Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Accellion FTA w wersji 9_12_370 i wcześniejszych jest podatny na wstrzyknięcie SQL poprzez specjalnie spreparowany nagłówek Host w żądaniu do document_root.html. Wersja naprawiona to FTA_9_12_380 i nowsze.
Podatność SQL Injection w PNPSCADA 2.200816204020 występuje w parametrze 'interf' w pliku /browse.jsp. Umożliwia atakującemu wstrzyknięcie złośliwego kodu SQL.
Zidentyfikowano podatność w panelach HMI Comfort SIMATIC (w tym warianty SIPLUS) oraz w różnych modelach SINAMICS, które mają włączoną usługę telnet. Urządzenia te nie wymagają uwierzytelnienia dla tej usługi, co może umożliwić zdalnemu atakującemu uzyskanie pełnego dostępu do urządzenia.
Podatność umożliwiająca zdalne wykonanie kodu w produkcie Micro Focus Operation Bridge Reporter (OBR) w wersji 10.40. Wykorzystanie podatności pozwala na zdalne wykonanie kodu na serwerze OBR.
Podatność na iniekcję SQL w produkcie SonicWall SSLVPN SMA100 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wykonanie zapytania SQL w celu uzyskania nazw użytkowników, haseł i innych informacji związanych z sesją. Podatność dotyczy wersji 10.x produktu SMA100.
Urządzenie D-Link DNS-320 z firmware w wersji 2.06B01 Revision Ax jest podatne na wstrzyknięcie poleceń w komponencie system_mgr.cgi. Luka umożliwia zdalne wykonanie dowolnego kodu.
W urządzeniach D-Link DIR-825 R1 z wersjami do 3.0.1 (przed 2020-11-20) występuje przepełnienie bufora w interfejsie webowym. Luka pozwala atakującemu na zdalne wykonanie kodu bez uwierzytelnienia.
WinSCP przed wersją 5.17.10 pozwala zdalnym atakującym na wykonanie dowolnych programów, gdy procedura obsługi URL napotka spreparowany adres URL ładujący ustawienia sesji. Jest to wykorzystywalne m.in. w domyślnej instalacji, w której WinSCP jest programem obsługującym adresy sftp://.
W ONLYOFFICE Document Server przed wersją 5.6.3 występuje podatność typu directory traversal w punkcie końcowym /upload, gdy używany jest JWT. Poprzez sekwencję /.. w parametrze przesyłania obrazu możliwe jest zdalne wykonanie kodu.
Domyślne ustawienie MISP 2.4.136 nie wymagało podania poprzedniego hasła podczas zmiany hasła, co może prowadzić do nieautoryzowanych zmian.
Python 3.x do wersji 3.9.1 zawiera przepełnienie bufora w funkcji PyCArg_repr w _ctypes/callproc.c, co może prowadzić do zdalnego wykonania kodu w niektórych aplikacjach Pythona, które akceptują liczby zmiennoprzecinkowe jako niezaufane dane wejściowe, na przykład argument 1e300 do c_double.from_param. Problem wynika z niebezpiecznego użycia funkcji sprintf.
Ignition w wersji przed 2.5.2, używany w Laravel i innych produktach, pozwala nieuwierzytelnionym zdalnym atakującym na wykonanie dowolnego kodu z powodu niebezpiecznego użycia funkcji file_get_contents() i file_put_contents(). Luka jest wykorzystywana w witrynach działających w trybie debugowania z Laravel przed 8.4.2.
W Google Chrome przed wersją 86.0.4240.198 występuje luka use-after-free w mechanizmie izolacji witryn. Zdalny atakujący, który przejął proces renderujący, może potencjalnie uciec z piaskownicy za pomocą spreparowanej strony HTML.
Domyślna konfiguracja Crimson 3.1 (wersje kompilacji przed 3119.001) pozwala użytkownikowi na odczyt i modyfikację bazy danych bez uwierzytelnienia.
Wtyczka Divi Builder oraz motywy Divi i Divi Extra przed wersją 4.5.3 dla WordPressa mają lukę, która pozwala uwierzytelnionym atakującym z uprawnieniami co najmniej na poziomie współpracownika na przesyłanie dowolnych plików, w tym plików .php. Problem wynika z tego, że sprawdzenie rozszerzeń plików odbywa się po stronie klienta.
API SolarWinds Orion jest podatne na obejście uwierzytelniania, co może pozwolić zdalnemu atakującemu na wykonywanie poleceń API. Luka dotyczy wersji SolarWinds Orion Platform 2019.4 HF 5, 2020.2 bez zainstalowanej poprawki oraz 2020.2 HF 1.
Firmware w wersji 4.60 urządzeń Zyxel USG zawiera nieudokumentowane konto (zyfwp) z niezmienialnym hasłem. Hasło do tego konta znajduje się w postaci jawnej w firmware. Konto to może być użyte do logowania się przez SSH lub interfejs webowy z uprawnieniami administratora.
W aplikacji EgavilanMedia ECM Address Book 1.0 wykryto podatność na wstrzykiwanie SQL. Umożliwia ona atakującemu ominięcie panelu logowania administratora i uzyskanie pełnego dostępu administracyjnego.
Podatność na wstrzykiwanie SQL w WebAdmin systemu Cyberoam OS do wersji 2020-12-04 pozwala nieuwierzytelnionym atakującym na zdalne wykonywanie dowolnych zapytań SQL.
Wymuszona ewaluacja OGNL, gdy jest wykonywana na surowych danych wejściowych użytkownika w atrybutach tagów, może prowadzić do zdalnego wykonania kodu. Dotyczy Apache Struts 2.0.0 - 2.5.25.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS