Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Produkt Inavitas Solar Log posiada podatność na nieautoryzowany atak SQL Injection.
W pliku sqclass.cpp w Squirrel w wersjach do 2.2.5 oraz 3.x do 3.1 występuje podatność na odczyt poza zakresem, co może prowadzić do wykonania kodu. W przypadku, gdy ofiara uruchomi skrypt Squirrel kontrolowany przez atakującego, możliwe jest wydostanie się z piaskownicy skryptu, nawet jeśli wszystkie niebezpieczne funkcje, takie jak operacje na systemie plików, zostały wyłączone.
W Joplin w wersji 2.8.8 odkryto podatność umożliwiającą wykonanie dowolnych poleceń systemowych. Atak może zostać przeprowadzony poprzez wstrzyknięcie spreparowanego ładunku do tytułów notatek.
Wtyczka Osamaesh WP Visitor Statistics w wersjach do 5.7 zawiera wiele podatności na nieautoryzowane wstrzyknięcia SQL (SQLi). Atakujący może wykorzystać te luki do manipulacji danymi w bazie danych.
Aplikacja Atlassian Questions For Confluence dla Confluence Server i Data Center tworzy konto użytkownika w grupie confluence-users o nazwie disabledsystemuser z zaszyfrowanym hasłem. Zdalny, nieuwierzytelniony atakujący znający to hasło może zalogować się do Confluence i uzyskać dostęp do wszystkich treści dostępnych dla użytkowników w grupie confluence-users. Konto jest tworzone podczas instalacji wersji 2.7.34, 2.7.35 i 3.0.2 aplikacji.
Zoho ManageEngine Password Manager Pro przed 12101 i PAM360 przed 5510 są podatne na nieuwierzytelnione zdalne wykonanie kodu. Podatność dotyczy również ManageEngine Access Manager Plus przed 4303, ale wymaga uwierzytelnienia.
Wtyczka Feed Them Social – dla Twittera, YouTube i innych, w wersjach do 2.9.8.5 włącznie, jest podatna na deserializację niezaufanego wejścia poprzez parametr 'fts_url'. Umożliwia to nieautoryzowanym atakującym wywoływanie plików za pomocą wrappera PHAR, co może prowadzić do wykonania złośliwych działań.
W dotCMS 3.0 do 22.02 w API ContentResource odkryto podatność, która pozwala atakującemu na obejście sanityzacji nazwy pliku w żądaniu multipart. Umożliwia to zapis pliku poza zamierzoną lokalizacją (directory traversal). Jeśli włączone jest anonimowe tworzenie treści, nieuwierzytelniony atakujący może przesłać plik wykonywalny, np. .jsp, co prowadzi do zdalnego wykonania kodu.
W Mbed TLS przed wersją 2.28.1 oraz 3.x przed wersją 3.2.0 odkryto problem, który pozwala nieautoryzowanemu atakującemu wysłać nieprawidłową wiadomość ClientHello do serwera DTLS, co prowadzi do nadmiernego odczytu bufora w pamięci heap do 255 bajtów. Może to skutkować awarią serwera lub ujawnieniem informacji w zależności od odpowiedzi błędów.
Gdy curl < 7.84.0 zapisuje ciasteczka, alt-svc i dane HSTS do plików lokalnych, wykonuje operację atomowo, finalizując ją przez zmianę nazwy z tymczasowej nazwy na docelową nazwę pliku. W tej operacji zmiany nazwy może przypadkowo *rozszerzyć* uprawnienia dla pliku docelowego, pozostawiając zaktualizowany plik dostępnym dla większej liczby użytkowników niż zamierzano.
W bibliotece OTFCC w wersji 0.10.4 odkryto podatność na przepełnienie bufora sterty po zwolnieniu pamięci (use-after-free) w pliku otfccbuild.c. Błąd może prowadzić do awarii programu lub potencjalnego wykonania dowolnego kodu.
W routerze Tenda AC23 w wersji oprogramowania v16.03.07.44 odkryto podatność na przepełnienie bufora w funkcji fromAdvSetMacMtuWan. Atakujący może wykorzystać ten błąd do zdalnego wykonania kodu lub spowodowania awarii urządzenia.
W routerze Tenda AC23 w wersji oprogramowania v16.03.07.44 wykryto podatność na przepełnienie stosu. Umożliwia ona zdalnemu atakującemu wykonanie dowolnego kodu na urządzeniu.
Wydanie OpenSSL 3.0.4 wprowadziło poważny błąd w implementacji RSA dla procesorów X86_64 obsługujących instrukcje AVX512IFMA. Ten problem powoduje, że implementacja RSA z 2048-bitowymi kluczami prywatnymi jest niepoprawna na takich maszynach, a podczas obliczeń dochodzi do uszkodzenia pamięci. W konsekwencji uszkodzenia pamięci atakujący może być w stanie wywołać zdalne wykonanie kodu na maszynie wykonującej obliczenia.
W Das U-Boot do wersji 2022.07-rc5 występuje błąd związany z podpisywaniem liczb całkowitych oraz wynikający z tego przepełnienie bufora na stosie w poleceniu 'i2c md', co umożliwia uszkodzenie wskaźnika adresu zwrotnego funkcji do_i2c_md.
Dell PowerScale OneFS w wersjach od 8.2.x do 9.3.0.x zawiera komunikat o błędzie, który ujawnia wrażliwe informacje. Administrator może wykorzystać tę podatność, co prowadzi do ujawnienia poufnych danych.
W Jorani v1.0 odkryto podatność na wstrzykiwanie SQL poprzez parametr id w pliku application/controllers/Leaves.php.
Podatność XML External Entity (XXE) w ASG-Zena Cross Platform Server Enterprise Edition 4.2.1 firmy ASG Technologies (Rocket Software Company) umożliwia atakującemu odczyt plików z serwera lub przeprowadzenie ataku typu SSRF poprzez przetworzenie złośliwego dokumentu XML.
W IOBit IOTransfer 4.3.1.1561 nieuwierzytelniony atakujący może wysyłać żądania GET i POST do Airserv, uzyskując dowolny odczyt/zapis całego systemu plików (z uprawnieniami administratora) na urządzeniu ofiary, co może prowadzić do kradzieży danych i zdalnego wykonania kodu.
W systemie Directory Management System v1.0 wykryto podatność na iniekcję SQL w parametrze fullname w pliku add-directory.php. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS