Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
BMC Remedy Mid Tier 9.1SP3 zawiera podatność na zdalne i lokalne dołączanie plików. Brak ograniczeń dotyczących docelowych zasobów umożliwia ataki takie jak identyfikacja systemu, skanowanie wewnętrznych portów, fałszowanie żądań po stronie serwera (SSRF) oraz zdalne wykonanie kodu (RCE).
W QNAP NAS z zainstalowanym HBS 3 (Hybrid Backup Sync) wykryto podatność polegającą na nieprawidłowej autoryzacji. Podatność umożliwia zdalnym atakującym zalogowanie się do urządzenia bez odpowiednich uprawnień.
Zidentyfikowano podatność w różnych modelach paneli HMI SIMATIC oraz systemach SINAMICS, która dotyczy nieprawidłowego dostępu do pamięci w obsłudze układu urządzenia. Może to prowadzić do wykonania złośliwego kodu.
Podatność w stosie protokołu HTTP umożliwia zdalne wykonanie kodu. Szczegóły techniczne nie zostały podane w opisie.
W urządzeniach Tenda AC11 z firmware do wersji 02.03.01.104_CN wykryto przepełnienie bufora na stosie w /goform/setmac. Podatność pozwala atakującemu na wykonanie dowolnego kodu poprzez specjalnie spreparowane żądanie POST.
W aplikacji administratora na urządzeniach ASUS GT-AC2900 (przed 3.0.0.4.386.42643) i Lyra Mini (przed 3.0.0.4_384_46630) występuje obejście uwierzytelniania przy przetwarzaniu zdalnego wejścia od nieuwierzytelnionego użytkownika. Prowadzi to do nieautoryzowanego dostępu do interfejsu administratora.
W Pythonie przed wersją 3.9.5 biblioteka ipaddress nieprawidłowo obsługuje wiodące zera w oktetach adresu IP. W niektórych sytuacjach pozwala to atakującym obejść kontrolę dostępu opartą na adresach IP.
Wiele podatności w interfejsie zarządzania opartym na web w Cisco HyperFlex HX może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na przeprowadzenie ataków wstrzykiwania poleceń. Szczegóły techniczne znajdują się w sekcji Details biuletynu.
Wiele podatności w interfejsie zarządzania opartym na web w Cisco HyperFlex HX może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na przeprowadzenie ataków wstrzykiwania poleceń. Szczegóły techniczne znajdują się w sekcji Details biuletynu.
W bibliotece Node.js mixme przed wersją 0.5.1, atakujący może dodawać lub zmieniać właściwości obiektu za pomocą '__proto__' poprzez funkcje mutate() i merge(). Zanieczyszczony atrybut zostanie bezpośrednio przypisany do każdego obiektu w programie.
Podatność typu path traversal w interfejsach webowych routerów Buffalo WSR-2533DHPL2 (firmware <= 1.02) oraz WSR-2533DHP3 (firmware <= 1.24). Umożliwia nieuwierzytelnionemu zdalnemu atakującemu obejście mechanizmu uwierzytelniania.
W GitLab CE/EE od wersji 11.9 wykryto podatność polegającą na nieprawidłowej walidacji plików graficznych przekazywanych do parsera. Umożliwia to zdalne wykonanie kodu.
Pulse Connect Secure 9.0R3/9.1R1 i nowsze są podatne na obejście uwierzytelniania w funkcjach Windows File Share Browser i Pulse Secure Collaboration, co może pozwolić nieuwierzytelnionemu użytkownikowi na zdalne wykonanie dowolnego kodu na bramie Pulse Connect Secure. Ta podatność była wykorzystywana w środowisku produkcyjnym.
Podatność typu command injection w systemach QTS oraz QuTS hero firmy QNAP. Wykorzystanie podatności pozwala atakującemu na wykonanie dowolnych poleceń w kontekście zaatakowanej aplikacji.
System Recenzenta Online w wersji 1.0 zawiera podatność na wstrzykiwanie SQL poprzez obejście uwierzytelniania, co może prowadzić do przesyłania powłoki odwrotnej.
Podatność w SonicWall Email Security w wersji 10.0.9.x pozwala atakującemu na utworzenie konta administracyjnego poprzez wysłanie spreparowanego żądania HTTP do zdalnego hosta.
W pakiecie jsrsasign w wersjach do 10.1.13 dla Node.js, niektóre nieprawidłowe podpisy RSA PKCS#1 v1.5 są błędnie uznawane za ważne. Nie ma znanego praktycznego ataku wykorzystującego tę podatność.
Błąd logiczny w systemach Apple został naprawiony poprzez zaostrzenie ograniczeń. Podatność występuje w macOS Big Sur 11.2, Security Update 2021-001 Catalina, Security Update 2021-001 Mojave, iOS 14.4 oraz iPadOS 14.4. Zdalny atakujący może doprowadzić do wykonania dowolnego kodu.
Błąd logiczny w systemach Apple został naprawiony poprzez zaostrzenie ograniczeń. Podatność występuje w macOS Big Sur 11.2, Security Update 2021-001 Catalina, Security Update 2021-001 Mojave, iOS 14.4 oraz iPadOS 14.4. Zdalny atakujący może doprowadzić do wykonania dowolnego kodu.
W urządzeniach BIG-IP w wersjach 16.0.x przed 16.0.1.1, 15.1.x przed 15.1.2.1, 14.1.x przed 14.1.4, 13.1.x przed 13.1.3.6 oraz 12.1.x przed 12.1.5.3 nieujawnione żądania do wirtualnego serwera mogą być nieprawidłowo obsługiwane przez normalizację URI w Traffic Management Microkernel (TMM). Może to wywołać przepełnienie bufora prowadzące do ataku DoS, a w pewnych sytuacjach teoretycznie umożliwić obejście kontroli dostępu opartej na URL lub zdalne wykonanie kodu (RCE).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS