Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Router Mercusys AC12G (EU) V1 z firmware AC12G(EU)_V1_200909 udostępnia 15 z 18 akcji UPnP IGD bez uwierzytelnienia na porcie 1900, w tym AddPortMapping i GetExternalIPAddress. UPnP jest domyślnie włączone przez interfejs admina, co pozwala każdemu nieuwierzytelnionemu urządzeniu w sieci LAN na tworzenie dowolnych reguł przekierowania portów i dostęp do statystyk ruchu WAN.
Luka w Cisco Unified Communications Manager (Unified CM) i Unified CM SME umożliwia nieuwierzytelnionemu zdalnemu atakującemu przeprowadzenie ataku SSRF. Atakujący może zapisywać pliki w systemie operacyjnym, co może prowadzić do eskalacji uprawnień do roota. Wymagane jest włączenie usługi WebDialer (domyślnie wyłączona).
W jupyter-server w wersjach od 1.12.0 do 2.17.0 występuje luka umożliwiająca ominięcie walidacji pochodzenia CORS przy użyciu konfiguracji `allow_origin_pat`. Problem wynika z użycia `re.match()`, które dopasowuje tylko początek ciągu, co pozwala domenom atakującego (np. `trusted.example.com.evil.com`) przejść walidację dla wzorców przeznaczonych dla `trusted.example.com`. Luka dotyczy nagłówków CORS, połączeń WebSocket, walidacji referera i przekierowań logowania, co może umożliwić ataki phishingowe, zdalne wykonanie kodu i nieautoryzowany dostęp do wrażliwych odpowiedzi API.
GLPI to darmowe oprogramowanie do zarządzania aktywami IT. Począwszy od wersji 0.78 do 10.0.25 i 11.0.7, uwierzytelniony użytkownik z uprawnieniami do odczytu konfiguracji może odczytać konkretny obiekt zasobu.
GLPI od wersji 10.0.4 do 10.0.24 umożliwia technikowi przechowywanie ładunku XSS w zakładce zablokowanego zasobu. Ładunek wykonuje się, gdy administrator przegląda tę zakładkę.
Podatność w GLPI (wersje od 9.5.0 do 10.0.24 i 11.0.6) umożliwia użytkownikom z niskimi uprawnieniami, mającym dostęp do planowania, usunięcie dowolnego obiektu w systemie.
W systemie GLPI (oprogramowanie do zarządzania IT) od wersji 0.78 do 10.0.24 i 11.0.6, technik może usuwać dowolne pliki z systemu plików, jeśli serwer WWW ma do nich prawa zapisu.
Niedomiar liczby całkowitej w funkcji BGPUpdate.DecodeFromBytes w pliku /bgp/bgp.go narzędzia gobgp w wersji v4.3.0. Atakujący może spowodować odmowę usługi poprzez wysłanie spreparowanej wiadomości BGP UPDATE.
Wykryto podatność na przejęcie DLL w Wassimulator (GitHub) CactusViewer v2.3.0, która pozwala atakującym na eskalację uprawnień i wykonanie dowolnego kodu poprzez spreparowaną bibliotekę DLL.
Brak walidacji wejścia w funkcji rfapiRibBi2Ri() (rfapi_rib.c) w FRRouting (FRR) od wersji stable/10.0 do stable/10.6 umożliwia atakującym spowodowanie odmowy usługi (DoS) poprzez dostarczenie spreparowanej wiadomości BGP UPDATE.
Podatność polegająca na dołączaniu funkcjonalności z niezaufanej sfery kontroli w komponencie MinGW DLL w Synology Hyper Backup Explorer przed wersją 3.0.1-0156. Lokalny użytkownik może wykonać dowolny kod.
Podatność polegająca na dołączaniu funkcjonalności z niezaufanej sfery kontroli w konfiguracji OpenSSL w Synology Active Backup for Business Recovery Media Creator przed wersją 2.5.0-2081. Lokalny użytkownik może wykonać dowolny kod.
Zdalny atakujący z uprawnieniami użytkownika może wykorzystać przepełnienie bufora stosu w gdv-serverconfig do uzyskania pełnego dostępu do systemu jako root.
Zdalny atakujący z uprawnieniami użytkownika może wykorzystać przepełnienie bufora stosu w dali-devconfig, aby uzyskać pełny dostęp do systemu jako root.
Zdalny atakujący z uprawnieniami użytkownika może wykorzystać przepełnienie bufora stosu, aby uzyskać pełny dostęp do systemu jako root.
Podatność w metodzie ugw-logread pozwala zdalnemu atakującemu z uprawnieniami użytkownika na dostęp do dowolnych plików lokalnych z powodu niewystarczającej walidacji danych wejściowych.
Metoda ugw-logstop umożliwia zdalnemu atakującemu z uprawnieniami użytkownika zakończenie dowolnych procesów z powodu niewystarczającej walidacji danych wejściowych dostarczonych przez użytkownika.
Metoda ugw-restoreinfo umożliwia zdalnemu atakującemu z uprawnieniami użytkownika usunięcie dowolnych lokalnych plików z powodu niewystarczającej walidacji danych wejściowych kontrolowanych przez użytkownika.
Metoda ugw-restore umożliwia zdalnemu atakującemu z uprawnieniami użytkownika usunięcie dowolnych lokalnych plików z powodu niewystarczającej walidacji danych wejściowych kontrolowanych przez użytkownika.
Metoda ugw-logstop umożliwia zdalnemu atakującemu z uprawnieniami użytkownika usunięcie dowolnych lokalnych plików z powodu niewystarczającej walidacji danych wejściowych kontrolowanych przez użytkownika.