Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W bibliotece libavcodec/xface.h w FFmpeg przed wersją 2.5.2 występuje problem z wymiarami tablic cyfr i słów, które nie spełniają wymaganej relacji matematycznej. To pozwala zdalnym atakującym na spowodowanie odmowy usługi (dostęp do tablicy poza zakresem) lub potencjalnie inny nieokreślony wpływ poprzez spreparowane dane obrazu X-Face.
Funkcja parse_datetime w GNU coreutils umożliwia zdalnym atakującym spowodowanie awarii (denial of service) lub potencjalne wykonanie dowolnego kodu poprzez spreparowany ciąg daty.
Wersje Juniper Junos przed 11.4R8, 12.1X44-D35, 12.1X45-D25, 12.1X46-D20, 12.1X47-D10, 12.2R9, 12.3R2-S3, 12.3R3, 13.1R4 oraz 13.2R1 są podatne na atak zdalny, który może prowadzić do odmowy usługi poprzez wywołanie błędu asercji i ponownego uruchomienia procesu rpd za pomocą spreparowanego prefiksu BGP FlowSpec.
Routery Juniper MX Series z systemem Junos w wersjach 13.3R3 do 13.3Rx przed 13.3R6, 14.1 przed 14.1R4, 14.1X50 przed 14.1X50-D70 oraz 14.2 przed 14.2R2, skonfigurowane jako routery szerokopasmowe, są podatne na zdalne ataki, które mogą prowadzić do awarii usługi (crash i restart jpppd) poprzez wysłanie spreparowanego żądania uwierzytelnienia PAP po zakończeniu fazy odkrywania PPPoE i LCP.
Szablon dostosowywania w Red Hat CloudForms 3.1 Management Engine (CFME) 5.3 używa domyślnego hasła dla konta root, gdy hasło nie jest określone dla nowego obrazu, co umożliwia zdalnym atakującym uzyskanie uprawnień.
GTK+ w wersji 3.10.9 i wcześniejszych, używany w cinnamon-screensaver, gnome-screensaver oraz innych aplikacjach, pozwala atakującym w bliskiej odległości na ominięcie ekranu blokady poprzez naciśnięcie przycisku menu.
Wtyczka Photo Gallery w wersji 1.2.7 dla WordPressa zawiera podatność na atak typu SQL injection, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr order_by w akcji GalleryBox do wp-admin/admin-ajax.php.
W podatności CVE-2014-9600 w programie Macroplant iExplorer 3.6.3.0 występuje nieufna ścieżka wyszukiwania, która pozwala lokalnym użytkownikom na wykonanie dowolnego kodu oraz przeprowadzenie ataków typu DLL hijacking za pomocą złośliwego pliku itunesmobiledevice.dll.
Podatność w lquerylv w cmdlvm w IBM AIX 5.3, 6.1 i 7.1 oraz VIOS 2.2.x pozwala lokalnym użytkownikom na uzyskanie uprawnień poprzez spreparowaną wartość zmiennej środowiskowej DBGCMD_LQUERYLV.
W podatności CVE-2014-9560 w pliku redir_last_post_list.php w SoftBB 0.1.3 występuje luka typu SQL injection, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr post.
Mozilla Firefox w wersjach przed 35.0 na systemie Windows umożliwia zdalnym atakującym obejście mechanizmu ochrony sandbox wtyczki Gecko Media Plugin (GMP) poprzez wykorzystanie dostępu do procesu GMP, co zostało zademonstrowane przez proces wtyczki OpenH264.
W podatności typu use-after-free w implementacji WebRTC w Mozilla Firefox przed wersją 35.0, Firefox ESR 31.x przed wersją 31.4 oraz SeaMonkey przed wersją 2.32, zdalni atakujący mogą wykonać dowolny kod poprzez spreparowane dane śledzenia.
Implementacja XrayWrapper w Mozilla Firefox przed wersją 35.0 oraz SeaMonkey przed wersją 2.32 nieprawidłowo współdziała z obiektem DOM, który ma nazwany getter. Może to pozwolić zdalnym atakującym na wykonanie dowolnego kodu JavaScript z uprawnieniami chrome.
Wielokrotne nieokreślone podatności w silniku przeglądarki w Mozilla Firefox przed wersją 35.0 oraz SeaMonkey przed wersją 2.32 mogą umożliwić zdalnym atakującym spowodowanie odmowy usługi (uszkodzenie pamięci i awaria aplikacji) lub potencjalne wykonanie dowolnego kodu za pomocą nieznanych wektorów.
Wielokrotne nieokreślone podatności w silniku przeglądarki w Mozilla Firefox przed wersją 35.0, Firefox ESR 31.x przed 31.4, Thunderbird przed 31.4 oraz SeaMonkey przed 2.32 mogą umożliwić zdalnym atakującym spowodowanie odmowy usługi (uszkodzenie pamięci i awaria aplikacji) lub potencjalne wykonanie dowolnego kodu.
W Adobe Flash Player oraz Adobe AIR występuje podatność na przepełnienie bufora w stercie, która pozwala atakującym na wykonanie dowolnego kodu. Dotyczy to wersji przed 13.0.0.260 i 14.x do 16.x przed 16.0.0.257 na Windows i OS X oraz przed 11.2.202.429 na Linux.
Podatność typu use-after-free w Adobe Flash Player przed wersją 13.0.0.260 oraz w wersjach 14.x do 16.x przed 16.0.0.257 na systemach Windows i OS X, a także przed 11.2.202.429 na Linuxie, umożliwia atakującym wykonanie dowolnego kodu.
Adobe Flash Player oraz Adobe AIR w określonych wersjach mają lukę, która pozwala zdalnym atakującym na uzyskanie wrażliwych informacji z pamięci procesu lub spowodowanie odmowy usługi poprzez odczyt poza zakresem.
Adobe Flash Player oraz Adobe AIR w wersjach przed 13.0.0.260 i 16.0.0.257 (Windows, OS X) oraz przed 11.2.202.429 (Linux) zawierają podatność, która pozwala atakującym na wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez nieokreślone wektory.
Adobe Flash Player oraz Adobe AIR w wersjach przed 13.0.0.260 i 16.0.0.257 oraz wcześniejszych na różnych platformach, umożliwiają atakującym wykonanie dowolnego kodu poprzez wykorzystanie nieokreślonego 'zamieszania typów'.