Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Niestandardowy moduł GINA/CP w Zoho ManageEngine ADSelfService Plus przed wersją 5.5 build 5517 umożliwia zdalnym atakującym wykonanie kodu i eskalację uprawnień poprzez fałszowanie. Moduł nie uwierzytelnia docelowego serwera przed otwarciem okna przeglądarki, co pozwala nieuwierzytelnionemu atakującemu na przekierowanie przeglądarki i uzyskanie wykonania kodu w kontekście procesu WinLogon.exe.
W interfejsie WebAdmin produktu Sophos SG UTM w wersjach przed v9.705 MR5, v9.607 MR7 i v9.511 MR11 występuje podatność umożliwiająca zdalne wykonanie kodu. Atakujący może wykorzystać tę podatność przez sieć.
W crate rand_core dla języka Rust przed wersją 0.4.2 wykryto problem: rzutowanie wycinków bajtów na wycinki liczb całkowitych nieprawidłowo obsługuje ograniczenia wyrównania.
W Microsoft SharePoint występuje podatność na zdalne wykonanie kodu, spowodowana niewłaściwą ochroną API przed niebezpiecznymi danymi wejściowymi. Atakujący, który skutecznie wykorzysta tę podatność, może uruchomić dowolny kod w kontekście puli aplikacji SharePoint oraz konta farmy serwerów SharePoint.
W Microsoft SharePoint występuje podatność na zdalne wykonanie kodu, gdy oprogramowanie nie sprawdza źródłowego markup aplikacji. Atakujący, który skutecznie wykorzysta tę podatność, może uruchomić dowolny kod w kontekście puli aplikacji SharePoint oraz konta farmy serwerów SharePoint.
Zidentyfikowano podatność w panelach HMI SIMATIC 2. generacji oraz w innych wariantach, które nie blokują wystarczająco nadmiernych prób uwierzytelnienia. To może umożliwić zdalnemu atakującemu odkrycie haseł użytkowników i uzyskanie dostępu do serwera Sm@rt poprzez atak typu brute-force.
Wtyczka File Manager (wp-file-manager) dla WordPressa w wersjach przed 6.9 pozwala zdalnym atakującym na przesyłanie i wykonywanie dowolnego kodu PHP, ponieważ zmienia nazwę niebezpiecznego przykładowego pliku łącznika elFinder, nadając mu rozszerzenie .php. Podatność była wykorzystywana w atakach w sierpniu i wrześniu 2020 roku.
Podatność SQL Injection w mechanizmie logowania systemu Daily Tracker System 1.0 od Sourcecodetester pozwala nieuwierzytelnionemu atakującemu ominąć uwierzytelnianie poprzez wstrzyknięcie kodu SQL w parametrze email.
Wszystkie wersje eCatcher firmy HMS Industrial Networks AB przed 6.5.5 są podatne na przepełnienie bufora na stosie, co może umożliwić atakującemu zdalne wykonanie dowolnego kodu.
W systemie Windows występuje podatność na podniesienie uprawnień związana z niewłaściwym zarządzaniem twardymi linkami. Atakujący, który skutecznie wykorzysta tę podatność, może nadpisać docelowy plik, co prowadzi do uzyskania podwyższonych uprawnień.
FUEL CMS 1.4.7 pozwala na wstrzyknięcie kodu SQL poprzez parametr col w adresach /pages/items, /permissions/items lub /navigation/items. Atakujący może manipulować zapytaniami do bazy danych.
vBulletin w wersjach 5.5.4 do 5.6.2 pozwala na zdalne wykonanie kodu poprzez spreparowane dane subWidgets w żądaniu ajax/render/widget_tabbedcontainer_tab_panel. Podatność wynika z niekompletnej poprawki dla CVE-2019-16759.
Podatność na nieprawidłowe uwierzytelnianie w SSL VPN w FortiOS 6.4.0, 6.2.0 do 6.2.3, 6.0.9 i starszych może pozwolić użytkownikowi na zalogowanie się bez podania drugiego czynnika uwierzytelniania (FortiToken), jeśli zmienił wielkość liter w swojej nazwie użytkownika.
W Pythonie 3.8.4 ograniczenia sys.path określone w pliku python38._pth są ignorowane, co pozwala na ładowanie kodu z dowolnych lokalizacji. Plik <executable-name>._pth (np. python._pth) nie jest objęty tym problemem.
Podatność w Oracle WebLogic Server (komponent Core) w wersjach 12.2.1.3.0, 12.2.1.4.0 i 14.1.1.0.0 pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez IIOP lub T3 na przejęcie kontroli nad serwerem. CVSS 3.1 Base Score 9.8.
Podatność zdalnego wykonania kodu w serwerach Windows DNS występuje, gdy nieprawidłowo obsługują żądania. Znana jako 'Windows DNS Server Remote Code Execution Vulnerability'.
Podatność zdalnego wykonania kodu występuje, gdy Hyper-V RemoteFX vGPU na serwerze hosta nieprawidłowo waliduje dane wejściowe od uwierzytelnionego użytkownika w systemie gościa. Znana jako 'Hyper-V RemoteFX vGPU Remote Code Execution Vulnerability'.
Występuje podatność na podniesienie uprawnień w Microsoft SharePoint Server i Skype for Business Server, związana z niewłaściwą walidacją tokenów OAuth. Atakujący, który skutecznie wykorzysta tę podatność, może obejść uwierzytelnianie i uzyskać nieautoryzowany dostęp.
SAP NetWeaver AS JAVA (LM Configuration Wizard) w wersjach 7.30, 7.31, 7.40, 7.50 nie wykonuje sprawdzenia uwierzytelnienia, co pozwala nieuwierzytelnionemu atakującemu na wykonywanie zadań konfiguracyjnych i krytycznych akcji, w tym tworzenie użytkownika administracyjnego. Prowadzi to do naruszenia poufności, integralności i dostępności systemu.
Endpoint goform/setUsbUnload w Tenda AC15 AC1900 w wersji 15.03.05.19 pozwala zdalnym atakującym na wykonanie dowolnych poleceń systemowych poprzez parametr POST deviceName.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS