Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.07.29)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W Veritas NetBackup 8.0 i wcześniejszych oraz NetBackup Appliance 3.0 i wcześniejszych odkryto problem związany z nieautoryzowanymi interfejsami CORBA, które umożliwiają nieodpowiedni dostęp.
W Veritas NetBackup przed wersją 8.0 oraz w NetBackup Appliance przed wersją 3.0 odkryto problem związany z używaniem twardo zakodowanego nazwy użytkownika i hasła w usłudze NetBackup Cloud Storage.
Pliki dziennika generowane przez Lenovo XClarity Administrator (LXCA) w wersjach wcześniejszych niż 1.2.2 mogą zawierać dane uwierzytelniające użytkowników w niebezpiecznej, jawnej formie tekstowej, co może być widoczne dla użytkownika bez uprawnień.
Wielokrotne przepełnienia całkowite w funkcjach vnc_connection_server_message oraz vnc_color_map_set w gtk-vnc przed wersją 0.7.0 mogą pozwolić zdalnym serwerom na spowodowanie odmowy usługi (awarii) lub potencjalne wykonanie dowolnego kodu poprzez wektory związane z SetColorMapEntries, co prowadzi do przepełnienia bufora.
Przepełnienie bufora w funkcji ModifiablePixelBuffer::fillRect w TigerVNC przed wersją 1.7.1 umożliwia zdalnym serwerom wykonanie dowolnego kodu poprzez wiadomość RRE z podprostokątem poza granicami bufora ramki.
W bibliotece libdwarf przed wersją 20161124 występuje podatność, która pozwala zdalnym atakującym na wywołanie nieokreślonego wpływu poprzez spreparowany wzór bitowy w podpisanej liczbie leb, znany jako 'przepełnienie negacji'.
W programie vim przed poprawką 8.0.0378 występuje przepełnienie całkowite w miejscu alokacji pamięci unserialize_uep, które może wystąpić, gdy nie są prawidłowo weryfikowane wartości długości drzewa podczas odczytu uszkodzonego pliku cofania. Może to prowadzić do przepełnienia bufora.
W programie vim przed poprawką 8.0.0377 występuje przepełnienie całkowitej liczby w miejscu alokacji pamięci u_read_undo, gdy nie są prawidłowo weryfikowane wartości długości drzewa podczas odczytu uszkodzonego pliku undo, co może prowadzić do przepełnienia bufora.
W urządzeniach Dahua DHI-HCVR7216A-S3 z określonymi wersjami oprogramowania występuje problem, w którym SmartPSS automatycznie loguje się jako administrator na ekranie logowania. To umożliwia przechwytywanie wrażliwych informacji bez znajomości hasła.
Komponent Zip::File w gemie rubyzip przed wersją 1.2.1 dla języka Ruby zawiera podatność na przechodzenie do katalogów nadrzędnych. Jeśli strona umożliwia przesyłanie plików .zip, atakujący może przesłać złośliwy plik używający sekwencji „../” w ścieżkach, aby zapisać dowolne pliki w systemie plików.
Urządzenia D-Link DGS-1510-28XMP, DGS-1510-28X, DGS-1510-52X, DGS-1510-52, DGS-1510-28P, DGS-1510-28 oraz DGS-1510-20 z firmware przed wersją 1.31.B003 są podatne na ataki typu Unauthenticated Command Bypass. Atakujący mogą wykorzystać nieokreślone wektory do przeprowadzenia tych ataków.
Przepełnienie bufora w wbudowanym serwerze WWW w DiskSavvy Enterprise 9.4.18 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez długi URI w żądaniu GET.
Podatność CVE-2017-6077 dotyczy urządzeń NETGEAR DGN2200 z firmware do wersji 10.0.0.50, gdzie zdalni uwierzytelnieni użytkownicy mogą wykonywać dowolne polecenia systemowe poprzez wykorzystanie metaznaków powłoki w polu ping_IPAddr w żądaniu HTTP POST.
W daemonie zebra w Quagga przed wersją 1.0.20161017 odkryto podatność na przepełnienie bufora na stosie podczas przetwarzania wiadomości IPv6 Neighbor Discovery. Przyczyną problemu było poleganie na BUFSIZ, który jest zależny od systemu, co prowadzi do niezgodności z rozmiarem wiadomości.
OpenText Documentum D2 w wersji 4.x umożliwia zdalnym atakującym wykonywanie dowolnych poleceń za pomocą spreparowanego zserializowanego obiektu Java, co jest związane z bibliotekami BeanShell (bsh) oraz Apache Commons Collections (ACC).
Metoda CClient::ProcessServerPacket w Teeworlds przed wersją 0.6.4 pozwala zdalnym serwerom na zapis do dowolnych lokalizacji pamięci fizycznej, co może prowadzić do wykonania dowolnego kodu.
Serwer SonicWall Secure Remote Access (wersja 8.1.0.2-14sv) jest podatny na zdalne wstrzykiwanie poleceń w swoim interfejsie administracyjnym. Podatność występuje w komponencie 'viewcert' CGI, który nieprawidłowo przetwarza informacje o certyfikatach SSL.
Serwer SonicWall Secure Remote Access (wersja 8.1.0.2-14sv) jest podatny na zdalne wstrzykiwanie poleceń w swoim interfejsie administracyjnym. Podatność ta występuje w komponencie 'extensionsettings' CGI, który nieprawidłowo przetwarza dane wejściowe, co umożliwia zdalne wykonanie poleceń.
Serwer SonicWall Secure Remote Access (wersja 8.1.0.2-14sv) jest podatny na dwie luki typu Remote Command Injection w swoim interfejsie administracyjnym. Luki te występują w komponencie CGI diagnostyki, co pozwala na zdalne wstrzyknięcie poleceń.
Siemens SIMATIC Logon przed wersją V1.5 SP3 Update 2 może pozwolić atakującemu, który zna ważną nazwę użytkownika oraz ma fizyczny lub sieciowy dostęp do systemu, na ominięcie uwierzytelniania na poziomie aplikacji.