Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.07.29)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W systemie Aerospike Database Server 3.10.0.3 występuje podatność związana z indeksowaniem poza zakresem w typie komunikatu RW fabric. Specjalnie przygotowany pakiet może spowodować, że serwer spróbuje uzyskać tabelę funkcji poza granicami tablicy, co prowadzi do zdalnego wykonania kodu.
W Aerospike Database Server 3.10.0.3 występuje podatność na zapis poza granicami w funkcjonalności parsowania pól transakcji wsadowych. Specjalnie przygotowany pakiet może spowodować zapis poza granicami, co prowadzi do uszkodzenia pamięci i potencjalnie umożliwia zdalne wykonanie kodu.
Wtyczka Mail Masta w wersji 1.0 dla WordPressa zawiera lukę typu SQL injection, która występuje w pliku /inc/lists/csvexport.php. Problem dotyczy nieautoryzowanego dostępu z wykorzystaniem parametru GET: list_id.
CMS Made Simple w wersji 1.x przed wersją 0.8.1.6 umożliwia zdalnym atakującym wykonanie kodu PHP poprzez parametr cntnt01fbrp_forma_form_template w admin_store_form.
W GeniXCMS przed wersją 1.0.2 występuje luka umożliwiająca obejście tokena CSRF, co może prowadzić do eskalacji uprawnień. Strona forgotpassword.php może być wykorzystana do pozyskania tokena.
W Trend Micro Interscan Web Security Virtual Appliance (IWSVA) w wersji 6.5-SP2_Build_Linux_1707 i wcześniejszych występuje podatność na zdalne wykonanie poleceń. Użytkownicy z minimalnymi uprawnieniami mogą uruchamiać dowolne polecenia na systemie jako root poprzez funkcjonalność aktualizacji łatek.
W produktach Apple, takich jak iOS przed wersją 10.2, macOS przed wersją 10.12.2 oraz watchOS przed wersją 3.1.3, odkryto problem związany z komponentem 'CoreFoundation'. Umożliwia on zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez spreparowany ciąg.
W niektórych produktach Apple, w tym iOS przed wersją 10.2, odkryto problem związany z komponentem 'WebSheet'. Umożliwia on atakującym obejście mechanizmu ochrony piaskownicy za pomocą nieokreślonych wektorów.
W wersjach HHVM Facebooka przed 3.15.0 występuje nieskończona rekurencja w wddx, co może umożliwić atakującym osiągnięcie nieokreślonego wpływu za pomocą nieznanych wektorów.
Funkcje array_*_recursive w Facebook HHVM przed wersją 3.15.0 umożliwiają atakującym wywołanie nieokreślonego wpływu poprzez nieznane wektory, związane z rekurencją.
Wersje Facebook HHVM przed 3.15.0 zawierają problem z rekurencją wewnętrzną, co może umożliwić atakującym osiągnięcie nieokreślonego wpływu za pomocą nieznanych wektorów.
Przepełnienie całkowite w funkcji StringUtil::implode w Facebook HHVM przed wersją 3.15.0 może umożliwić atakującym wywołanie nieokreślonego wpływu za pomocą nieznanych wektorów.
Przepełnienie całkowitej liczby w bibliotece bcmath w Facebook HHVM przed wersją 3.15.0 może umożliwić atakującym wywołanie nieokreślonego wpływu poprzez nieznane wektory, co prowadzi do przepełnienia bufora.
Wersje Facebook HHVM przed 3.15.0 zawierają błąd pisania poza przydzielonym obszarem pamięci w funkcjach mb_detect_encoding, mb_send_mail oraz mb_detect_order. Atakujący mogą wykorzystać tę podatność, co prowadzi do nieokreślonego wpływu.
W dotCMS w wersji do 3.6.1 zidentyfikowano problem związany z funkcją findChildrenByFilter(), która wykonuje interpolację ciągów i bezpośrednie zapytania SQL. Mimo wprowadzenia mechanizmów zabezpieczających, takich jak ucieczka znaków SQL i czarna lista słów kluczowych, można je obejść w przypadku parametrów q i inode, co prowadzi do możliwości wykorzystania ataków SQL injection.
Metoda validateSignature w klasie SAML2\Utils w SimpleSAMLphp przed wersją 1.14.10 oraz w bibliotece simplesamlphp/saml2 przed wersją 1.9.1, 1.10.x przed 1.10.3 i 2.x przed 2.3.3 pozwala zdalnym atakującym na fałszowanie odpowiedzi SAML lub potencjalnie powodowanie odmowy usługi (zużycie pamięci) z powodu niewłaściwej konwersji wartości zwracanych na typ boolean.
Metody (1) order i (2) group w Zend_Db_Select w Zend Framework przed wersją 1.12.19 mogą umożliwić zdalnym atakującym przeprowadzenie ataków typu SQL injection poprzez wykorzystanie wzorców znakowych [\w]* w wyrażeniach regularnych.
Metody (1) order i (2) group w Zend_Db_Select w Zend Framework przed wersją 1.12.20 mogą umożliwić zdalnym atakującym przeprowadzenie ataków SQL injection z powodu braku usuwania komentarzy z zapytania SQL przed walidacją.
W Zabbix przed wersją 2.2.14 oraz 3.0 przed wersją 3.0.4 występuje podatność na atak typu SQL injection, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr toggle_ids w pliku latest.php.
IBM Integration Bus w wersjach 9.0 i 10.0 oraz WebSphere Message Broker SOAP FLOWS jest podatny na atak typu denial of service spowodowany błędem wstrzykiwania zewnętrznych jednostek XML (XXE) podczas przetwarzania danych XML.