Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.21)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Urządzenia D-Link DWR-M961 (wersja sprzętowa C1, oprogramowanie 1.1.2_C1_202602110044) mają podatność na przepełnienie bufora w interfejsie quicksetup.cgi. Zdalny atakujący może wysłać zbyt długie ciągi znaków do pól test4, ssid2 i username, aby wykonać dowolne komendy lub spowodować awarię urządzenia.
Urządzenia D-Link DWR-M961 (wersja sprzętowa C1, oprogramowanie 1.1.2_C1_202602110044) mają podatność na przepełnienie bufora w interfejsie app.cgi. Zdalny atakujący może wysłać zbyt długi ciąg znaków do pola netAcc.addlist[].name, aby wykonać dowolne komendy lub spowodować awarię urządzenia.
Urządzenia D-Link DWR-M961 (wersja sprzętowa C1, oprogramowanie 1.1.2_C1_202602110044) mają podatność na wstrzykiwanie komend w interfejsie app.cgi. Zdalny atakujący może wstrzyknąć złośliwe komendy do pola netDig.ping.dst, co prowadzi do wykonania komend z uprawnieniami root.
Urządzenia D-Link DWR-M961 (wersja sprzętowa C1, oprogramowanie 1.1.2_C1_202602110044) mają podatność na wstrzykiwanie komend w interfejsie /boafrm/formWsc. Zdalny atakujący może wstrzyknąć złośliwe komendy do pól localPin, targetAPSsid, peerPin i peerRptPin, co prowadzi do wykonania komend z uprawnieniami root.
Urządzenia D-Link DWR-M961 (wersja sprzętowa C1, firmware przed 1.1.5_C1_202607071108) zawierają podatność na wstrzykiwanie komend w interfejsie /boafrm/formL2tpv3ConfigSetup. Zdalny atakujący może wstrzyknąć dowolne złośliwe komendy w pola tunnelid i sessionid, co prowadzi do wykonania komend z uprawnieniami root.
Urządzenia D-Link DWR-M961 (wersja sprzętowa C1, firmware przed 1.1.5_C1_202607071108) zawierają podatność na wstrzykiwanie komend w interfejsie /boafrm/formNtp. Zdalny atakujący może wstrzyknąć dowolne złośliwe komendy w pole ntpServerIp1, co prowadzi do wykonania komend z uprawnieniami root.
Urządzenia D-Link DWR-M961 (wersja sprzętowa C1, firmware przed 1.1.5_C1_202607071108) zawierają podatność na wstrzykiwanie komend w interfejsie /boafrm/formPinManageSetup. Zdalny atakujący może wstrzyknąć dowolne złośliwe komendy w pole oldPIn, co prowadzi do wykonania komend z uprawnieniami root.
Urządzenia D-Link DWR-M961 (wersja sprzętowa C1, firmware przed 1.1.5_C1_202607071108) zawierają podatność na wstrzykiwanie komend w interfejsie /boafrm/formIMEISetup. Zdalny atakujący może wstrzyknąć dowolne złośliwe komendy w pole IMEI_value, co prowadzi do wykonania komend z uprawnieniami root.
Urządzenia D-Link DWR-M961 (wersja sprzętowa C1, firmware przed 1.1.5_C1_202607071108) zawierają podatność na wstrzykiwanie komend w interfejsie /boafrm/formSmsManage. Zdalny atakujący może wstrzyknąć dowolne złośliwe komendy w pole action_value, co prowadzi do wykonania komend z uprawnieniami root.
Urządzenia D-Link DWR-M961 (wersja sprzętowa C1, firmware przed 1.1.5_C1_202607071108) zawierają podatność na wstrzykiwanie komend w interfejsie /boafrm/formUSSDSetup. Zdalny atakujący może wstrzyknąć dowolne złośliwe komendy w pola ussdValue i selectMenuValue, co prowadzi do wykonania komend z uprawnieniami root.
Urządzenia D-Link DWR-M961 (wersja sprzętowa C1, firmware przed 1.1.5_C1_202607071108) zawierają podatność na wstrzykiwanie komend w interfejsie /boafrm/formDebugDiagnosticRun. Zdalny atakujący może wstrzyknąć dowolne złośliwe komendy w pole host, co prowadzi do wykonania komend z uprawnieniami root.
Urządzenia D-Link DWR-M961 (wersja sprzętowa C1, firmware przed 1.1.5_C1_202607071108) zawierają podatność na wstrzykiwanie komend w interfejsie /boafrm/formTracerouteDiagnosticRun. Zdalny atakujący może wstrzyknąć dowolne złośliwe komendy w pola host i ipVer, co prowadzi do wykonania komend z uprawnieniami root.
Urządzenia D-Link DWR-M961 (wersja sprzętowa C1, firmware przed 1.1.5_C1_202607071108) zawierają podatność na wstrzykiwanie komend w interfejsie /boafrm/formPingDiagnosticRun. Zdalny atakujący może wstrzyknąć dowolne złośliwe komendy w pole host, co prowadzi do wykonania komend z uprawnieniami root.
Urządzenia D-Link DWR-M961 (wersja sprzętowa C1, firmware przed 1.1.5_C1_202607071108) zawierają podatność na wstrzykiwanie komend w interfejsie /boafrm/formLtefotaUpgradeFibocom. Zdalny atakujący może wstrzyknąć dowolne złośliwe komendy w pole fota_url, co prowadzi do wykonania komend z uprawnieniami roota.
Urządzenia D-Link DWR-M961 (wersja sprzętowa C1, firmware przed 1.1.5_C1_202607071108) zawierają podatność na wstrzykiwanie komend w interfejsie /boafrm/formLtefotaUpgradeQuectel. Zdalny atakujący może wstrzyknąć dowolne złośliwe komendy w pole fota_url, co prowadzi do wykonania komend z uprawnieniami roota.
W jądrze Linux w funkcji decode_lockers() w libceph wykryto dwie niebezpieczne operacje dekodowania, które pozwalają złośliwemu lub skompromitowanemu serwerowi OSD na wywołanie odczytów poza granicami bufora (slab-out-of-bounds). Brak kontroli granic przed odczytem liczby zamków (num_lockers) oraz typu zamka (type) może prowadzić do nieautoryzowanego odczytu pamięci. Luka została naprawiona przez zastąpienie niebezpiecznych operacji bezpiecznymi wariantami z kontrolą granic.
Wtyczka AI Copilot – Content Generator dla WordPressa do wersji 1.5.6 włącznie ma podatność na obejście autoryzacji. Niezalogowany atakujący może utworzyć konto administratora i przejąć całą witrynę, wykorzystując złośliwy przepływ pracy z funkcją wp_create_user. Dzieje się to przez publicznie dostępny nonce w JavaScript.
OpenYak to lokalny runtime agenta, a przed wersją 1.1.3 backend desktopowy wiąże API HTTP z 127.0.0.1:losowy port bez walidacji Origin, uwierzytelniania pętli zwrotnej ani egzekwowania typu treści, z polityką CORS wildcard. Każda strona internetowa odwiedzana podczas działania OpenYak może wysyłać żądania cross-origin do tego lokalnego serwera, co pozwala na wykonanie dowolnych poleceń powłoki na hoście (RCE), wyłączenie usługi i eksfiltrację historii czatu i danych osobowych.
scim-patch, biblioteka do wykonywania poprawek SCIM, przed wersją 0.9.1 jest podatna na zanieczyszczenie prototypu podczas stosowania operacji SCIM PATCH, gdy obiekt 'value' zawiera klucz taki jak '__proto__.someProp'. Po takiej poprawce Object.prototype.someProp jest ustawiany w całym procesie, wpływając na każdy zwykły obiekt w procesie Node.
Kata Containers przed wersją 3.31.0 jest podatne na eskalację z roota gościa do roota hosta w ścieżce standalone virtio-fs. W tej konfiguracji host virtiofsd działa jako root z opcjami --sandbox none --seccomp none, co pozwala atakującemu z dostępem root w gościu na obejście klienta virtio-fs i wysyłanie surowych żądań FUSE do hosta virtiofsd, tworząc dowiązania symboliczne w wrażliwych lokalizacjach hosta, takich jak /etc/cron.d, co prowadzi do wykonania kodu jako root na hoście.