Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.07)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Mahara w wersjach 1.4.x przed 1.4.4 oraz 1.5.x przed 1.5.3 jest podatna na atak typu XXE, który umożliwia zdalnym atakującym odczyt dowolnych plików lub nawiązywanie połączeń TCP. Przykładem jest możliwość odczytu pliku config.php.
OpenStack Object Storage (swift) przed wersją 1.7.0 używa funkcji loads w module pickle w Pythonie w sposób niebezpieczny podczas przechowywania i ładowania metadanych w memcached. To umożliwia zdalnym atakującym wykonanie dowolnego kodu za pomocą spreparowanego obiektu pickle.
Nieokreślona podatność w komponencie Oracle Reports Developer w Oracle Fusion Middleware 11.1.1.4, 11.1.1.6 i 11.1.2.0 umożliwia zdalnym atakującym wpływ na poufność i integralność danych poprzez nieznane wektory związane z komponentem Report Server. Istnieją również twierdzenia, że funkcjonalność URLPARAMETER pozwala na zdalne odczytywanie i przesyłanie dowolnych plików.
Nieokreślona podatność w komponencie Java Runtime Environment (JRE) w Oracle Java SE 7 Update 7 i wcześniejszych wersjach umożliwia zdalnym atakującym wpływ na poufność, integralność i dostępność, związana z JAX-WS.
Implementacja komunikacji międzyprocesowej (IPC) w Google Chrome przed wersją 22.0.1229.94 pozwala zdalnym atakującym na obejście zamierzonych ograniczeń piaskownicy i zapis do dowolnych plików, wykorzystując dostęp do procesu renderera. Jest to inna podatność niż CVE-2012-5112.
Wielokrotne podatności w komponencie Java Runtime Environment (JRE) w Oracle Java SE 7 Update 6 i wcześniejszych wersjach umożliwiają zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany aplet, który omija ograniczenia SecurityManager. Wykorzystuje to metodę forName do uzyskania dostępu do zastrzeżonych klas oraz refleksję do modyfikacji prywatnych pól.
Skrypt instalacyjny w Katello 1.0 i wcześniejszych wersjach nie generuje poprawnie wartości Application.config.secret_token, co powoduje, że każda domyślna instalacja ma ten sam token. Umożliwia to zdalnym atakującym uwierzytelnienie się w interfejsie webowym CloudForms System Engine jako dowolny użytkownik poprzez stworzenie ciasteczka z użyciem domyślnego tokena.
TikiWiki CMS/Groupware w wersjach przed 6.7 LTS i 8.4 pozwala zdalnym atakującym na wykonanie dowolnego kodu PHP poprzez spreparowany obiekt zserializowany w określonych parametrach. W szczególności dotyczy to parametrów w plikach tiki-print_multi_pages.php, tiki-print_pages.php oraz tiki-send_objects.php.
W podatności CVE-2012-1891 występuje przepełnienie bufora w stercie w Microsoft Data Access Components (MDAC) 2.8 SP1 i SP2 oraz Windows Data Access Components (WDAC) 6.0. Atakujący zdalnie mogą wykonać dowolny kod poprzez spreparowane dane XML, które powodują dostęp do niezainicjowanego obiektu w pamięci.
Nieokreślona podatność w składniku Java Runtime Environment (JRE) w Oracle Java SE 7 aktualizacja 4 i wcześniejszych, 6 aktualizacja 32 i wcześniejszych, 5 aktualizacja 35 i wcześniejszych oraz 1.4.2_37 i wcześniejszych, umożliwia zdalnym atakującym wpływanie na poufność, integralność i dostępność poprzez nieznane wektory związane z Hotspot.
Nieokreślona podatność w komponencie Java Runtime Environment (JRE) w Oracle Java SE 7 Update 2 i wcześniejszych, 6 Update 30 i wcześniejszych oraz 5.0 Update 33 i wcześniejszych, pozwala zdalnym atakującym wpływać na poufność, integralność i dostępność poprzez nieznane wektory związane z współbieżnością. Istnieją sugestie, że problem wynika z implementacji klasy AtomicReferenceArray, która nie zapewnia, że tablica jest typu Object[].
Implementacje IPv4 i IPv6 w jądrze Linuxa przed wersją 3.1 wykorzystują zmodyfikowany algorytm MD4 do generowania numerów sekwencyjnych oraz wartości identyfikacji fragmentów. Umożliwia to zdalnym atakującym łatwiejsze przewidywanie tych wartości i wysyłanie spreparowanych pakietów.
Wersje Atlassian JIRA przed 5.0.1, Confluence przed 3.5.16, 4.0 przed 4.0.7, 4.1 przed 4.1.10, FishEye i Crucible przed 2.5.8, 2.6 przed 2.6.8, 2.7 przed 2.7.12, Bamboo przed 3.3.4 i 3.4.x przed 3.4.5 oraz Crowd przed 2.0.9, 2.1 przed 2.1.2, 2.2 przed 2.2.9, 2.3 przed 2.3.7 i 2.4 przed 2.4.1 nieprawidłowo ograniczają możliwości zewnętrznych parserów XML, co pozwala zdalnym atakującym na odczyt dowolnych plików lub spowodowanie odmowy usługi (zużycie zasobów) za pomocą nieokreślonych wektorów.
W PHP przed wersją 5.3.12 oraz 5.4.x przed wersją 5.4.2, w przypadku konfiguracji jako skrypt CGI, występuje problem z obsługą ciągów zapytań, które nie zawierają znaku =. To umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez umieszczanie opcji wiersza poleceń w ciągu zapytań.
Proces VMX w VMware ESXi 3.5 do 4.1 oraz ESX 3.5 do 4.1 nieprawidłowo obsługuje polecenia RPC, co pozwala użytkownikom systemu gościa na spowodowanie odmowy usługi (przepełnienie pamięci i awaria procesu) lub potencjalne wykonanie dowolnego kodu na systemie gospodarza za pomocą wskaźników danych.
Nieokreślona podatność w komponencie Oracle WebCenter Forms Recognition w Oracle Fusion Middleware 10.1.3.5 umożliwia zdalnym atakującym wpływanie na poufność, integralność i dostępność poprzez nieznane wektory związane z Designerem, różniące się od podatności CVE-2012-1709.
Modicon Quantum PLC firmy Schneider Electric nie wykonuje uwierzytelniania między oprogramowaniem Unity a PLC, co umożliwia zdalnym atakującym spowodowanie odmowy usługi lub potencjalne wykonanie dowolnego kodu za pomocą nieokreślonych wektorów.
Adobe Reader i Acrobat przed wersją 9.5 oraz 10.x przed wersją 10.1.2 na systemach Windows i Mac OS X umożliwiają atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi (uszkodzenie pamięci) poprzez nieokreślone wektory. Jest to inna podatność niż CVE-2011-4370 i CVE-2011-4372.
Adobe Reader i Acrobat przed wersją 9.5 oraz 10.x przed wersją 10.1.2 na systemach Windows i Mac OS X umożliwiają atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi (uszkodzenie pamięci) poprzez nieokreślone wektory. Jest to inna podatność niż CVE-2011-4370 i CVE-2011-4373.
Komponent ExceptionDelegator w Apache Struts przed wersją 2.2.3.1 interpretuje wartości parametrów jako wyrażenia OGNL podczas obsługi wyjątków związanych z niedopasowaniem typów danych właściwości. To umożliwia zdalnym atakującym wykonanie dowolnego kodu Java poprzez odpowiednio przygotowany parametr.