Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W urządzeniach Tenda F1202 V1.0BR_V1.2.0.20(408) oraz FH1202_V1.2.0.19_EN odkryto przepełnienie stosu w parametrze strony w funkcji frmL7ProtForm.
W urządzeniach Tenda F1202 V1.0BR_V1.2.0.20(408) oraz FH1202_V1.2.0.19_EN odkryto przepełnienie stosu w parametrze strony w funkcji fromRouteStatic.
Biblioteka vm2, zaawansowane środowisko sandbox dla Node.js, zawiera krytyczne problemy bezpieczeństwa i nie powinna być używana w produkcji. W wersjach do 3.9.19 możliwe jest obejście sanitizacji handlerów `Promise`, co pozwala atakującym na ucieczkę z sandboxa i uruchomienie dowolnego kodu.
W DedeCMS v5.7.109 występuje podatność na przesyłanie dowolnych plików w /dede/file_manage_control.php, która pozwala atakującym na wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku PHP.
W podatności CVE-2023-35070 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wykonania ataku typu SQL Injection w aplikacji VegaGroup Web Collection.
W podatności CVE-2023-2957 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co pozwala na atak typu SQL Injection w aplikacji Lisa Software Florist Site. Problem dotyczy wersji przed 3.0.
Podatność CVE-2023-1547 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL poprzez manipulację parametrami SOAP oraz wykonania poleceń z linii komend. Problem ten dotyczy wersji Parkmatik przed 02.01-a51.
Wtyczka rejestracji użytkowników dla WordPressa jest podatna na przesyłanie dowolnych plików z powodu twardo zakodowanego klucza szyfrującego oraz braku walidacji typu pliku w funkcji 'ur_upload_profile_pic' w wersjach do 3.0.2 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie subskrybenta lub wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.
ModSecurity Core Rule Set w wersji do 3.3.4 nie wykrywa wielu nagłówków Content-Type w niektórych platformach, co może umożliwić atakującym ominięcie WAF przy użyciu spreparowanego ładunku. Problem ten występuje, gdy aplikacja webowa polega tylko na ostatnim nagłówku Content-Type.
acme.sh w wersjach przed 3.0.6 wykonuje dowolne polecenia z zdalnego serwera za pomocą eval, co zostało wykorzystane w atakach w czerwcu 2023 roku.
Aplikacja SonicWall GMS i Analytics CAS Web Services wykorzystuje statyczne wartości do uwierzytelniania bez odpowiednich kontroli, co prowadzi do podatności na obejście uwierzytelniania. Problem dotyczy wersji GMS: 9.3.2-SP1 i wcześniejszych oraz Analytics: 2.5.0.4-R7 i wcześniejszych.
Podatność w SonicWall GMS i Analytics umożliwia nieautoryzowanemu atakującemu przesyłanie plików do ograniczonej lokalizacji, która nie jest kontrolowana przez atakującego. Problem dotyczy wersji GMS: 9.3.2-SP1 i wcześniejszych oraz Analytics: 2.5.0.4-R7 i wcześniejszych.
W podatności CVE-2023-34132 występuje wykorzystanie hasha hasła zamiast hasła do uwierzytelniania w SonicWall GMS i Analytics, co umożliwia ataki typu Pass-the-Hash. Problem dotyczy wersji GMS: 9.3.2-SP1 i wcześniejszych oraz Analytics: 2.5.0.4-R7 i wcześniejszych.
Podatność na wstrzykiwanie poleceń w routerach bezprzewodowych ELECOM i LOGITEC pozwala zdalnemu, nieautoryzowanemu atakującemu na wykonanie dowolnego polecenia poprzez wysłanie specjalnie skonstruowanego żądania do określonego portu strony zarządzania webowego.
SonicWall GMS i Analytics wykorzystują przestarzały algorytm szyfrowania Tiny Encryption Algorithm (TEA) z twardo zakodowanym kluczem do szyfrowania danych wrażliwych. Problem dotyczy wersji GMS: 9.3.2-SP1 i wcześniejszych oraz Analytics: 2.5.0.4-R7 i wcześniejszych.
W pliku konfiguracyjnym SonicWall GMS i Analytics znajdują się twardo zakodowane dane uwierzytelniające aplikacji Tomcat. Problem ten dotyczy wersji GMS: 9.3.2-SP1 i wcześniejszych oraz Analytics: 2.5.0.4-R7 i wcześniejszych.
Mechanizm uwierzytelniania w SonicWall GMS i Analytics Web Services miał niewystarczające kontrole, co umożliwia obejście uwierzytelniania. Problem ten dotyczy wersji GMS: 9.3.2-SP1 i wcześniejszych oraz Analytics: 2.5.0.4-R7 i wcześniejszych.
Mechanizm uwierzytelniania w PowerShield SNMP Web Pro 1.1 zawiera podatność, która pozwala nieautoryzowanym użytkownikom na bezpośredni dostęp do skryptów CGI bez odpowiedniej identyfikacji lub autoryzacji. Problem wynika z braku właściwej weryfikacji ciasteczek.
System Zarządzania Hodowlą Świń Online w wersji 1.0 jest podatny na atak związany z przesyłaniem plików. Nieautoryzowany użytkownik może przesłać plik PHP, wysyłając żądanie POST do 'add-pig.php'.
System Zarządzania Hodowlą Świń Online w wersji 1.0 jest podatny na atak typu SQL Injection, co może prowadzić do nieautoryzowanego dostępu do bazy danych.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS