Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.07.29)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Exponent CMS w wersjach 2.x przed 2.3.7 Patch 3 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez parametr sc w pliku install/index.php.
W lha występuje problem z niedoborem wartości całkowitej w pliku header.c, co pozwala zdalnym atakującym na wywołanie nieokreślonego wpływu poprzez dużą wartość rozmiaru nagłówka dla nagłówka (1) level0 lub (2) level1 w archiwum lha, co prowadzi do przepełnienia bufora.
W funkcji ValidateMove w pliku frontend/move.cc w GNU Chess (gnuchess) przed wersją 6.2.4 występuje przepełnienie bufora na stosie, które może pozwolić atakującym na wykonanie dowolnego kodu poprzez dużą ilość danych wejściowych, co zostało zademonstrowane w trybie UCI.
Pakiet uglify-js w wersji przed 2.4.24 dla Node.js nieprawidłowo uwzględnia wartości niebędące booleanami podczas przekształcania wyrażeń boolean, co może umożliwić atakującym obejście mechanizmów zabezpieczeń.
Panel sterowania Vivint Sky w wersji 1.1.1.9926 umożliwia zdalnym atakującym włączanie i wyłączanie systemu alarmowego oraz modyfikowanie innych ustawień zabezpieczeń za pośrednictwem interfejsu internetowego.
W systemie eClinicalWorks Patient Portal 7.0 build 13 odkryto problem związany z niewidoczną injekcją SQL w pliku template.jsp. Atakujący może wykorzystać tę podatność bez potrzeby uwierzytelnienia, wysyłając żądanie HTTP POST, co pozwala na wyciek danych z bazy danych do złośliwego serwera.
W GeniXCMS przed wersją 1.0.0 występuje podatność na wstrzykiwanie SQL w pliku inc/lib/Options.class.php, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr modules.
W podatności CVE-2017-5574 występuje luka typu SQL injection w pliku register.php w GeniXCMS przed wersją 1.0.0, która pozwala nieautoryzowanym użytkownikom na wykonywanie dowolnych poleceń SQL za pomocą parametru aktywacji.
Poprawka dotycząca przejścia przez katalogi (CVE-2017-5480) w wersji 6.8.4-stable b2evolution zawiera lukę umożliwiającą obejście. Atakujący może wykorzystać ../ do ominięcia reguły filtra, co pozwala na usunięcie lub odczytanie dowolnych plików na serwerze.
Akamai NetSession w wersji 1.9.3.1 jest podatny na atak typu DLL Hijacking, ponieważ próbuje załadować plik CSUNSAPI.dll bez podania pełnej ścieżki. Problem jest zaostrzony, ponieważ wspomniany plik DLL jest nieobecny w instalacji, co umożliwia przejęcie DLL i wstrzyknięcie kodu do przestrzeni procesów Akamai NetSession.
Funkcja główna w plistutil.c w libimobiledevice libplist do wersji 1.12 pozwala atakującym na uzyskanie wrażliwych informacji z pamięci procesu lub spowodowanie odmowy usługi (przepełnienie bufora) poprzez dane Apple Property List, które są zbyt krótkie.
W Subrion CMS w wersji 4.0.5 występuje podatność, która umożliwia zdalnym atakującym przeprowadzenie ataków PHP Object Injection poprzez spreparowane dane zserializowane w ciasteczku salt podczas żądania logowania.
Wersje sociomantic-tsunami przed 0.10.3 umożliwiają zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowaną nazwę repozytorium.
W bozohttpd w systemie NetBSD występuje luka związana z obsługą CGI, która pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez spreparowane argumenty, obsługiwane przez program nieświadomy CGI.
Usługa Citrix Provisioning Services w wersjach przed 7.12 pozwala atakującym na wykonanie dowolnego kodu poprzez nadpisanie wskaźnika funkcji.
Podatność typu use-after-free w Citrix Provisioning Services przed wersją 7.12 umożliwia atakującym wykonanie dowolnego kodu za pomocą nieokreślonych wektorów.
Przepełnienie bufora w Citrix Provisioning Services przed wersją 7.12 umożliwia atakującym wykonanie dowolnego kodu za pomocą nieokreślonych wektorów.
Zimbra Collaboration przed wersją 8.7.0 umożliwia zdalnym atakującym przeprowadzenie ataków deserializacyjnych za pomocą nieokreślonych wektorów.
Libical umożliwia zdalnym atakującym spowodowanie odmowy usługi (use-after-free) oraz potencjalne odczytanie pamięci sterty poprzez spreparowany plik ics.
W GraphicsMagick 1.3.25 i wcześniejszych wersjach występuje przepełnienie bufora oparte na stercie w czytniku formatu WPG, co pozwala zdalnym atakującym na wywołanie nieokreślonego wpływu poprzez kolormapę z dużą liczbą wpisów.