Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.06)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Urządzenia Seagate GoFlex Satellite, Seagate Wireless Mobile Storage, Seagate Wireless Plus Mobile Storage oraz LaCie FUEL z firmware przed wersją 3.4.1.105 mają domyślne hasło 'root' dla konta administratora, co umożliwia zdalnym atakującym uzyskanie dostępu administracyjnego przez sesję TELNET.
Urządzenia Corega CG-WLBARGS pozwalają zdalnym atakującym na wykonywanie operacji administracyjnych za pomocą nieokreślonych wektorów.
Urządzenia ZTE ZXHN H108N R1A przed wersją ZTE.bhs.ZXHNH108NR1A.k_PE mają wbudowane hasło 'root' dla konta administratora, co umożliwia zdalnym atakującym uzyskanie dostępu administracyjnego przez sesję TELNET.
Adobe Flash Player w wersjach przed 18.0.0.324 oraz 19.x i 20.x przed 20.0.0.267 na systemach Windows i OS X oraz przed 11.2.202.559 na Linuksie, a także Adobe AIR przed 20.0.0.233, Adobe AIR SDK przed 20.0.0.233 oraz Adobe AIR SDK & Compiler przed 20.0.0.233, pozwalają atakującym na wykonanie dowolnego kodu lub spowodowanie odmowy usługi (uszkodzenie pamięci) poprzez nieokreślone wektory.
Strona logowania w Epiphany Cardio Server w wersjach 3.3, 4.0 i 4.1 niewłaściwie obsługuje żądania uwierzytelnienia, co umożliwia zdalnym atakującym przeprowadzenie ataków typu LDAP injection i ominięcie zamierzonych ograniczeń dostępu za pomocą spreparowanego URL.
Podatność typu SQL injection w stronie logowania w Epiphany Cardio Server 3.3 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą odpowiednio skonstruowanego adresu URL.
Podsystem MIDI w Google Chrome przed wersją 47.0.2526.106 nieprawidłowo obsługuje wysyłanie danych, co pozwala zdalnym atakującym na wykonanie dowolnego kodu lub spowodowanie odmowy usługi (awaria aplikacji) poprzez nieokreślone wektory.
Brama telemetryczna Adcon Telemetry A840 posiada wbudowane dane uwierzytelniające, co umożliwia zdalnym atakującym uzyskanie dostępu administracyjnego poprzez nieokreślone wektory.
Metoda ChangePasswordIndex w PasswordReset.dll w Dovestones AD Self Password Reset przed wersją 3.0.4.0 umożliwia zdalnym atakującym resetowanie dowolnych haseł za pomocą spreparowanego żądania z ważną nazwą użytkownika.
Urządzenia eWON z firmware przed wersją 10.1s0 nie implementują kontroli dostępu RBAC dla informacji o serwerze I/O oraz zapytań o status, co umożliwia zdalnym atakującym uzyskanie wrażliwych informacji poprzez nieokreślony URL.
Urządzenia Saia Burgess PCD1.M0xx0, PCD1.M2xx0, PCD2.M5xx0, PCD3.Mxx60, PCD3.Mxxx0, PCD7.D4xxD, PCD7.D4xxV, PCD7.D4xxWTPF, PCD7.D4xxxT5F oraz PCD3.T665 i PCD3.T666 przed wersją 1.24.50 i 1.24.41 zawierają wbudowane dane logowania, co umożliwia zdalnym atakującym uzyskanie dostępu administracyjnego przez sesję FTP.
SearchBlox w wersji 8.3 przed 8.3.1 umożliwia zdalnym atakującym zapis do pliku konfiguracyjnego, co może prowadzić do awarii aplikacji.
Wersje Juniper ScreenOS od 6.2.0r15 do 6.2.0r18 oraz od 6.3.0r12 do 6.3.0r20 przed odpowiednimi poprawkami umożliwiają zdalnym atakującym uzyskanie dostępu administracyjnego poprzez wprowadzenie nieokreślonego hasła podczas sesji SSH lub TELNET.
Interfejsy obiektów zserializowanych w niektórych produktach Cisco Collaboration i Social Media, a także w urządzeniach zabezpieczeń sieciowych, umożliwiają zdalnym atakującym wykonanie dowolnych poleceń za pomocą spreparowanego zserializowanego obiektu Java, związane z biblioteką Apache Commons Collections.
Funkcja BasicJsonStringifier::SerializeJSArray w json-stringifier.h w silniku JSON Google V8, używanym w Google Chrome przed wersją 47.0.2526.73, niewłaściwie ładowała elementy tablicy. To pozwala zdalnym atakującym na wywołanie odmowy usługi (dostęp do pamięci poza zakresem) lub potencjalnie na inne nieokreślone skutki za pomocą spreparowanego kodu JavaScript.
PCRE przed wersją 8.38 niewłaściwie obsługuje warunki (?(<cyfry>) oraz (?(R<cyfry>), co pozwala zdalnym atakującym na spowodowanie odmowy usługi (przepełnienie całkowite) lub potencjalnie inne nieokreślone skutki poprzez spreparowany wyrażenie regularne.
Funkcja pcre_compile w PCRE przed wersją 8.38 niewłaściwie obsługuje pewne zagnieżdżenia [:, co może prowadzić do odmowy usługi (zużycie CPU) lub innych nieokreślonych skutków poprzez spreparowany wyrażenie regularne.
PCRE przed wersją 8.38 niewłaściwie obsługuje podciągi [: i \ w klasach znaków, co pozwala zdalnym atakującym na spowodowanie odmowy usługi (odczyt niezinicjalizowanej pamięci) lub potencjalnie inny nieokreślony wpływ za pomocą spreparowanego wyrażenia regularnego.
PCRE przed wersją 8.38 nieprawidłowo obsługuje wzorzec /(?:|a|){100}x/ oraz pokrewne wzorce, co pozwala zdalnym atakującym na spowodowanie odmowy usługi (nieskończona rekurencja) lub potencjalnie inny nieokreślony wpływ za pomocą spreparowanego wyrażenia regularnego.
PCRE przed wersją 8.38 niewłaściwie obsługuje interakcję asercji lookbehind i wzorców rekurencyjnych, co pozwala zdalnym atakującym na spowodowanie odmowy usługi (przepełnienie bufora) lub potencjalnie innego nieokreślonego wpływu za pomocą spreparowanego wyrażenia regularnego.