Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W AnonAddy 0.8.5 w pliku VerificationController.php wykryto użycie uszkodzonego lub ryzykownego algorytmu kryptograficznego. Podatność ta może umożliwić atakującemu manipulację procesem weryfikacji.
iTextPDF w wersji 7 oraz do (wyłączając 4.4.13.3) 7.1.17 umożliwia wstrzyknięcie poleceń poprzez nazwę pliku CompareTool, która jest niewłaściwie obsługiwana w linii poleceń gs (Ghostscript) w pliku GhostscriptHelper.java.
Poprawka dla CVE-2021-44228 w Apache Log4j 2.15.0 była niekompletna w niektórych konfiguracjach nie domyślnych. Atakujący kontrolujący dane wejściowe Thread Context Map (MDC) przy użyciu nie domyślnego Pattern Layout z Context Lookup (np. $${ctx:loginId}) lub wzorcem Thread Context Map (%X, %mdc, %MDC) może wstrzyknąć złośliwe dane z wzorcem JNDI Lookup, co prowadzi do wycieku informacji i zdalnego wykonania kodu w niektórych środowiskach oraz lokalnego wykonania kodu we wszystkich środowiskach.
Zoho ManageEngine Desktop Central jest podatny na obejście uwierzytelniania, co prowadzi do zdalnego wykonania kodu na serwerze; luka była wykorzystywana w atakach w grudniu 2021. Dla wersji Enterprise 10.1.2127.17 i starszych należy zaktualizować do 10.1.2127.18; dla wersji Enterprise od 10.1.2128.0 do 10.1.2137.2 – do 10.1.2137.3; dla wersji MSP 10.1.2127.17 i starszych – do 10.1.2127.18; dla wersji MSP od 10.1.2128.0 do 10.1.2137.2 – do 10.1.2137.3.
Podatność w Apache Log4j2 (w wersjach od 2.0-beta9 do 2.15.0, z wyjątkiem wydań zabezpieczeń 2.12.2, 2.12.3 i 2.3.1) pozwala atakującym na wykonanie dowolnego kodu poprzez kontrolowane przez nich wiadomości logów i parametry, gdy włączona jest substytucja wyszukiwania wiadomości. Od wersji 2.15.0 to zachowanie zostało domyślnie wyłączone, a w wersji 2.16.0 całkowicie usunięte.
Podatność polegająca na wstrzyknięciu kodu w Ivanti EPM Cloud Services Appliance (CSA) umożliwia nieuwierzytelnionemu użytkownikowi wykonanie dowolnego kodu z ograniczonymi uprawnieniami (użytkownik nobody).
Luka w interfejsie zarządzania webowego oprogramowania FatPipe WARP, IPVPN i MPVPN w wersjach przed 10.1.2r60p92 i 10.2.2r44p1 pozwala zdalnemu, nieuwierzytelnionemu atakującemu na przesłanie pliku w dowolne miejsce w systemie plików. Identyfikator doradczy FatPipe dla tej luki to FPSA006.
Luka przepełnienia bufora stosu w zmiennych środowiskowych modułu mod_cgi serwera Apache httpd w SMA100 pozwala zdalnemu, nieuwierzytelnionemu atakującemu na potencjalne wykonanie kodu jako użytkownik 'nobody' w urządzeniu. Luka dotyczy urządzeń SMA 200, 210, 400, 410 i 500v z firmware 10.2.0.8-37sv, 10.2.1.1-19sv, 10.2.1.2-24sv i wcześniejszymi.
Aplikacja Maharashtra State Electricity Board Mahavitara dla systemu Android w wersji 8.20 i wcześniejszych zawiera podatność polegającą na utrwaleniu jednorazowego hasła (OTP) w funkcji resetowania hasła, co umożliwia zdalne przejęcie konta użytkownika.
Zoho ManageEngine ServiceDesk Plus przed 11306, ServiceDesk Plus MSP przed 10530 oraz SupportCenter Plus przed 11014 są podatne na nieuwierzytelnione zdalne wykonanie kodu. Luka jest związana z adresami URL /RestAPI w servlecie oraz ImportTechnicians w konfiguracji Struts.
Podatność w oprogramowaniu wielu routerów ASUS umożliwia obejście ochrony CAPTCHA przed atakami brute-force. Atakujący może wysłać specjalne żądanie HTTP, aby przeprowadzić nieograniczoną liczbę prób logowania.
Roundcube w wersjach przed 1.3.17 oraz 1.4.x przed 1.4.12 jest podatny na potencjalną iniekcję SQL poprzez parametr search lub search_params. Luka może pozwolić atakującemu na manipulację zapytaniami do bazy danych.
Metabase to otwarta platforma analityczna. W podatnych wersjach odkryto problem bezpieczeństwa związany z obsługą niestandardowych map GeoJSON (admin->settings->maps->custom maps->add a map) i potencjalnym włączeniem lokalnych plików (w tym zmiennych środowiskowych). Adresy URL nie były weryfikowane przed załadowaniem.
Funkcja PING w routerze TP-Link TL-WR840N EU v5 z oprogramowaniem do wersji TL-WR840N(EU)_V5_171211 jest podatna na zdalne wykonanie kodu poprzez spreparowany ładunek w polu adresu IP.
Podatność zdalnego wykonania kodu w Microsoft Virtual Machine Bus (VMBus). Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu.
Podatność w Sitecore XP od wersji 7.5 do 8.2 Update-7 umożliwia zdalne wykonanie kodu poprzez niezabezpieczoną deserializację. Atak nie wymaga uwierzytelnienia ani specjalnej konfiguracji.
W urządzeniach D-Link DIR-823G z oprogramowaniem V1.0.2B05 wykryto podatność na wstrzykiwanie poleceń w protokole HNAP1. Atakujący może zdalnie wykonać dowolne polecenia systemowe poprzez przesłanie spreparowanego żądania do logowania z metaznakami powłoki w polu PrivateLogin.
Podatność w komponencie /cgi-bin/upload_firmware.cgi routera D-Link DIR-823G REVA1 w wersji 1.02B05 umożliwia atakującym przeprowadzenie ataku typu odmowa usługi (DoS) poprzez nieokreślone wektory.
W urządzeniach D-Link DIR-823G z oprogramowaniem V1.0.2B05 wykryto podatność na wstrzykiwanie poleceń w protokole HNAP1. Atakujący może zdalnie wykonać dowolne skrypty poprzez przesłanie znaków specjalnych powłoki w polu Captcha podczas logowania.
W Symphony 2.7.10 w pliku class.xmlelement.php wykryto podatność XML External Entity (XXE), która może prowadzić do ujawnienia informacji lub odmowy usługi (DOS).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS