Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.03)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W libmedia w mediaserver w systemie Android 4.x przed wersją 4.4.4, 5.0.x przed 5.0.2, 5.1.x przed 5.1.1 oraz 6.x przed 2016-08-01 występują błędne deklaracje, które umożliwiają zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez spreparowany plik multimedialny.
Dekoder ih264d w mediaserverze w systemie Android 6.x przed 2016-08-01 niewłaściwie obsługuje numery slice, co pozwala zdalnym atakującym na wykonanie dowolnego kodu lub spowodowanie odmowy usługi (uszkodzenie pamięci) za pomocą spreparowanego pliku multimedialnego.
Przepełnienie całkowite w pliku h264bsd_dpb.c w libstagefright w mediaserver w systemie Android przed wersją 4.4.4, 5.0.2, 5.1.1 oraz 6.x przed 2016-08-01 umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi (uszkodzenie pamięci) poprzez spreparowany plik multimedialny.
Przepełnienie bufora w sterowniku Wi-Fi Qualcomm w systemie Android przed 2016-08-05 na urządzeniach Nexus 7 (2013) umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany element informacji w ramce zarządzającej 802.11.
W podatności CVE-2016-4999 występuje luka typu SQL injection w metodzie getStringParameterSQL w Dashbuilder przed wersją 0.6.0.Beta1. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez filtr wyszukiwania zestawu danych w interfejsie edytora autorów zestawów danych lub edytora wyświetlacza.
Funkcja kontenera bazy danych wielodostępowych w SAP HANA nieprawidłowo szyfruje komunikację, co pozwala zdalnym atakującym na obejście zamierzonych ograniczeń dostępu.
Nieokreślony interfejs w SAP TREX 7.10 Revision 63 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń systemowych z uprawnieniami SIDadm poprzez nieokreślone wektory.
SAP TREX w wersji 7.10 Revision 63 umożliwia zdalnym atakującym zapis do dowolnych plików poprzez wektory związane z RFC-Gateway, co stanowi poważne zagrożenie dla bezpieczeństwa systemu.
SAP TREX w wersji 7.10 Revision 63 umożliwia zdalnym atakującym odczyt dowolnych plików za pomocą nieokreślonych wektorów, co stanowi poważne zagrożenie dla bezpieczeństwa.
Podatność na przejście do katalogu w SAP TREX 7.10 Revision 63 umożliwia zdalnym atakującym odczyt dowolnych plików za pomocą nieokreślonych wektorów.
Podatność typu use-after-free w funkcji nsXULPopupManager::KeyDown w przeglądarce Mozilla Firefox przed wersją 48.0 oraz Firefox ESR 45.x przed wersją 45.3 umożliwia atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez wykorzystanie klawisza Alt podczas wyboru elementów menu najwyższego poziomu.
Urządzenia Crestron Electronics DM-TXRX-100-STR z firmware przed wersją 1.3039.00040 mają twardo zakodowane hasło 'admin' dla konta administratora, co ułatwia zdalnym atakującym uzyskanie dostępu przez interfejs zarządzania webowego.
Urządzenia Crestron Electronics DM-TXRX-100-STR z firmware przed wersją 1.3039.00040 używają zakodowanego certyfikatu X.509 z OpenSSL Test Certification Authority. To ułatwia zdalnym atakującym przeprowadzanie ataków typu man-in-the-middle na sesje HTTPS.
Urządzenia Crestron Electronics DM-TXRX-100-STR z firmwarem przed wersją 1.3039.00040 pozwalają zdalnym atakującym na ominięcie uwierzytelnienia i zmianę ustawień za pomocą wywołania API JSON.
Urządzenia Crestron Electronics DM-TXRX-100-STR z firmware przed wersją 1.3039.00040 pozwalają zdalnym atakującym na ominięcie uwierzytelnienia poprzez bezpośrednie żądanie do strony innej niż index.html.
Urządzenia Crestron Electronics DM-TXRX-100-STR z firmware przed wersją 1.3039.00040 polegają na kliencie w zakresie uwierzytelniania, co umożliwia zdalnym atakującym uzyskanie dostępu poprzez ustawienie wartości objresp.authenabled na 1.
Podatność na przejście do katalogu w cgi-bin/rftest.cgi na urządzeniach Crestron AirMedia AM-100 z firmware przed wersją 1.4.0.13 pozwala zdalnym atakującym na wykonywanie dowolnych poleceń poprzez wykorzystanie parametru ATE_COMMAND z sekwencją .. (kropka kropka).
Urządzenia Huawei NE40E, CX600, PTN 6900-2-M8, NE5000E oraz CloudEngine 12800 z określonymi wersjami oprogramowania są podatne na ataki zdalne. Atakujący z dostępem do płaszczyzny kontrolnej mogą spowodować odmowę usługi lub wykonać dowolny kod za pomocą odpowiednio skonstruowanego pakietu.
Atlassian Bamboo w wersjach przed 5.11.4.1 oraz 5.12.x przed 5.12.3.1 nie ogranicza właściwie dozwolonych klas deserializowanych, co umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez wykorzystanie podatności związanej z serializacją XStream.
Serwer w Red Hat JBoss Operations Network (JON) przed wersją 3.3.6 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowane żądanie HTTP, związane z deserializacją wiadomości.