Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.06)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W ActiveMQ Artemis w wersjach od 2.7.0 do 2.12.0 występuje luka, która pozwala na niezamierzone przechowywanie haseł w postaci niezaszyfrowanej w pliku cieniowym Artemis (etc/artemis-users.properties) podczas wykonywania operacji `resetUsers`. Lokalny atakujący może wykorzystać tę lukę do odczytania zawartości pliku cieniowego Artemis.
W aplikacji MISP przed wersją 2.4.126 występuje podatność XSS w widoku atrybutów rozwiązanych w pliku app/View/Events/resolved_attributes.ctp.
Podatność w produkcie PeopleSoft Enterprise CS Campus Community (komponent: Self-Service) wersji 9.2. Umożliwia atakującemu z niskimi uprawnieniami i dostępem sieciowym przez HTTP nieautoryzowany odczyt podzbioru danych, z możliwym wpływem na dodatkowe produkty.
W Arm Mbed TLS przed wersją 2.16.6 oraz 2.7.x przed wersją 2.7.15 odkryto problem, który pozwala atakującemu na odzyskanie długoterminowego klucza prywatnego ECDSA. Atak opiera się na pomiarach bocznych, które umożliwiają rekonstrukcję współrzędnych projektowych oraz wykorzystanie ataków do uzyskania klucza prywatnego.
W MISP przed wersją 2.4.124, plik app/Model/feed.php pozwala administratorom na wybór dowolnych plików do zaimportowania. Choć nie powoduje to ujawnienia pełnej zawartości pliku, może prowadzić do wycieku ciągów pasujących do określonych wzorców, takich jak hasła z pliku database.php czy hasła kluczy GPG z config.php.
MISP w wersji 2.4.122 zawiera podatność typu Persistent XSS w narzędziu popover do obserwacji. Problem ten dotyczy pliku app/View/Elements/Events/View/sighting_field.ctp.
MISP w wersji 2.4.122 zawiera podatność na refleksyjne XSS poprzez niesanitizowane parametry URL. Problem ten dotyczy pliku app/View/Users/statistics_orgs.ctp.
W MISP przed wersją 2.4.121 wystąpił problem z niewłaściwym zarządzaniem listami kontroli dostępu (ACL) dla wątków dyskusyjnych w plikach app/Controller/ThreadsController.php oraz app/Model/Thread.php.
W MISP przed wersją 2.4.121 odkryto problem, który polegał na braku kanonizacji nazw użytkowników podczas próby zablokowania serii nieprawidłowych żądań w ataku typu brute-force.
W MISP przed wersją 2.4.121 wystąpił problem z niewłaściwym zarządzaniem różnicą czasową między serwerem WWW a bazą danych, co mogło prowadzić do nieefektywnej ochrony przed atakami typu brute-force.
W bibliotece RubyGem excon przed wersją 0.71.0 występuje warunek wyścigu dotyczący trwałych połączeń. Przerwane połączenie (np. z powodu timeoutu) pozostawia dane w gnieździe, które są odczytywane przez kolejne żądania, zwracając treść poprzedniej odpowiedzi. Okno warunku wyścigu jest wąskie, co utrudnia celowe wykorzystanie podatności.
W MISP 2.4.118 w pliku app/Controller/TagsController.php użytkownicy mogą obejść zamierzone ograniczenia dotyczące tagowania danych.
Użycie twardo zakodowanego klucza kryptograficznego do szyfrowania wrażliwych danych w pliku kopii zapasowej konfiguracji FortiOS może pozwolić atakującemu z dostępem do pliku na odszyfrowanie danych, znając klucz. Dane obejmują hasła użytkowników (oprócz hasła administratora), frazy kluczy prywatnych i hasło High Availability (jeśli ustawione).
Na urządzeniach Hyundai Pay Kasse HK-1000 odkryto kanał boczny związany z wyświetlaczem OLED opartym na wierszach. Zużycie energii przez każdy cykl wyświetlacza zależy od liczby podświetlonych pikseli, co umożliwia częściowe odzyskanie zawartości wyświetlacza.
W bibliotece terminfo ncurses przed wersją 6.1-20191012 występuje odczyt poza dozwolonym obszarem pamięci sterty w funkcji fmt_entry w pliku tinfo/comp_hash.c.
W bibliotece terminfo ncurses przed wersją 6.1-20191012 występuje odczyt poza dozwolonym obszarem pamięci sterty w funkcji _nc_find_entry w pliku tinfo/comp_hash.c.
Wersje Arm Mbed TLS przed 2.19.0 oraz Arm Mbed Crypto przed 2.0.0, przy włączonym deterministycznym ECDSA, wykorzystują generator liczb losowych z niewystarczającą entropią do osłony, co może umożliwić atakującemu odzyskanie klucza prywatnego za pomocą ataków bocznych, jeśli ofiara podpisuje tę samą wiadomość wielokrotnie.
Red Lion Controls Crimson w wersji 3.0 i wcześniejszych oraz w wersji 3.1 przed wydaniem 3112.00 używa twardo zakodowanego hasła do szyfrowania chronionych plików w trakcie przesyłania i w spoczynku, co może umożliwić atakującemu dostęp do plików konfiguracyjnych.
MISP w wersjach przed 2.4.115 umożliwia eskalację uprawnień w określonych sytuacjach. Po aktualizacji do wersji 2.4.115, próby eskalacji są blokowane przez funkcję __checkLoggedActions.
W osTicket przed wersją 1.10.7 oraz w wersjach 1.12.x przed 1.12.1 odkryto podatność na trwały XSS w pliku setup/install.php. Brak sanitizacji danych wejściowych w polach imienia i nazwiska umożliwia wstrzyknięcie złośliwych zapytań, które są następnie wykonywane.