Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.07.29)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W zmodyfikowanej wersji oprogramowania eCommerce Shopsoftware 2.0.0.0 (rewizja 9678) występuje wiele podatności na wstrzykiwanie SQL, gdy moduł easybill nie jest zainstalowany. Atakujący zdalnie mogą wykonywać dowolne polecenia SQL poprzez parametry orders_status lub customers_status w pliku api/easybill/easybillcsv.php.
Klient IBM Websphere MQ JMS w wersjach 7.0.1, 7.1, 7.5, 8.0 i 9.0 umożliwia deserializację obiektów z niezaufanych źródeł, co może pozwolić złośliwemu użytkownikowi na wykonanie dowolnego kodu Java poprzez dodanie podatnych klas do classpath.
Przepełnienie bufora opartego na stercie w funkcji ALGnew w pliku block_templace.c w Python Cryptography Toolkit (pycrypto) umożliwia zdalnym atakującym wykonanie dowolnego kodu, co zostało udowodnione przez spreparowany parametr iv w cryptmsg.py.
Wersje Adobe Digital Editions 4.5.3 i wcześniejsze mają podatność na przepełnienie sterty, która może być wykorzystana. Udana eksploitacja może prowadzić do wykonania dowolnego kodu.
Wersje Adobe Campaign 16.4 Build 8724 i wcześniejsze mają podatność na wstrzykiwanie kodu.
W oprogramowaniu Smiths-Medical CADD-Solis Medication Safety Software (wersje 1.0, 2.0, 3.0 i 3.1) odkryto problem, który pozwala uwierzytelnionemu użytkownikowi uzyskać podwyższone uprawnienia w bazie danych SQL. Umożliwia to modyfikację bibliotek leków, dodawanie i usuwanie użytkowników oraz zmianę uprawnień użytkowników.
W urządzeniu BINOM3 Universal Multifunctional Electric Power Quality Meter odkryto lukę, która pozwala na ujawnienie informacji. Wykorzystanie tej luki może prowadzić do uzyskania uprzywilejowanego dostępu do urządzenia.
W urządzeniu BINOM3 Universal Multifunctional Electric Power Quality Meter odkryto problem związany z brakiem uwierzytelnienia dla zdalnej usługi, co umożliwia dostęp do konfiguracji i ustawień aplikacji.
W urządzeniach Phoenix Contact mGuard zaktualizowanych do wersji 8.4.0 występuje problem, który powoduje, że podczas aktualizacji hasło użytkownika admin jest resetowane do wartości domyślnej.
W Advantech WebAccess w wersji 8.1 odkryto podatność na wstrzykiwanie SQL. Aby wykorzystać tę podatność, atakujący musi dostarczyć źle sformatowane dane wejściowe do oprogramowania WebAccess.
W Advantech WebAccess w wersji 8.1 odkryto problem, który pozwala na ominięcie uwierzytelnienia. Złośliwy użytkownik może uzyskać dostęp do stron bez ograniczeń, korzystając z określonego adresu URL na serwerze WWW.
W urządzeniach Carlo Gavazzi VMU-C EM przed wersją oprogramowania A11_U05 oraz VMU-C PV przed wersją A17 odkryto podatność typu CROSS-SITE REQUEST FORGERY (CSRF). Jej wykorzystanie może pozwolić na wykonanie nieautoryzowanych działań, takich jak zmiana parametrów konfiguracyjnych i zapisanie zmodyfikowanej konfiguracji.
W urządzeniach Carlo Gavazzi VMU-C EM przed wersją oprogramowania A11_U05 oraz VMU-C PV przed wersją A17 odkryto lukę w kontroli dostępu, która umożliwia dostęp do większości funkcji aplikacji bez uwierzytelnienia.
W systemie Honeywell XL Web II kontrolera XL1000C500 oraz XLWeb 500 zidentyfikowano problem związany z niewłaściwym zarządzaniem uprawnieniami. Użytkownik z niskimi uprawnieniami może uzyskać dostęp do określonego adresu URL i zmienić parametry systemu.
W kontrolerze Honeywell XL Web II (XL1000C500 XLWebExe-2-01-00 i wcześniejsze oraz XLWeb 500 XLWebExe-1-02-08 i wcześniejsze) odkryto problem związany z przechowywaniem haseł w postaci niezaszyfrowanej.
W systemie Honeywell XL Web II, w kontrolerach XL1000C500 oraz XLWeb 500, występuje problem związany z przechowywaniem haseł w postaci niezaszyfrowanej. Użytkownik może uzyskać dostęp do hasła, odwiedzając określony adres URL.
Wykryto problem w różnych wersjach urządzeń Moxa NPort, który pozwala na aktualizację oprogramowania układowego przez sieć bez uwierzytelnienia. To może prowadzić do zdalnego wykonania kodu.
W urządzeniach Moxa NPort występuje problem z autoryzacją w wersjach przed określonymi numerami. Atakujący może wykorzystać atak brute force, aby określić parametry potrzebne do ominięcia uwierzytelnienia.
W systemach WAGO 750-8202/PFC200 przed FW04, WAGO 750-881 przed FW09 oraz WAGO 0758-0874-0000-0111 odkryto problem, który pozwala złośliwemu użytkownikowi na edytowanie i przeglądanie ustawień bez konieczności uwierzytelnienia, poprzez dostęp do określonego adresu URL na serwerze WWW.
W urządzeniach Moxa NPort występuje problem z administracyjnymi hasłami, które mogą być próbowane bez konieczności uwierzytelnienia. Dotyczy to wielu wersji różnych serii NPort, w tym 5110, 5130, 5150, 5200, 5400, 5600 oraz innych.