Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.06)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Komponent Ochrony Danych w interfejsie VMware vSphere w IBM Tivoli Storage Manager dla Środowisk Wirtualnych przed wersją 6.3.2.5, 6.4.3.1 oraz 7.1.4, a także Tivoli Storage FlashCopy Manager dla VMware przed wersją 3.1.1.3, 3.2.0.6 i 4.1.4, pozwala zdalnym atakującym na uzyskanie uprawnień administracyjnych poprzez spreparowany URL, który wywołuje wykonanie funkcji w zapleczu.
Interfejs webowy urządzeń Advantech/B+B SmartWorx VESP211-EU z firmware 1.7.2 oraz VESP211-232 z firmware 1.5.1 i 1.7.2 polega na kontroli dostępu po stronie klienta, co umożliwia zdalnym atakującym wykonywanie działań administracyjnych za pomocą zmodyfikowanego kodu JavaScript.
Podatność na wstrzykiwanie SQL w wtyczce Help w wersji 1.3.5 i wcześniejszych w Cuore EC-CUBE umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą nieokreślonych wektorów.
Serwer zarządzania szyfrowaniem Symantec (SEMS) w wersji 3.3.2 przed MP12 umożliwia zdalnym uwierzytelnionym użytkownikom wykonywanie dowolnych poleceń systemu operacyjnego poprzez wykorzystanie dostępu administratora konsoli.
Oprogramowanie firmware Zhuhai RaySharp zawiera twardo zakodowane hasło roota, co ułatwia zdalnym atakującym uzyskanie dostępu przez sesję na porcie TCP 23 lub 9000.
Implementacja cliserver w Dell SonicWALL GMS, Analyzer i UMA EM5000 w wersjach 7.2, 8.0 i 8.1 przed Hotfix 168056 pozwala zdalnym atakującym na deserializację i wykonanie dowolnego kodu Java za pomocą spreparowanych danych XML.
Aplikacja webowa GMS ViewPoint w Dell SonicWALL GMS, Analyzer i UMA EM5000 w wersjach 7.2, 8.0 oraz 8.1 przed Hotfix 168056 umożliwia zdalnym uwierzytelnionym użytkownikom wykonywanie dowolnych poleceń poprzez odpowiednie dane konfiguracyjne.
Citrix NetScaler Application Delivery Controller (ADC) oraz NetScaler Gateway w wersjach 11.x przed 11.0 Build 64.34, 10.5 przed 10.5 Build 59.13 oraz 10.5.e przed Build 59.1305.e umożliwiają zdalnym atakującym uzyskanie uprawnień poprzez nieokreślone polecenia w interfejsie NS Web GUI.
Podatność na wstrzykiwanie SQL w serwerze UDDI w SAP NetWeaver J2EE Engine 7.40 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory. Jest to związane z notą bezpieczeństwa SAP 2101079.
Podatność typu use-after-free w resolverze nginx w wersjach od 0.6.18 do 1.8.0 oraz 1.9.x przed 1.9.10 pozwala zdalnym atakującym na spowodowanie awarii procesu roboczego (denial of service) lub potencjalnie innego nieokreślonego wpływu poprzez spreparowaną odpowiedź DNS związaną z przetwarzaniem odpowiedzi CNAME.
Usługa Windows-based Host Interface Program (WHIP) na urządzeniach Huawei SmartAX MT882 V200R002B022 Arg polega na tym, że klient musi wysłać pole długości zgodne z rozmiarem bufora. To umożliwia zdalnym atakującym spowodowanie odmowy usługi (awaria urządzenia) lub potencjalnie innych nieokreślonych skutków poprzez odpowiednio skonstruowany ruch na porcie TCP 8701.
Wielokrotne podatności związane z nieograniczonym przesyłaniem plików w systemie zarządzania NETGEAR NMS300 w wersji 1.5.0.11 i wcześniejszych pozwalają zdalnym atakującym na wykonanie dowolnego kodu Java poprzez przesłanie pliku JSP.
HP Continuous Delivery Automation (CDA) w wersji 1.30 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń poprzez spreparowany zserializowany obiekt Java, związany z biblioteką Apache Commons Collections.
Przepełnienie bufora w implementacjach IKEv1 i IKEv2 w oprogramowaniu Cisco ASA przed wersjami 8.4(7.30), 8.7 przed 8.7(1.18), 9.0 przed 9.0(4.38) i innymi, umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez spreparowane pakiety UDP.
Adobe Photoshop CC 2014 przed wersją 15.2.4, Photoshop CC 2015 przed wersją 16.1.2 oraz Bridge CC przed wersją 6.2 umożliwiają atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi (uszkodzenie pamięci) poprzez nieokreślone wektory.
Adobe Photoshop CC 2014 przed wersją 15.2.4, Photoshop CC 2015 przed wersją 16.1.2 oraz Bridge CC przed wersją 6.2 mają lukę, która pozwala atakującym na wykonanie dowolnego kodu lub spowodowanie odmowy usługi (uszkodzenie pamięci) poprzez nieokreślone wektory.
Adobe Photoshop CC 2014 przed wersją 15.2.4, Photoshop CC 2015 przed wersją 16.1.2 oraz Bridge CC przed wersją 6.2 umożliwiają atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi (uszkodzenie pamięci) poprzez nieokreślone wektory.
Adobe Connect przed wersją 9.5.2 umożliwia zdalnym atakującym wywołanie nieokreślonego wpływu poprzez spreparowany parametr w URL.
Wielokrotne, niesprecyzowane usługi w Atlassian Bamboo przed wersją 5.9.9 oraz 5.10.x przed 5.10.0 nie wymagają uwierzytelnienia, co pozwala zdalnym atakującym na uzyskanie wrażliwych informacji, modyfikację ustawień lub zarządzanie agentami budowy.
W Atlassian Bamboo przed wersją 5.9.9 oraz 5.10.x przed wersją 5.10.0 występuje nieokreślona podatność, która pozwala zdalnym atakującym na wykonanie dowolnego kodu Java poprzez przesłanie zserializowanych danych do portu JMS.