Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W routerze TP-LINK TL-WR840N(ES) w wersji oprogramowania V6.20_180709 wykryto zdalne wykonanie kodu (RCE) poprzez funkcję oal_wan6_setIpAddr. Podatność pozwala atakującemu na wykonanie dowolnego kodu bez uwierzytelnienia.
W routerze TP-LINK TL-WR840N(ES) w wersji oprogramowania V6.20_180709 wykryto podatność na wstrzykiwanie poleceń przez komponent oal_setIp6DefaultRoute. Atakujący może zdalnie wykonać dowolne polecenia systemowe bez autoryzacji.
W urządzeniu TP-LINK TL-WR840N(ES) w wersji oprogramowania V6.20_180709 wykryto podatność na wstrzykiwanie poleceń. Luka występuje w komponencie oal_startPing.
Podatność w Zepl Notebooks przed 2021-10-25 umożliwia ucieczkę z piaskownicy. Po zdalnym wykonaniu kodu z notebooka użytkownik może opuścić kontekst piaskownicy i uzyskać dostęp do wewnętrznych zasobów Zepl, w tym usług metadanych chmury.
Odkryto, że redis, trwała baza danych klucz-wartość, z powodu problemu z pakowaniem jest podatna na ucieczkę z piaskownicy Lua (specyficzną dla Debiana), co może skutkować zdalnym wykonaniem kodu.
W wersjach przed 0.8.5, 0.9.4, 0.10.0 i 0.10.1 biblioteki Go github.com/gravitl/netmaker użyto twardo zakodowanego klucza kryptograficznego.
W Expat (znanym jako libexpat) przed wersją 2.4.5 istnieje przepełnienie liczby całkowitej w funkcji storeRawNames.
O2OA w wersji 6.4.7 zawiera podatność zdalnego wykonania kodu (RCE) poprzez endpoint /x_program_center/jaxrs/invoke. Atakujący może wysłać specjalnie spreparowane żądanie, aby wykonać dowolny kod na serwerze.
W routerach D-Link DIR-810L, DIR-820L/LW, DIR-826L, DIR-830L i DIR-836L (wszystkie wersje sprzętowe) występuje luka umożliwiająca zdalne wykonanie kodu (RCE) poprzez funkcję DDNS w pliku binarnym ncc2. Wszystkie wymienione modele osiągnęły koniec cyklu życia (EOL/EOS), dlatego luka nie zostanie załatana.
Adobe Commerce w wersjach 2.4.3-p1 i wcześniejszych oraz 2.3.7-p2 i wcześniejszych zawiera lukę niewłaściwej walidacji danych wejściowych podczas procesu składania zamówienia. Wykorzystanie luki nie wymaga interakcji użytkownika i może prowadzić do wykonania dowolnego kodu.
W xmlparse.c w Expat (znanym jako libexpat) przed wersją 2.4.5, atakujący mogą wstawiać znaki separatora przestrzeni nazw do URI przestrzeni nazw.
W xmltok_impl.c w Expat (znanym jako libexpat) przed wersją 2.4.5 brakuje pewnych walidacji kodowania, takich jak sprawdzanie, czy znak UTF-8 jest poprawny w danym kontekście.
Produkty Emerson Dixell XWEB-500 zawierają podatność na dowolny zapis plików w skryptach CGI: logo_extra_upload.cgi, cal_save.cgi i lo_utils.cgi. Atakujący bez uwierzytelnienia może zapisać dowolny plik w systemie, co prowadzi do odmowy usługi i potencjalnie zdalnego wykonania kodu.
W Apache APISIX atakujący może wykorzystać wtyczkę batch-requests do obejścia ograniczeń IP interfejsu Admin API. Domyślna konfiguracja (z domyślnym kluczem API) jest podatna na zdalne wykonanie kodu; nawet po zmianie klucza lub portu istnieje ryzyko obejścia ograniczeń IP panelu danych z powodu błędu w kodzie sprawdzającym adres klienta.
Wiele luk w routerach Cisco Small Business RV160, RV260, RV340 i RV345 może pozwolić atakującemu na wykonanie dowolnego kodu, podniesienie uprawnień, wykonanie dowolnych poleceń, obejście uwierzytelniania i autoryzacji, pobranie i uruchomienie niepodpisanego oprogramowania oraz wywołanie odmowy usługi (DoS). Szczegóły znajdują się w sekcji Details biuletynu.
Wiele luk w routerach Cisco Small Business RV160, RV260, RV340 i RV345 może pozwolić atakującemu na wykonanie dowolnego kodu, podniesienie uprawnień, wykonanie dowolnych poleceń, obejście uwierzytelniania i autoryzacji, pobranie i uruchomienie niepodpisanego oprogramowania oraz wywołanie odmowy usługi (DoS). Szczegóły znajdują się w sekcji Details biuletynu.
Wiele luk w routerach Cisco Small Business RV160, RV260, RV340 i RV345 może pozwolić atakującemu na wykonanie dowolnego kodu, podniesienie uprawnień, wykonanie dowolnych poleceń, obejście uwierzytelniania i autoryzacji, pobranie i uruchomienie niepodpisanego oprogramowania oraz wywołanie odmowy usługi (DoS). Szczegóły znajdują się w sekcji Details biuletynu.
Wiele luk w routerach Cisco Small Business RV160, RV260, RV340 i RV345 może pozwolić atakującemu na wykonanie dowolnego kodu, podniesienie uprawnień, wykonanie dowolnych poleceń, obejście uwierzytelniania i autoryzacji, pobranie i uruchomienie niepodpisanego oprogramowania oraz wywołanie odmowy usługi (DoS). Szczegóły znajdują się w sekcji Details biuletynu.
Wiele luk w routerach Cisco Small Business RV160, RV260, RV340 i RV345 może pozwolić atakującemu na wykonanie dowolnego kodu, podniesienie uprawnień, wykonanie dowolnych poleceń, obejście uwierzytelniania i autoryzacji, pobranie i uruchomienie niepodpisanego oprogramowania oraz wywołanie odmowy usługi (DoS). Szczegóły znajdują się w sekcji Details biuletynu.
SAP NetWeaver Application Server ABAP, SAP NetWeaver Application Server Java, ABAP Platform, SAP Content Server 7.53 oraz SAP Web Dispatcher są podatne na smuggling żądań i konkatenację żądań. Nieautoryzowany atakujący może dodać dowolne dane do żądania ofiary, co pozwala mu na wykonywanie funkcji w imieniu ofiary lub zanieczyszczenie pośrednich pamięci podręcznych Web.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS