Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W bpcd w Veritas NetBackup w wersjach 7.x do 7.5.0.7, 7.6.0.x do 7.6.0.4, 7.6.1.x do 7.6.1.2 oraz 7.7.x przed 7.7.2, a także w NetBackup Appliance w wersjach 2.5.4, 2.6.0.x do 2.6.0.4, 2.6.1.x do 2.6.1.2 oraz 2.7.x przed 2.7.2, istnieje możliwość zdalnego wykonania dowolnych poleceń przez atakujących za pomocą spreparowanego wejścia.
Podatność typu double free w funkcji DefaultICCintents w pliku cmscnvrt.c w liblcms2 w wersjach Little CMS 2.x przed 2.6 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez złośliwy profil ICC, który wywołuje błąd w domyślnym obsługiwaczu intencji.
Funkcja pam_sm_authenticate w pliku pam_sshauth.c w libpam-sshauth może umożliwić atakującym zależnym od kontekstu ominięcie uwierzytelniania lub uzyskanie uprawnień za pomocą konta użytkownika systemowego.
Błąd off-by-one w funkcji tokenadd w pliku jv_parse.c w jq umożliwia zdalnym atakującym spowodowanie awarii (denial of service) poprzez długi, zakodowany w JSON numer, co prowadzi do przepełnienia bufora w pamięci heap.
Cool Projects TarDiff umożliwia zdalnym atakującym wykonywanie dowolnych poleceń poprzez metaznaki powłoki w nazwie (1) pliku tar lub (2) pliku wewnątrz pliku tar.
API XML w oprogramowaniu Cisco TelePresence nieprawidłowo obsługuje uwierzytelnianie, co umożliwia zdalnym atakującym wykonywanie poleceń kontrolnych lub wprowadzanie zmian w konfiguracji za pomocą żądania API.
Podatność na wstrzykiwanie SQL w funkcjonalności uwierzytelniania w Trend Micro Email Encryption Gateway (TMEEG) 5.5 przed wersją 1107 pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL za pomocą nieokreślonych wektorów.
Implementacja ASN.1 w OpenSSL przed wersją 1.0.1o oraz 1.0.2 przed wersją 1.0.2c umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi (błąd bufora i uszkodzenie pamięci) poprzez pole ANY w stworzonych danych zserializowanych, znane jako problem 'ujemnego zera'.
Parser XML w Cisco Information Server (CIS) 6.2 umożliwia zdalnym atakującym odczyt dowolnych plików lub wywołanie odmowy usługi (zużycie CPU i pamięci) poprzez deklarację zewnętrznego bytu w połączeniu z odniesieniem do bytu, co jest związane z problemem XML External Entity (XXE).
W jądrze Linux przed wersją 4.5 występuje błąd w pliku iwch_cm.c, który nieprawidłowo identyfikuje warunki błędów. To umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi (use-after-free) za pomocą spreparowanych pakietów.
Przepełnienie bufora w funkcji mipsnet_receive w pliku hw/net/mipsnet.c w QEMU, gdy karta sieciowa gościa jest skonfigurowana do akceptacji dużych pakietów, umożliwia zdalnym atakującym spowodowanie odmowy usługi (uszkodzenie pamięci i awaria QEMU) lub potencjalne wykonanie dowolnego kodu za pomocą pakietu większego niż 1514 bajtów.
W Apache Struts 2.x przed wersją 2.3.20.2, 2.3.24.x przed 2.3.24.2 oraz 2.3.28.x przed 2.3.28.1 występuje podatność, która pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez parametr lokalizacji arkusza stylów.
Błąd związany z podpisem liczby całkowitej w bibliotece GD Graphics Library 2.1.1 umożliwia zdalnym atakującym spowodowanie awarii (denial of service) lub potencjalne wykonanie dowolnego kodu poprzez spreparowane skompresowane dane gd2, co prowadzi do przepełnienia bufora w stercie.
yast2-users w wersji przed 3.1.47, używany w SUSE Linux Enterprise 12 SP1, nieprawidłowo ustawia puste pola hasła w /etc/shadow podczas instalacji AutoYaST, gdy profil nie zawiera użytkowników inst-sys.
Interfejs webowy urządzeń SysLINK SL-1000 Machine-to-Machine (M2M) Modular Gateway z firmware przed wersją 01A.8 posiada domyślne hasło, co ułatwia zdalnym atakującym uzyskanie dostępu przez nieokreślone wektory.
Nieokreślona podatność w komponencie Oracle Field Service w Oracle E-Business Suite 12.1.1, 12.1.2 i 12.1.3 umożliwia zdalnym atakującym wpływanie na poufność i integralność danych poprzez wektory związane z technologią bezprzewodową.
Nieokreślona podatność w komponencie Java VM w Oracle Database Server 11.2.0.4, 12.1.0.1 i 12.1.0.2 umożliwia zdalnym atakującym wpływanie na poufność, integralność i dostępność danych za pomocą nieznanych wektorów.
Nieokreślona podatność w Oracle Java SE 6u113, 7u99 i 8u77 umożliwia zdalnym atakującym wpływ na poufność, integralność i dostępność poprzez wektory związane z grafiką 2D. Istnieją twierdzenia, że problem ten pozwala na uzyskanie wrażliwych informacji za pomocą spreparowanych danych czcionek, co prowadzi do odczytu poza przydzielonym obszarem pamięci.
Nieokreślona podatność w Oracle Java SE 6u113, 7u99, 8u77, Java SE Embedded 8u77 oraz JRockit R28.3.9 umożliwia zdalnym atakującym wpływ na poufność, integralność i dostępność systemu poprzez wektory związane z JMX.
HPE Data Protector w wersjach przed 7.03_108, 8.x przed 8.15 oraz 9.x przed 9.06 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez nieokreślone wektory.