umożliwia zdalnym atakującym odczyt dowolnych plików za pomocą nieokreślonych wektorów, co stanowi poważne zagrożenie dla bezpieczeństwa.
Podatność na przejście do katalogu w SAP TREX 7.10 Revision 63 umożliwia zdalnym atakującym odczyt dowolnych plików za pomocą nieokreślonych wektorów.
Narzędzie Impress w Apache OpenOffice w wersji 4.1.2 i wcześniejszych umożliwia zdalnym atakującym spowodowanie odmowy usługi (odczyt lub zapis poza zakresem) lub wykonanie dowolnego kodu poprzez spreparowane MetaActions w pliku ODP lub OTP.
Mozilla Firefox w wersjach przed 48.0 nieprawidłowo ogranicza działania przeciągnij i upuść (dataTransfer) dla URI typu file:, co pozwala złośliwym atakującym na dostęp do lokalnych plików za pośrednictwem spreparowanej strony internetowej.
Podatność typu use-after-free w funkcji nsNodeUtils::NativeAnonymousChildListChange w przeglądarce Mozilla Firefox przed wersją 48.0 oraz Firefox ESR 45.x przed wersją 45.3 umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez uszkodzenie pamięci sterty za pomocą elementu SVG.