Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Komponent Service Appliance w Mitel MiVoice Connect do wersji 19.2 SP3 zawiera podatność na zdalne wykonanie kodu z powodu nieprawidłowej walidacji danych. Dotyczy to urządzeń SA 100, SA 400 i Virtual SA.
W systemie rezerwacji obiektów sportowych SCBS Online Sports Venue Reservation System v1.0 wykryto podatność na lokalne dołączanie plików (LFI). Umożliwia ona atakującemu wykonanie dowolnego kodu poprzez spreparowany plik PHP.
W MISP przed wersją 2.4.158 odkryto problem związany z deserializacją PHAR.
Podatność w produkcie Oracle Application Development Framework (ADF) firmy Oracle Fusion Middleware (komponent ADF Faces) w wersjach 12.2.1.3.0 i 12.2.1.4.0. Łatwo wykorzystywalna podatność pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez HTTP na przejęcie kontroli nad ADF. CVSS 3.1 Base Score 9.8 (wpływ na poufność, integralność i dostępność).
Wtyczka SiteGround Security dla WordPressa jest podatna na obejście uwierzytelniania, co pozwala nieautoryzowanym użytkownikom zalogować się jako użytkownicy administracyjni. Problem wynika z braku weryfikacji tożsamości podczas początkowej konfiguracji 2FA, co umożliwia nieautoryzowanym użytkownikom skonfigurowanie 2FA dla oczekujących kont.
Niektóre produkty WSO2 umożliwiają nieograniczone przesyłanie plików, co prowadzi do zdalnego wykonania kodu. Atakujący musi użyć punktu końcowego /fileupload z sekwencją directory traversal w Content-Disposition, aby dotrzeć do katalogu pod web root, np. ../../../../repository/deployment/server/webapps. Dotyczy to m.in. WSO2 API Manager 2.2.0-4.0.0, WSO2 Identity Server 5.2.0-5.11.0, WSO2 Identity Server Analytics 5.4.0-5.6.0, WSO2 Identity Server as Key Manager 5.3.0-5.11.0, WSO2 Enterprise Integrator 6.2.0-6.6.0, WSO2 Open Banking AM 1.4.0-2.0.0 i WSO2 Open Banking KM 1.4.0-2.0.0.
JAI-EXT to projekt open-source rozszerzający API Java Advanced Imaging (JAI). Programy umożliwiające dostarczenie skryptu Jiffle przez żądanie sieciowe mogą prowadzić do zdalnego wykonania kodu, ponieważ skrypt Jiffle jest kompilowany do kodu Java przez Janino i wykonywany. W szczególności dotyczy to projektu GeoServer. Wersja 1.2.22 zawiera poprawkę wyłączającą możliwość wstrzyknięcia złośliwego kodu do wynikowego skryptu.
W module przesyłania plików Ghost CMS w wersji 4.42.0 występuje podatność umożliwiająca dowolne przesyłanie plików, co może pozwolić atakującemu na wykonanie dowolnego kodu za pomocą spreparowanego pliku. Producent zaznacza, że zgodnie z dokumentacją bezpieczeństwa, pliki mogą być przesyłane i publikowane wyłącznie przez zaufanych użytkowników, co jest zamierzone.
Podatność na dowolne przesyłanie plików w module przesyłania plików Skipper v0.9.1 umożliwia atakującym wykonanie dowolnego kodu za pomocą spreparowanego pliku.
Podatność w komponencie przesyłania plików ButterCMS v1.2.8 umożliwia atakującym przesłanie spreparowanego pliku SVG, co może prowadzić do wykonania dowolnego kodu na serwerze.
VMware Workspace ONE Access i Identity Manager zawierają podatność na zdalne wykonanie kodu z powodu wstrzyknięcia szablonu po stronie serwera. Złośliwy aktor z dostępem sieciowym może wywołać wstrzyknięcie szablonu, co może prowadzić do zdalnego wykonania kodu.
Podatność SQL Injection w systemie zarządzania energią budynków KevinLAB Inc Building Energy Management System 4ST BEMS 1.0.0. Atakujący może wstrzyknąć złośliwe zapytania SQL przez parametr input_id w żądaniu POST do pliku index.php.
Aplikacja Spring MVC lub Spring WebFlux uruchomiona na JDK 9+ może być podatna na zdalne wykonanie kodu (RCE) poprzez mechanizm wiązania danych. Exploit wymaga uruchomienia aplikacji na Tomcat jako wdrożenie WAR; aplikacje jako wykonywalny jar Spring Boot nie są podatne na ten konkretny exploit, ale natura podatności jest bardziej ogólna.
W Spring Cloud Function w wersjach 3.1.6, 3.2.2 i starszych nieobsługiwanych, przy korzystaniu z funkcji routingu użytkownik może dostarczyć specjalnie spreparowany SpEL jako wyrażenie routingu, co może prowadzić do zdalnego wykonania kodu i dostępu do lokalnych zasobów.
Online Banking System Protect v1.0 zawiera podatność na lokalne dołączanie plików (LFI) poprzez parametr pages. Umożliwia to atakującemu odczyt wrażliwych plików na serwerze.
Podatność zdalnego wykonania kodu (RCE) w systemie Online Banking System Protect v1.0 umożliwia atakującym wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku PHP za pomocą funkcji Upload Image.
W routerze Totolink A3100R w wersji oprogramowania V5.9c.4577 odkryto podatność umożliwiającą odczyt wielu stron bez uwierzytelniania. Dodatkowo, konfiguracje administratora mogą być ustawiane bez wymagania ciasteczek sesyjnych.
W routerze Totolink A3100R w wersji oprogramowania V5.9c.4577 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Funkcja ping w panelu administracyjnym nie filtruje odpowiednio znaków specjalnych, co umożliwia atakującemu wykonanie dowolnych poleceń.
Podatność na dowolne przesyłanie plików w Trend Micro Apex Central może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na przesłanie dowolnego pliku, co może prowadzić do zdalnego wykonania kodu.
W oprogramowaniu NUUO w wersji v03.11.00 odkryto problem z kontrolą dostępu. Podatność ta może pozwolić nieautoryzowanemu użytkownikowi na ominięcie mechanizmów zabezpieczeń.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS