Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
ForgeRock AM server przed wersją 7.0 ma podatność na deserializację Java w parametrze jato.pageSession na wielu stronach. Wykorzystanie nie wymaga uwierzytelnienia, a zdalne wykonanie kodu może być wywołane przez wysłanie pojedynczego spreparowanego żądania /ccversion/* do serwera. Podatność istnieje z powodu użycia Sun ONE Application Framework (JATO) w wersjach Java 8 lub wcześniejszych.
Podatność zdalnego wykonania kodu w jądrze systemu Windows. Może pozwolić atakującemu na wykonanie kodu w kontekście jądra.
Microsoft odkrył podatność zdalnego wykonania kodu (RCE) w produkcie SolarWinds Serv-U, wykorzystującą podatność Remote Memory Escape. Jeśli zostanie wykorzystana, atakujący może uzyskać uprzywilejowany dostęp do maszyny hostującej Serv-U. Podatność dotyczy SolarWinds Serv-U Managed File Transfer i Serv-U Secure FTP dla Windows przed wersją 15.2.3 HF2.
Podatność podniesienia uprawnień w Microsoft Exchange Server. Umożliwia atakującemu podniesienie swoich uprawnień w systemie.
Podatność zdalnego wykonania kodu w Microsoft Exchange Server. Umożliwia atakującemu zdalne wykonanie dowolnego kodu na serwerze.
W podatności CVE-2021-22779 występuje możliwość ominięcia uwierzytelniania poprzez spoofing w EcoStruxure Control Expert oraz powiązanych produktach. Dotyczy to wszystkich wersji przed V15.0 SP1 oraz wersji V15.0 SP1, co może prowadzić do nieautoryzowanego dostępu do kontrolera.
Kaseya VSA przed wersją 9.5.7 pozwala atakującym na obejście wymogu uwierzytelniania dwuskładnikowego (2FA). Weryfikacja 2FA jest wymuszana po stronie klienta, a nie serwera, co można obejść za pomocą lokalnego proxy.
Kaseya VSA przed wersją 9.5.7 umożliwia ujawnienie poświadczeń. Domyślna strona pobierania klientów (dl.asp) nie wymaga uwierzytelnienia i generuje plik KaseyaD.ini zawierający Agent_Guid i AgentPassword, które można wykorzystać do uzyskania sesji (sessionId) i obejścia uwierzytelnienia.
W MISP w wersji 2.4.144 w pliku app/View/Elements/genericElements/IndexTable/Fields/generic_field.ctp nie oczyszczono niektórych danych związanych z generic-template:index.
Błąd deserializacji w Apache Chainsaw przed wersją 2.1.0 może prowadzić do wykonania złośliwego kodu.
W podatności CWE-20: Niewłaściwa walidacja danych wejściowych w urządzeniach PowerLogic EGX100 (wersje 3.0.0 i nowsze) oraz PowerLogic EGX300 (wszystkie wersje) może dojść do odmowy usługi lub zdalnego wykonania kodu poprzez specjalnie przygotowany pakiet HTTP.
W podatności CWE-20: Niewłaściwa walidacja danych wejściowych w urządzeniach PowerLogic EGX100 (wersje 3.0.0 i nowsze) oraz PowerLogic EGX300 (wszystkie wersje) może dojść do odmowy usługi lub zdalnego wykonania kodu poprzez specjalnie przygotowany pakiet HTTP.
W podatności CWE-20: Niewłaściwa walidacja danych wejściowych w urządzeniach PowerLogic EGX100 (wersje 3.0.0 i nowsze) oraz PowerLogic EGX300 (wszystkie wersje) może dojść do odmowy usługi lub zdalnego wykonania kodu poprzez specjalnie przygotowany pakiet HTTP.
W urządzeniach PowerLogic PM55xx, PM8ECC, EGX100 i EGX300 występuje podatność CWE-640 związana z słabym mechanizmem odzyskiwania hasła dla zapomnianego hasła. Może to umożliwić atakującemu uzyskanie dostępu na poziomie administratora do urządzenia.
W bibliotece lz4 istnieje usterka. Atakujący, który dostarczy spreparowany plik do aplikacji korzystającej z lz4, może wywołać przepełnienie liczby całkowitej, prowadzące do wywołania memmove() z ujemnym argumentem rozmiaru, co powoduje zapis poza zakresem i/lub awarię. Największy wpływ tej usterki dotyczy dostępności, z pewnym potencjalnym wpływem na poufność i integralność.
Zidentyfikowano podatność w rodzinie kontrolerów SIMATIC Drive oraz innych urządzeniach, które mogą być narażone na obejście ochrony pamięci. Atakujący zdalny, nieautoryzowany, mający dostęp do portu 102/tcp, może potencjalnie zapisywać dowolne dane i kod w chronionych obszarach pamięci lub odczytywać wrażliwe dane.
Podatność na deserializację niezaufanych danych w CheckboxWeb.dll w Checkbox Survey pozwala zdalnemu nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu. Problem dotyczy wersji Checkbox Survey wcześniejszych niż 7.
W Versa Director wykryto podatność na wstrzykiwanie poleceń, która umożliwia wykonanie dowolnych poleceń systemu operacyjnego przez podatną aplikację. Atak jest możliwy, gdy aplikacja przekazuje niebezpieczne dane użytkownika do powłoki systemowej, głównie z powodu niewystarczającej walidacji wejścia.
Klient vSphere (HTML5) zawiera podatność na zdalne wykonanie kodu z powodu braku walidacji danych wejściowych we wtyczce Virtual SAN Health Check, która jest domyślnie włączona w vCenter Server. Osoba atakująca z dostępem sieciowym do portu 443 może wykorzystać ten problem do wykonania poleceń z nieograniczonymi uprawnieniami na systemie operacyjnym hostującym vCenter Server.
Funkcja mq_notify w bibliotece GNU C Library (glibc) w wersjach 2.32 i 2.33 zawiera błąd typu use-after-free. Może ona użyć obiektu atrybutów wątku powiadomień (przekazanego przez parametr struct sigevent) po tym, jak został on zwolniony przez wywołującego, co prowadzi do odmowy usługi (awarii aplikacji) lub potencjalnie innych nieokreślonych skutków.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS