Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.06)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Funkcja encoder_contexte_ajax w pliku ecrire/inc/filtres.php w SPIP 2.x przed wersją 2.1.19, 3.0.x przed 3.0.22 oraz 3.1.x przed 3.1.1 umożliwia zdalnym atakującym przeprowadzenie ataków typu PHP object injection oraz wykonanie dowolnego kodu PHP za pomocą spreparowanego obiektu zserializowanego.
SPIP w wersjach 2.x przed 2.1.19, 3.0.x przed 3.0.22 oraz 3.1.x przed 3.1.1 umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez dodawanie treści, związane z funkcją filtrer_entites.
Przepełnienie całkowitej liczby w Git przed wersją 2.7.4 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez (1) długą nazwę pliku lub (2) wiele zagnieżdżonych drzew, co prowadzi do przepełnienia bufora w stercie.
W wersjach git przed 2.7.4 występuje błąd w pliku revision.c, który wykorzystuje nieprawidłowy typ danych całkowitych. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu poprzez (1) długą nazwę pliku lub (2) wiele zagnieżdżonych drzew, co prowadzi do przepełnienia bufora na stercie.
Przepełnienie całkowitej liczby w pliku proto.c w libotr przed wersją 4.1.1 na platformach 64-bitowych umożliwia zdalnym atakującym spowodowanie odmowy usługi (uszkodzenie pamięci i awaria aplikacji) lub wykonanie dowolnego kodu poprzez wysłanie serii dużych wiadomości OTR, co prowadzi do przepełnienia bufora w stercie.
W PuTTY przed wersją 0.67 oraz KiTTY przed wersją 0.66.6.3 występuje przepełnienie bufora na stosie w narzędziu wiersza poleceń SCP. Umożliwia to zdalnym serwerom wywołanie odmowy usługi lub wykonanie dowolnego kodu poprzez spreparowaną odpowiedź na żądanie pobrania pliku SCP.
Jenkins przed wersją 1.650 oraz LTS przed 1.642.2 nie stosuje algorytmu o stałym czasie do weryfikacji tokenów CSRF, co ułatwia zdalnym atakującym obejście mechanizmu ochrony CSRF za pomocą ataku brute-force.
Moduł zdalny w Jenkins przed wersją 1.650 oraz LTS przed 1.642.2 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez otwarcie nasłuchiwacza JRMP.
Wielokrotne przepełnienia bufora w bibliotece parsera XML w Apache Xerces-C przed wersją 3.1.3 mogą umożliwić zdalnym atakującym spowodowanie awarii usługi (błąd segmentacji lub uszkodzenie pamięci) lub potencjalne wykonanie dowolnego kodu poprzez spreparowany dokument.
Podatność XXE w Configuration Wizard w SAP NetWeaver Java AS w wersjach 7.1 do 7.5 umożliwia zdalnym atakującym wywołanie odmowy usługi, przeprowadzenie ataków SMB Relay lub dostęp do dowolnych plików poprzez spreparowane żądanie XML.
Adobe Flash Player w wersji 21.0.0.197 i wcześniejszych umożliwia zdalnym atakującym spowodowanie odmowy usługi (awaria aplikacji) lub potencjalne wykonanie dowolnego kodu poprzez nieokreślone wektory. Wykorzystanie tej podatności miało miejsce w praktyce w kwietniu 2016 roku.
Urządzenia Cisco UCS Invicta C3124SA w wersjach od 4.3.1 do 5.0.1 oraz systemy UCS Invicta Scaling i Whiptail Racerunner niewłaściwie przechowują domyślny klucz prywatny SSH. To umożliwia zdalnym atakującym uzyskanie dostępu do konta root za pomocą nieokreślonych wektorów.
Cisco Prime Infrastructure w wersjach od 1.2.0 do 2.2(2) oraz Cisco Evolved Programmable Network Manager (EPNM) w wersji 1.2 są podatne na zdalne wykonanie kodu przez atakujących, którzy mogą wykorzystać odpowiednio przygotowane dane deserializacyjne w żądaniu HTTP POST.
Serwer FTP w Pro-face GP-Pro EX EX-ED przed wersją 4.05.000 zawiera wbudowane dane uwierzytelniające, co umożliwia zdalnym atakującym ominięcie procesu autoryzacji.
HPE Asset Manager w wersjach 9.40, 9.41 i 9.50 oraz Asset Manager CloudSystem Chargeback w wersji 9.40 umożliwiają zdalnym atakującym wykonanie dowolnych poleceń poprzez spreparowany zserializowany obiekt Java, związany z biblioteką Apache Commons Collections.
Przepełnienie bufora w serwerze IBM Tivoli Storage Manager FastBack w wersjach 5.5.x i 6.x przed 6.1.12.2 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowane polecenie.
Przepełnienie bufora w serwerze IBM Tivoli Storage Manager FastBack w wersjach 5.5.x i 6.x przed 6.1.12.2 umożliwia zdalnym atakującym wykonanie dowolnego kodu za pomocą spreparowanej komendy.
Przepełnienie bufora w serwerze IBM Tivoli Storage Manager FastBack w wersjach 5.5.x i 6.x przed 6.1.12.2 umożliwia zdalnym atakującym wykonanie dowolnego kodu za pomocą spreparowanej komendy.
Przepełnienie bufora w serwerze IBM Tivoli Storage Manager FastBack w wersjach 5.5.x i 6.x przed 6.1.12.2 umożliwia zdalnym atakującym wykonanie dowolnego kodu za pomocą spreparowanej komendy.
Eaglesoft 17 firmy Patterson Dental zawiera twardo zakodowane hasło 'sql' dla konta dba, co umożliwia zdalnym atakującym uzyskanie wrażliwych informacji o pacjentach z bazy danych Dental.DB za pomocą zapytań SQL.