Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność na przesyłanie plików w Umbraco Forms v.8.7.0 umożliwia nieuwierzytelnionym atakującym wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku web.config i pliku asp.
Podatność w zaporze ogniowej BG-TEK COSLAT związana z niewłaściwym przetwarzaniem parametrów umożliwia zdalne włączenie kodu. Dotyczy to wersji COSLAT Firewall od 5.24.0.R.20180630 do przed 5.24.0.R.20210727.
W curl w wersjach przed v7.88.0 występuje podatność polegająca na przesyłaniu poufnych informacji w postaci czystego tekstu, która może powodować awarię funkcji HSTS przy sekwencyjnym żądaniu wielu adresów URL. Mechanizm HSTS jest ignorowany przy kolejnych transferach w tej samej linii poleceń, ponieważ stan nie jest prawidłowo przenoszony.
W podatności CVE-2022-2504 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wykonania ataku typu SQL Injection w oprogramowaniu SDD-Baro przed wersją 2.8.432.
W podatności CVE-2023-0939 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co pozwala na atak typu SQL Injection w oprogramowaniu NTN Information Technologies Online Services Software w wersjach przed 1.17.
Podatność w aplikacji Chamberlain myQ na iOS w wersji v5.222.0.32277 wynika z braku ograniczenia szybkości żądań do endpointu resetowania hasła. Umożliwia to atakującym przeprowadzenie ataku brute-force w celu przejęcia kont użytkowników.
MISP w wersjach przed 2.4.166 pozwala użytkownikom na niebezpieczne użycie parametru 'order', co może prowadzić do nieautoryzowanego dostępu do danych.
W pliku app/Controller/Component/IndexFilterComponent.php w MISP przed wersją 2.4.167 występuje błąd w obsłudze ordered_url_params oraz additional_delimiters.
IBM Aspera Faspex 4.4.2 Patch Level 1 i wcześniejsze może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu w systemie z powodu błędu deserializacji YAML. Wysyłając specjalnie spreparowane wywołanie przestarzałego API, atakujący może wykorzystać tę podatność do wykonania dowolnego kodu. Przestarzałe wywołanie API zostało usunięte w Faspex 4.4.2 PL2.
Podatność zdalnego wykonania kodu w usłudze Windows iSCSI Discovery Service. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu.
Podatność zdalnego wykonania kodu w programie Microsoft Word. Atakujący może wykorzystać tę podatność do wykonania dowolnego kodu w kontekście zalogowanego użytkownika.
Podatność zdalnego wykonania kodu w Microsoft Protected Extensible Authentication Protocol (PEAP). Atakujący może wykorzystać ją do wykonania kodu w kontekście usługi.
Podatność zdalnego wykonania kodu w Microsoft Protected Extensible Authentication Protocol (PEAP). Atakujący może wykorzystać ją do wykonania kodu w kontekście usługi.
Podatność zdalnego wykonania kodu w Microsoft Protected Extensible Authentication Protocol (PEAP). Umożliwia atakującemu wykonanie dowolnego kodu.
W systemie zamówień żywności w wersji 2.0 występuje podatność na przesyłanie dowolnych plików w komponencie /fos/admin/ajax.php, co pozwala atakującym na wykonanie dowolnego kodu za pomocą spreparowanego pliku PHP.
Ruckus Wireless Admin do wersji 10.4 pozwala na zdalne wykonanie kodu poprzez nieuwierzytelnione żądanie HTTP GET, co pokazano na przykładzie /forms/doLogin?login_username=admin&password=password$(curl substring.
W oprogramowaniu ureport w wersji 2.2.9 odkryto podatność na przemieszczanie się po katalogach w funkcji usuwania plików. Umożliwia ona atakującemu usunięcie dowolnych plików w systemie.
W podatności CVE-2022-4557 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie Smartpower Web.
Podatność na niewłaściwą walidację danych wejściowych w systemie Smartpower Web firmy Group Arge Energy and Control Systems umożliwia lokalne dołączenie plików PHP. Problem dotyczy wersji Smartpower Web przed 23.01.01.
Funkcja sprintf w bibliotece GNU C Library (glibc) 2.37 zawiera przepełnienie bufora (zapis poza zakresem) w niektórych sytuacjach, nawet przy poprawnie dobranym rozmiarze bufora. Może dojść do zapisu poza granice bufora docelowego podczas formatowania liczby z separatorami tysięcy i dopełnieniem, gdy bufor ma dokładnie rozmiar potrzebny do reprezentacji liczby jako ciągu znaków.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS