Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.18)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Stos InfiniBand w jądrze Linuxa przed wersją 4.5.3 niewłaściwie polega na wywołaniu systemowym write, co umożliwia lokalnym użytkownikom spowodowanie odmowy usługi lub potencjalnie innego nieokreślonego wpływu poprzez interfejs uAPI.
Podsystem BPF w jądrze Linux przed wersją 4.5.5 niewłaściwie obsługuje liczniki referencji, co pozwala lokalnym użytkownikom na spowodowanie odmowy usługi (use-after-free) lub potencjalnie innych nieokreślonych skutków za pomocą spreparowanej aplikacji na systemie z więcej niż 32 Gb pamięci lub systemie 1 Tb.
Funkcja replace_map_fd_with_map_ptr w jądrze Linux przed wersją 4.5.5 nieprawidłowo zarządza strukturą danych fd, co pozwala lokalnym użytkownikom na uzyskanie uprawnień lub spowodowanie odmowy usługi (use-after-free) poprzez spreparowane instrukcje BPF odwołujące się do nieprawidłowego deskryptora pliku.
Funkcja llc_cmsg_rcv w jądrze Linux przed wersją 4.5.5 nie inicjalizuje pewnej struktury danych, co pozwala atakującym na uzyskanie wrażliwych informacji z pamięci stosu jądra poprzez odczytanie wiadomości.
W podatności CVE-2016-2157 występuje problem CSRF w pliku mod/assign/adminmanageplugins.php w Moodle, który pozwala zdalnym atakującym na przejęcie uwierzytelnienia administratorów podczas zarządzania wtyczkami zadań.
Funkcja exif_process_TIFF_in_JPEG w PHP przed wersją 5.5.35, 5.6.x przed 5.6.21 oraz 7.x przed 7.0.6 nie weryfikuje danych startowych TIFF, co umożliwia zdalnym atakującym wywołanie odmowy usługi (odczyt poza zakresem) lub potencjalnie inny nieokreślony wpływ poprzez spreparowane dane nagłówka.
Funkcja exif_process_IFD_in_JPEG w PHP przed wersją 5.5.35, 5.6.x przed 5.6.21 oraz 7.x przed 7.0.6 nie weryfikuje rozmiarów IFD, co umożliwia zdalnym atakującym spowodowanie odmowy usługi (odczyt poza zakresem) lub potencjalnie inny nieokreślony wpływ poprzez spreparowane dane nagłówka.
Funkcja exif_process_IFD_TAG w PHP przed wersją 5.5.35, 5.6.x przed 5.6.21 oraz 7.x przed 7.0.6 nieprawidłowo konstruuje argumenty spprintf, co umożliwia zdalnym atakującym wywołanie odmowy usługi (odczyt poza zakresem) lub potencjalnie inny nieokreślony wpływ poprzez spreparowane dane nagłówka.
Funkcja grapheme_strpos w PHP przed wersją 5.5.35, 5.6.x przed 5.6.21 oraz 7.x przed 7.0.6 umożliwia zdalnym atakującym spowodowanie odmowy usługi (odczyt poza zakresem) lub potencjalnie inny nieokreślony wpływ poprzez negatywny offset.
Funkcja grapheme_stripos w PHP przed wersją 5.5.35, 5.6.x przed 5.6.21 oraz 7.x przed 7.0.6 umożliwia zdalnym atakującym spowodowanie odmowy usługi (odczyt poza zakresem) lub potencjalnie inny nieokreślony wpływ poprzez negatywny offset.
Funkcja xml_parse_into_struct w PHP przed wersją 5.5.35, 5.6.x przed 5.6.21 oraz 7.x przed 7.0.6 pozwala zdalnym atakującym na wywołanie odmowy usługi poprzez specjalnie przygotowane dane XML, co prowadzi do błędów w analizatorze.
Funkcja bcpowmod w PHP przed wersją 5.5.35, 5.6.x przed 5.6.21 oraz 7.x przed 7.0.6 modyfikuje niektóre struktury danych bez uwzględnienia, czy są one kopiami globalnych zmiennych _zero_, _one_ lub _two_. To może umożliwić zdalnym atakującym spowodowanie odmowy usługi lub innego nieokreślonego wpływu poprzez odpowiednio skonstruowane wywołanie.
Funkcja bcpowmod w PHP przed wersją 5.5.35, 5.6.x przed 5.6.21 oraz 7.x przed 7.0.6 akceptuje ujemną liczbę całkowitą jako argument skali, co może prowadzić do odmowy usługi lub innych nieokreślonych skutków.
Przepełnienie całkowite w funkcji str_pad w PHP przed wersją 7.0.4 może umożliwić zdalnym atakującym spowodowanie odmowy usługi lub innego nieokreślonego wpływu poprzez długi ciąg, co prowadzi do przepełnienia bufora w stercie.
Przepełnienie całkowite w funkcji php_filter_encode_url w PHP przed wersją 7.0.4 może umożliwić zdalnym atakującym spowodowanie odmowy usługi lub innego nieokreślonego wpływu poprzez długi ciąg, co prowadzi do przepełnienia bufora w stercie.
Przepełnienie całkowite w funkcji xml_utf8_encode w PHP przed wersją 7.0.4 umożliwia zdalnym atakującym spowodowanie odmowy usługi lub potencjalnie innego nieokreślonego wpływu poprzez długi argument do funkcji utf8_encode, co prowadzi do przepełnienia bufora w pamięci.
Funkcja phar_make_dirstream w PHP przed wersją 5.6.18 oraz 7.x przed wersją 7.0.3 nieprawidłowo obsługuje pliki ././@LongLink o zerowej wielkości, co może prowadzić do odmowy usługi lub innych nieokreślonych skutków za pomocą spreparowanego archiwum TAR.
W PHP przed wersją 5.5.32, 5.6.x przed 5.6.18 oraz 7.x przed 7.0.3 występuje problem z obsługą danych o zerowej długości w niekompresowanych archiwach, co może prowadzić do awarii usługi (uszkodzenie pamięci na stercie) lub innych nieokreślonych skutków.
Funkcja wp_http_validate_url w WordPressie przed wersją 4.4.2 umożliwia zdalnym atakującym przeprowadzenie ataków typu server-side request forgery (SSRF) poprzez zerową wartość w pierwszym oktetcie adresu IPv4 w parametrze u do wp-admin/press-this.php.
W podatności CVE-2016-2221 w funkcji wp_validate_redirect w pliku wp-includes/pluggable.php w WordPressie przed wersją 4.4.2, zdalni atakujący mogą przekierować użytkowników na dowolne strony internetowe. Wykorzystują do tego źle sformatowany URL, co prowadzi do nieprawidłowego parsowania nazwy hosta.