Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność pozwala na ominięcie uwierzytelniania w FortiOS, FortiProxy i FortiSwitchManager. Nieuwierzytelniony atakujący może wykonywać operacje na interfejsie administracyjnym za pomocą specjalnie spreparowanych żądań HTTP lub HTTPS.
W urządzeniu GX Group GPON ONT Titanium 2122A w wersji T2122-V1.26EXL wykryto podatność umożliwiającą eskalację uprawnień poprzez atak brute force na stronie logowania. Brak mechanizmów ograniczających liczbę nieudanych prób logowania pozwala atakującemu na wielokrotne testowanie haseł.
W produkcie WiJungle NGFW w wersji U250 odkryto brak ograniczenia szybkości żądań, co umożliwia atakującemu przeprowadzenie ataku brute force na hasło administratora i przejęcie konta.
PJSIP to darmowa i otwarta biblioteka komunikacji multimedialnej, która może błędnie przełączać się z transportu mediów SRTP na podstawowy RTP podczas restartu SRTP. To prowadzi do wysyłania mediów w sposób niebezpieczny.
W systemie Bus Pass Management System 1.0 wykryto podatność na wstrzykiwanie SQL w parametrze searchdata w skrypcie /buspassms/download-pass.php. Atakujący może wykorzystać tę lukę do wykonania dowolnych zapytań SQL na bazie danych.
Niewystarczająca walidacja danych w Mojo w Google Chrome przed 105.0.5195.102 pozwalała zdalnemu atakującemu, który przejął proces renderowania, na potencjalne wyjście z piaskownicy poprzez spreparowaną stronę HTML.
W Zimbra Collaboration (ZCS) 8.8.15 i 9.0 wykryto lukę, która pozwala atakującemu przesłać dowolne pliki przez amavis z wykorzystaniem obejścia cpio (rozpakowanie do /opt/zimbra/jetty/webapps/zimbra/public). Może to prowadzić do nieuprawnionego dostępu do kont innych użytkowników. Zimbra zaleca używanie pax zamiast cpio.
Podatność polegająca na wstrzyknięciu kodu w User Portal i Webadmin pozwala zdalnemu atakującemu na wykonanie kodu w Sophos Firewall w wersji v19.0 MR1 i starszych.
W systemie Simple Task Managing System v1.0 od SourceCodester wykryto podatność na wstrzykiwanie SQL w parametrze bookId w pliku changeStatus.php. Atakujący może manipulować tym parametrem, aby wykonać nieautoryzowane zapytania do bazy danych.
System biblioteczny KOHA, rozwijany przez Parantez Teknoloji, przed wersją 19.05.03 zawierał podatność na nieautoryzowany atak SQL Injection. Problem został naprawiony w wersji 19.05.03.01.
Moduł śledzenia/prezentacji akredytacji oprogramowania baz danych przed wersją 2 zawiera podatność na nieautoryzowaną injekcję SQL. Problem ten został naprawiony w wersji 2.
W SmartVista SVFE2 w wersji 2.2.22 wykryto podatność na wstrzykiwanie SQL przez parametr UserForm:j_id90 w ścieżce /SVFE2/pages/feegroups/mcc_group.jsf. Atakujący może manipulować tym parametrem, aby wykonać nieautoryzowane zapytania do bazy danych.
Produkt Kayrasoft przed wersją 2 zawiera podatność na nieautoryzowany atak SQL Injection. Problem został naprawiony w wersji 2.
Pakiet Linux-PAM w wersji przed 1.5.2-6.1 dla openSUSE Tumbleweed pozwala na obejście uwierzytelniania przy logowaniu przez SSH. Moduł pam_access.so nie ogranicza poprawnie logowania, gdy użytkownik próbuje połączyć się z adresu IP, którego nie można rozwiązać przez DNS — w takiej sytuacji użytkownik z zablokowanym dostępem nadal może uzyskać dostęp do maszyny.
Plik /vendor/htmlawed/htmlawed/htmLawedTest.php w module htmlawed dla GLPI do wersji 10.0.2 pozwala na wstrzyknięcie kodu PHP.
DIAEnergy, system zarządzania energią przemysłową firmy Delta Industrial Automation, jest podatny na CWE-798, czyli użycie wbudowanych poświadczeń. Wersje przed 1.9.03.009 mają tę podatność, co umożliwia przesyłanie plików wykonywalnych do określonych katalogów przy użyciu wbudowanej autoryzacji typu bearer, co prowadzi do zdalnego wykonania kodu.
Podatność w komponencie post_applogin.php oprogramowania Syncovery 9 dla Linux w wersji 9.47x i niższych umożliwia atakującym eskalację uprawnień poprzez tworzenie spreparowanych tokenów sesji.
W bibliotece stealjs w wersji 2.2.4 wykryto podatność na zanieczyszczenie prototypu (prototype pollution) w funkcji convertLater w pliku npm-convert.js. Problem występuje przez zmienną requestedVersion, która może być manipulowana przez atakującego.
Podatność typu externally controlled reference to a resource została zgłoszona w QNAP NAS z Photo Station. Jeśli zostanie wykorzystana, może pozwolić atakującemu na modyfikację plików systemowych. Podatność została naprawiona w określonych wersjach Photo Station dla różnych wersji QTS.
Podatność CVE-2022-34882 dotyczy Hitachi RAID Manager Storage Replication Adapter i pozwala zdalnym uwierzytelnionym użytkownikom na uzyskanie wrażliwych informacji poprzez komunikaty o błędach. Problem dotyczy wersji 02.01.04 przed 02.03.02 oraz 02.05.00 przed 02.05.01 na systemach Windows i Docker.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS