Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.18)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Przepełnienie całkowitej liczby w Git przed wersją 2.7.4 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez (1) długą nazwę pliku lub (2) wiele zagnieżdżonych drzew, co prowadzi do przepełnienia bufora w stercie.
W wersjach git przed 2.7.4 występuje błąd w pliku revision.c, który wykorzystuje nieprawidłowy typ danych całkowitych. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu poprzez (1) długą nazwę pliku lub (2) wiele zagnieżdżonych drzew, co prowadzi do przepełnienia bufora na stercie.
Wielokrotne podatności typu cross-site request forgery (CSRF) w interfejsie Mail w Zimbra Collaboration Server (ZCS) przed wersją 8.5 umożliwiają zdalnym atakującym przejęcie uwierzytelnienia dowolnych użytkowników w celu zmiany preferencji konta za pomocą żądania SOAP do service/soap/BatchRequest.
Usługa archiwizacji danych XML (XML DAS) w SAP NetWeaver AS Java nie sprawdza autoryzacji, co pozwala zdalnym uwierzytelnionym użytkownikom uzyskać dostęp do wrażliwych informacji oraz zdobyć uprawnienia.
Podatność na przejście do katalogu w SAP NetWeaver AS Java w wersjach od 7.1 do 7.5 umożliwia zdalnym atakującym odczyt dowolnych plików poprzez wykorzystanie sekwencji ..\ w parametrze fileName w CrashFileDownloadServlet.
Przepełnienie całkowitej liczby w pliku proto.c w libotr przed wersją 4.1.1 na platformach 64-bitowych umożliwia zdalnym atakującym spowodowanie odmowy usługi (uszkodzenie pamięci i awaria aplikacji) lub wykonanie dowolnego kodu poprzez wysłanie serii dużych wiadomości OTR, co prowadzi do przepełnienia bufora w stercie.
W PuTTY przed wersją 0.67 oraz KiTTY przed wersją 0.66.6.3 występuje przepełnienie bufora na stosie w narzędziu wiersza poleceń SCP. Umożliwia to zdalnym serwerom wywołanie odmowy usługi lub wykonanie dowolnego kodu poprzez spreparowaną odpowiedź na żądanie pobrania pliku SCP.
Action Pack w Ruby on Rails przed wersją 3.2.22.2, 4.x przed 4.1.14.2 oraz 4.2.x przed 4.2.5.2 umożliwia zdalnym atakującym wykonanie dowolnego kodu Ruby poprzez wykorzystanie nieograniczonego użycia metody render w aplikacji.
Exim w wersjach przed 4.86.2, zainstalowany z ustawieniem setuid root, umożliwia lokalnym użytkownikom uzyskanie podwyższonych uprawnień za pomocą argumentu perl_startup.
Wiele nieokreślonych punktów końcowych API w Jenkins przed wersją 1.650 oraz LTS przed 1.642.2 umożliwia zdalnym uwierzytelnionym użytkownikom wykonanie dowolnego kodu za pomocą zserializowanych danych w pliku XML, związanych z XStream i groovy.util.Expando.
Jenkins przed wersją 1.650 oraz LTS przed 1.642.2 nie stosuje algorytmu o stałym czasie do weryfikacji tokenów CSRF, co ułatwia zdalnym atakującym obejście mechanizmu ochrony CSRF za pomocą ataku brute-force.
Moduł zdalny w Jenkins przed wersją 1.650 oraz LTS przed 1.642.2 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez otwarcie nasłuchiwacza JRMP.
Kod parsowania nagłówków HTTP w Node.js w wersjach 0.10.x przed 0.10.42, 0.11.6 do 0.11.16, 0.12.x przed 0.12.10, 4.x przed 4.3.0 oraz 5.x przed 5.6.0 pozwala zdalnym atakującym na obejście mechanizmu ochrony przed dzieleniem odpowiedzi HTTP za pomocą zakodowanych w UTF-8 znaków Unicode w nagłówku HTTP.
Node.js w wersjach 0.10.x przed 0.10.42, 0.12.x przed 0.12.10, 4.x przed 4.3.0 oraz 5.x przed 5.6.0 jest podatny na ataki smugglingu żądań HTTP, które mogą być przeprowadzane przez złośliwie skonstruowany nagłówek Content-Length.
Wielokrotne przepełnienia bufora w bibliotece parsera XML w Apache Xerces-C przed wersją 3.1.3 mogą umożliwić zdalnym atakującym spowodowanie awarii usługi (błąd segmentacji lub uszkodzenie pamięci) lub potencjalne wykonanie dowolnego kodu poprzez spreparowany dokument.
BeanShell (bsh) przed wersją 2.0b6, gdy jest dołączony do classpath przez aplikację korzystającą z serializacji Java lub XStream, umożliwia zdalnym atakującym wykonanie dowolnego kodu za pomocą spreparowanych danych serializowanych.
Sterownik ovisp w smartfonach Huawei P8 i Mate S z określonymi wersjami oprogramowania zawiera podatność, która pozwala atakującym na spowodowanie awarii systemu lub uzyskanie przywilejów poprzez złośliwą aplikację z uprawnieniami kamery.
Sterownik grafiki w smartfonach Huawei P8 i Mate S z określonymi wersjami oprogramowania pozwala atakującym na spowodowanie awarii systemu lub uzyskanie uprawnień poprzez specjalnie przygotowaną aplikację z uprawnieniami graficznymi.
Występuje przepełnienie bufora w sterowniku HIFI w smartfonach Huawei P8 i Mate S, co może prowadzić do awarii systemu lub uzyskania nieautoryzowanych uprawnień przez złośliwą aplikację.
Występuje przepełnienie bufora w sterowniku HIFI w smartfonach Huawei P8 i Mate S, co może prowadzić do awarii systemu lub uzyskania nieautoryzowanych uprawnień przez złośliwą aplikację.