Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Connected IO w wersji 2.1.0 i wcześniejszych ma podatność na wstrzyknięcie poleceń systemowych w komendzie ustawienia zapory, co umożliwia atakującym wykonywanie dowolnych poleceń systemowych na urządzeniach.
Connected IO w wersji 2.1.0 i wcześniejszych ma podatność na wstrzykiwanie argumentów w komunikacie polecenia iptables w swoim protokole komunikacyjnym, co umożliwia atakującym wykonywanie dowolnych poleceń systemowych na urządzeniach.
Connected IO w wersji 2.1.0 i wcześniejszych ma podatność na przepełnienie bufora na stosie w swoim protokole komunikacyjnym, co umożliwia atakującym przejęcie kontroli nad urządzeniami.
Connected IO w wersji 2.1.0 i wcześniejszych posiada polecenie w swoim protokole komunikacyjnym, które pozwala platformie zarządzającej na określenie dowolnych poleceń systemowych do wykonania przez urządzenia. Atakujący mogą wykorzystać tę niebezpieczną funkcjonalność do wydawania poleceń systemowych, co prowadzi do zdalnego wykonania dowolnych poleceń.
Connected IO w wersji 2.1.0 i wcześniejszych przechowuje hasła oraz dane uwierzytelniające w formacie tekstu jawnego, co umożliwia atakującym ich wykradzenie i wykorzystanie do podszywania się pod urządzenia.
Connected IO w wersji 2.1.0 i wcześniejszych używa twardo zakodowanej pary nazwy użytkownika i hasła w oprogramowaniu urządzenia do komunikacji za pomocą MQTT. Atakujący, który uzyska dostęp do tych danych, może łączyć się z brokerem MQTT i wysyłać wiadomości w imieniu urządzeń, podszywając się pod nie.
PaperCut NG i PaperCut MF przed wersją 22.1.3 na systemie Windows umożliwiają atakującym przejście przez ścieżki, co pozwala na przesyłanie, odczytywanie lub usuwanie dowolnych plików. Może to prowadzić do zdalnego wykonania kodu, gdy integracja z urządzeniami zewnętrznymi jest włączona.
Sydent, serwer tożsamości dla protokołu komunikacyjnego Matrix, przed wersją 2.5.6 nie weryfikował certyfikatów serwerów SMTP przy wysyłaniu e-maili z użyciem TLS. To naraża e-maile Sydent na przechwycenie w ataku typu man-in-the-middle (MITM).
Metabase, platforma analityczna typu open-source, przed wersjami 0.43.7.3, 0.44.7.3, 0.45.4.3, 0.46.6.4, 1.43.7.3, 1.44.7.3, 1.45.4.3 i 1.46.6.4, zawierała podatność, która mogła umożliwić zdalne wykonanie kodu na serwerze Metabase. Problem wynikał z możliwości wstrzyknięcia kodu do łańcucha połączenia z bazą danych H2, co mogło prowadzić do wykonania tego kodu przez proces działający wbudowanej bazy danych.
Klient Java Aerospike przed wersjami 7.0.0, 6.2.0, 5.2.0 i 4.5.0 deserializuje obiekty Java z odpowiedzi serwera bez odpowiedniej walidacji. Atakujący mogą wykorzystać tę lukę, aby wstrzyknąć złośliwy kod, co może prowadzić do przejęcia kontroli nad maszyną kliencką.
W wersji django-sspanel v2022.2.2 odkryto podatność na zdalne wykonanie poleceń (RCE) w komponencie sspanel/admin_view.py w metodzie GoodsCreateView._post.
W oprogramowaniu PHPJabbers Cleaning Business Software w wersji 1.0 brak weryfikacji przy zmianie adresu e-mail i/lub hasła na stronie profilu umożliwia zdalnym atakującym przejęcie kont.
W systemie PHP Jabbers Class Scheduling System w wersji 1.0 brak weryfikacji przy zmianie adresu e-mail i/lub hasła na stronie profilu umożliwia zdalnym atakującym przejęcie kont.
PHPJabbers Availability Booking Calendar w wersji 5.0 jest podatny na przejęcie konta użytkownika poprzez zmianę nazwy użytkownika lub hasła.
PHP Jabbers Availability Booking Calendar w wersji 5.0 jest podatny na nieprawidłowe zarządzanie dostępem.
PHPJabbers Availability Booking Calendar w wersji 5.0 jest podatny na niewłaściwą kontrolę dostępu z powodu nieprawidłowej walidacji wejścia parametru hasła.
W wersji ai-dev aitable przed v0.2.2 odkryto podatność na wstrzyknięcie SQL w komponencie /includes/ajax.php.
Podatność w ZKTeco BioTime 8.5.5 do 9.0.1 przed łatką z 2024-06-17 pozwala uwierzytelnionym atakującym na tworzenie lub nadpisywanie dowolnych plików na serwerze. Wykorzystuje ona błąd path traversal w polu Username oraz brak sanityzacji danych wejściowych w polu SSH Key w endpointach /base/sftpsetting/.
W wersjach przed 0.1.3 biblioteki ai-dev aioptimizedcombinations odkryto podatność na wstrzyknięcie SQL w komponencie /includes/ajax.php.
W wersji 4.5.5 Dango-Translator zidentyfikowano podatność na zdalne wykonanie poleceń (RCE) poprzez komponent app/config/cloud_config.json.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS