Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność zdalnego wykonania kodu w Open Management Infrastructure (OMI). Umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu.
W wersjach SAP NetWeaver (Visual Composer 7.0 RT) 7.30, 7.31, 7.40, 7.50, brak ograniczeń pozwala uwierzytelnionemu atakującemu jako użytkownikowi niebędącemu administratorem na przesłanie złośliwego pliku przez sieć i wywołanie jego przetwarzania. To może prowadzić do uruchomienia poleceń systemu operacyjnego z uprawnieniami procesu Java Server.
W Kooboo CMS 2.1.1.0 istnieje możliwość zdalnego wgrania pliku powłoki (np. aspx) na serwer, a następnie wywołania go w celu uzyskania odwrotnej powłoki z serwera ofiary. Pliki są przesyłane do lokalizacji /Content/Template/root/reverse-shell.aspx i mogą być uruchomione poprzez odwiedzenie tego adresu URL.
Kooboo CMS 2.1.1.0 zawiera podatność na niebezpieczne przesyłanie plików. Serwer nie weryfikuje rozszerzeń przesyłanych plików, co umożliwia atakującemu wgranie pliku z rozszerzeniem .aspx.
Odkryto problem w Aviatrix Controller 6.x przed wersją 6.5-1804.1922. Możliwe jest nieograniczone przesyłanie plików o niebezpiecznym typie, co pozwala nieuwierzytelnionemu użytkownikowi na wykonanie dowolnego kodu poprzez traversal katalogów.
Zoho ManageEngine ADSelfService Plus w wersji 6113 i wcześniejszych jest podatny na obejście uwierzytelniania w API REST, co może prowadzić do zdalnego wykonania kodu.
Zoho ManageEngine ServiceDesk Plus przed wersją 11302 jest podatny na obejście uwierzytelniania, które pozwala na dostęp do niektórych adresów URL API REST bez uwierzytelnienia.
W podatnych wersjach Confluence Server i Data Center istnieje podatność na wstrzyknięcie OGNL, która pozwala nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu na instancji Confluence.
Błąd w implementacji deszyfrowania SM2 w OpenSSL powoduje, że pierwsze wywołanie EVP_PKEY_decrypt() może zwrócić zbyt mały rozmiar bufora, co przy drugim wywołaniu prowadzi do przepełnienia bufora o maksymalnie 62 bajty. Atakujący może wykorzystać to do zmiany danych lub spowodowania awarii aplikacji.
MISP w wersji 2.4.148, w określonych konfiguracjach, umożliwia atak typu SQL injection poprzez wartość $conditions['org'] w pliku app/Model/Log.php.
Realtek Jungle SDK w wersjach od v2.x do v3.4.14B zawiera wbudowany serwer HTTP z interfejsem zarządzania (webs lub boa), który jest podatny na wiele przepełnień bufora stosu oraz zdalne wykonanie dowolnych poleceń. Podatności występują m.in. w funkcjach formRebootCheck, formWsc, formWlanMultipleAP, formWlSiteSurvey, formStaticDHCP i formSysCmd i wynikają z niebezpiecznego kopiowania parametrów takich jak submit-url, ifname, hostname, peerPin czy sysCmd. Udana eksploatacja pozwala zdalnemu atakującemu na wykonanie dowolnego kodu na urządzeniu.
Realtek Jungle SDK w wersjach od v2.x do v3.4.14B zawiera narzędzie diagnostyczne 'MP Daemon' (zwykle kompilowane jako 'UDPServer'), które jest podatne na wiele błędów uszkodzenia pamięci oraz podatność na wstrzyknięcie dowolnych poleceń, wykorzystywaną przez zdalnych nieuwierzytelnionych atakujących.
Sunhillo SureLine przed wersją 8.7.0.1.1 pozwala na nieuwierzytelnione wstrzyknięcie poleceń systemu operacyjnego przez metaznaki powłoki w parametrach ipAddr lub dnsAddr w /cgi/networkDiag.cgi.
Podatność zdalnego wykonania kodu w sterowniku XDR usług NFS dla systemu Windows. Może pozwolić atakującemu na wykonanie kodu w kontekście jądra.
Podatność zdalnego wykonania kodu w stosie TCP/IP systemu Windows. Może pozwolić atakującemu na wykonanie dowolnego kodu w kontekście jądra systemu.
W Linaro OP-TEE przed wersją 3.7.0, wykorzystując niespójne lub źle sformatowane dane, możliwe jest bezpośrednie wywołanie funkcji aktualizacji i końcowych funkcji kryptograficznych, co może prowadzić do awarii i wycieku wrażliwych informacji.
OwnTone (znany również jako owntone-server) w wersji do 28.1 zawiera podatność typu use-after-free w funkcji net_bind() w pliku misc.c.
Nieprawidłowa neutralizacja polecenia SQL prowadząca do podatności na wstrzyknięcie SQL w produktach Secure Remote Access (SRA) wycofanych z eksploatacji, dotyczy urządzeń SRA z oprogramowaniem 8.x oraz 9.0.0.9-26sv lub wcześniejszym.
System CODESYS Control Runtime w wersjach przed 3.5.17.10 ma podatność na przepełnienie bufora w stercie. Ta luka może prowadzić do nieautoryzowanego dostępu do pamięci i potencjalnego wykonania złośliwego kodu.
Funkcja wordexp w bibliotece GNU C (glibc) do wersji 2.33 może ulegać awarii lub odczytywać dowolną pamięć w funkcji parse_param, gdy jest wywoływana z nieufnym, stworzonym wzorcem. Może to prowadzić do odmowy usługi lub ujawnienia informacji.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS