Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W bibliotece lib/dragonfly/imagemagickutils.rb w gemie fog-dragonfly w wersji 0.8.2 dla Ruby istnieje luka, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń poprzez nieokreślone wektory.
D-Link DIR-505L SharePort Mobile Companion w wersji 1.01 oraz DIR-826L Wireless N600 Cloud Router w wersji 1.02 umożliwiają zdalnym atakującym ominięcie uwierzytelnienia poprzez bezpośrednie żądanie, gdy aktywna jest autoryzowana sesja.
Przepełnienie bufora w php-luasandbox w rozszerzeniu Scribuntu dla MediaWiki przed wersją 1.19.10, 1.2x przed 1.21.4 oraz 1.22.x przed 1.22.1 może prowadzić do nieokreślonego wpływu i zdalnych wektorów ataku.
Funkcja raw_cmd_copyin w jądra Linux do wersji 3.14.3 nieprawidłowo obsługuje warunki błędów podczas przetwarzania wywołania ioctl FDRAWCMD, co pozwala lokalnym użytkownikom na wywołanie operacji kfree i uzyskanie uprawnień poprzez wykorzystanie dostępu do zapisu do urządzenia /dev/fd.
API uruchamiania smart proxy Puppet w Foreman przed wersją 1.2.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń poprzez luki związane z ucieczką i poleceniami Puppet.
Foreman w wersjach przed 1.1 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany obiekt YAML w API importu (1) faktów lub (2) raportów.
Menadżer katalogów w Caldera 9.20 umożliwia zdalnym atakującym przeprowadzenie ataków typu injection w globalnym zakresie poprzez wykorzystanie parametru maindir_hotfolder w dirmng/index.php lub nieokreślonego parametru w innych plikach.
CVE-2014-2935 dotyczy podatności w CostView w Caldera 9.20, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń poprzez wykorzystanie metacharakterów powłoki w elemencie methodCall w żądaniu PHP XMLRPC.
Wielokrotne podatności typu SQL injection w Caldera 9.20 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru tr w plikach costview2/jobs.php oraz costview2/printers.php.
Przepełnienie bufora w odtwarzaczu Cisco Advanced Recording Format (ARF) w wersjach T27 LD przed SP32 EP16, T28 przed T28.12 oraz T29 przed T29.2 umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez spreparowany plik .arf.
Przepełnienie bufora w odtwarzaczu Cisco Advanced Recording Format (ARF) w wersjach T27 LD przed SP32 EP16, T28 przed T28.12 oraz T29 przed T29.2 umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez spreparowany plik .arf.
W systemach Cisco WebEx Recording Format (WRF) player występuje przepełnienie bufora oparte na stercie, które może prowadzić do wykonania dowolnego kodu lub awarii aplikacji. Problem dotyczy wersji T27 LD przed SP32 EP16, T28 przed T28.12 oraz T29 przed T29.2.
Przepełnienie bufora w odtwarzaczu Cisco Advanced Recording Format (ARF) w wersjach T27 LD przed SP32 EP16, T28 przed T28.12 oraz T29 przed T29.2 umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez spreparowany plik .arf, który wywołuje nieprawidłową dekompresję LZW.
Odtwarzacze formatu nagrań Cisco WebEx (WRF) oraz formatu zaawansowanego nagrań (ARF) w wersjach T27 LD przed SP32 EP16, T28 przed T28.12 oraz T29 przed T29.2 są podatne na atak, który może prowadzić do awarii aplikacji. Atakujący mogą wykorzystać specjalnie przygotowane pliki .wrf lub .arf, co skutkuje nadmiernym odczytem bufora.
Funkcja Reverse Proxy w IBM Global Security Kit (GSKit) w IBM Security Access Manager (ISAM) przed wersją 7.0.0-ISS-SAM-IF0006 oraz 8.0 przed wersją 8.0.0.3-ISS-WGA-IF0002 jest podatna na atak, który może prowadzić do odmowy usługi poprzez nieskończoną pętlę wywołaną przez spreparowane wiadomości SSL.
Symantec Critical System Protection (SCSP) w wersji przed 5.2.9, zainstalowany na niezałatanej platformie Windows Server 2003 R2, umożliwia zdalnym atakującym obejście ustawień polityki za pomocą nieokreślonych wektorów.
W podatności CVE-2014-2913 w Nagios Remote Plugin Executor (NRPE) 2.15 i wcześniejszych, niekompletna lista zablokowanych znaków pozwala zdalnym atakującym na wykonywanie dowolnych poleceń poprzez wprowadzenie znaku nowej linii w opcji -a do libexec/check_nrpe. Problem ten jest kwestionowany przez różne strony.
Podatność na przejście do katalogu w pliku actionpack/lib/abstract_controller/base.rb w implementacji implicit-render w Ruby on Rails przed wersją 3.2.18, 4.0.x przed 4.0.5 oraz 4.1.x przed 4.1.1, umożliwia zdalnym atakującym odczyt dowolnych plików poprzez spreparowane żądanie, gdy włączone są określone konfiguracje globbing tras.
Amtelco miSecureMessages w wersji 6.2 nie zarządza poprawnie sesjami, co umożliwia zdalnym uwierzytelnionym użytkownikom uzyskanie wrażliwych informacji poprzez zmodyfikowane żądanie wiadomości.
Przepełnienie całkowitej liczby w api.cc w Google V8, używanym w Google Chrome przed wersją 34.0.1847.131 na Windows i OS X oraz przed wersją 34.0.1847.132 na Linux, umożliwia zdalnym atakującym spowodowanie odmowy usługi lub potencjalnie innego nieokreślonego wpływu poprzez dużą wartość długości.