Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Interfejs HTTP serii Grandstream UCM6200 jest podatny na nieuwierzytelnioną zdalną SQL injection poprzez spreparowane żądanie HTTP. Atakujący może wykorzystać tę podatność do wykonania poleceń powłoki jako root w wersjach przed 1.0.19.20 lub wstrzyknięcia HTML w e-mailach odzyskiwania hasła w wersjach przed 1.0.20.17.
Podatność deserializacji niezaufanych danych w Liferay Portal przed wersją 7.2.1 CE GA2 pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez usługi sieciowe JSON (JSONWS).
Trend Micro Apex One (2019) i OfficeScan XG zawierają podatny plik EXE, który może pozwolić zdalnemu atakującemu na zapis dowolnych danych do dowolnej ścieżki na zainstalowanych systemach i obejście logowania ROOT. Uwierzytelnianie nie jest wymagane do wykorzystania tej podatności.
Unraid w wersjach do 6.8.0 umożliwia zdalne wykonanie kodu. Ta podatność może być wykorzystana przez atakującego do uruchomienia nieautoryzowanego kodu na systemie.
W kontrolerach Rockwell Automation MicroLogix 1400 Series B w wersji v21.001 i wcześniejszych, oraz w kontrolerach MicroLogix 1100 i oprogramowaniu RSLogix 500 w wersji v12.001 i wcześniejszych, klucz kryptograficzny używany do ochrony hasła konta jest zakodowany na stałe w pliku binarnym RSLogix 500. Atakujący może zidentyfikować klucze kryptograficzne i wykorzystać je do dalszych ataków kryptograficznych.
Podatność na zdalne wykonanie kodu istnieje w sposobie, w jaki protokół Microsoft Server Message Block 3.1.1 (SMBv3) obsługuje określone żądania, znana jako 'Windows SMBv3 Client/Server Remote Code Execution Vulnerability'.
goform/formEMR30 w Sumavision Enhanced Multimedia Router (EMR) 3.0.4.27 pozwala na tworzenie dowolnych użytkowników z podwyższonymi uprawnieniami (administrator) na urządzeniu, co pokazano w żądaniu setString=new_user<*1*>administrator<*1*>123456.
SAP Solution Manager (User Experience Monitoring), wersja 7.2, z powodu braku sprawdzania uwierzytelniania nie wykonuje żadnej autoryzacji dla usługi, co skutkuje całkowitą kompromitacją wszystkich agentów SMDAgent połączonych z Solution Manager.
Zoho ManageEngine Desktop Central przed wersją 10.0.474 pozwala na zdalne wykonanie kodu z powodu deserializacji niezaufanych danych w metodzie getChartImage klasy FileStorage. Jest to związane z serwletami CewolfServlet i MDMLogUploaderServlet.
Wielokrotne urządzenia ZyXEL NAS z firmware w wersji 5.21 zawierają podatność na wstrzyknięcie poleceń przed uwierzytelnieniem. Program weblogin.cgi nie sanityzuje parametru nazwy użytkownika, co pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu z uprawnieniami roota. Podatność dotyczy modeli NAS326, NAS520, NAS540, NAS542 oraz wycofanych z wsparcia NSA210, NSA220, NSA220+, NSA221, NSA310, NSA310S, NSA320, NSA320S, NSA325 i NSA325v2.
Odkryto usterkę w FasterXML jackson-databind we wszystkich wersjach przed 2.9.10 i 2.10.0, która umożliwiała polimorficzną deserializację złośliwych obiektów przy użyciu gadżetu xalan JNDI, gdy używana jest z metodami obsługi typów polimorficznych, takimi jak `enableDefaultTyping()` lub gdy @JsonTypeInfo używa `Id.CLASS` lub `Id.MINIMAL_CLASS`, lub w inny sposób, w którym ObjectMapper.readValue może tworzyć obiekty z niebezpiecznych źródeł. Atakujący mógł wykorzystać tę usterkę do wykonania dowolnego kodu.
Odkryto usterkę w jackson-databind w wersjach przed 2.9.10, 2.8.11.5 i 2.6.7.3, która umożliwiała polimorficzną deserializację złośliwego obiektu przy użyciu klas JNDI z commons-configuration 1 i 2. Atakujący mógł wykorzystać tę usterkę do wykonania dowolnego kodu.
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.4 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z br.com.anteros.dbcp.AnterosDBCPConfig (znanym jako anteros-core).
FasterXML jackson-databind 2.x przed 2.9.10.4 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, związaną z com.ibatis.sqlmap.engine.transaction.jta.JtaTransactionConfig (znanym jako ibatis-sqlmap).
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.4 niewłaściwie obsługuje interakcję między gadżetami serializacyjnymi a typowaniem, co dotyczy org.apache.hadoop.shaded.com.zaxxer.hikari.HikariConfig (znanego jako shaded hikari-config).
Podatność Ghostcat w Apache Tomcat dotyczy protokołu AJP. Domyślnie włączony konektor AJP nasłuchiwał na wszystkich adresach IP, co pozwalało atakującemu na odczyt dowolnych plików z aplikacji webowej oraz przetwarzanie ich jako JSP, co mogło prowadzić do zdalnego wykonania kodu.
Zimbra Collaboration Suite (ZCS) przed wersją 8.8.15 Patch 7 umożliwia atak typu SSRF, gdy zainstalowany jest zimlet WebEx i włączony jest zimlet JSP.
FasterXML jackson-databind w wersjach od 2.0.0 do 2.9.10.2 nie blokuje odpowiednio klas xbean-reflect/JNDI, co demonstruje org.apache.xbean.propertyeditor.JndiConverter. Może to umożliwić zdalne wykonanie kodu.
W EyesOfNetwork 5.3 instalacja domyślnie używa tego samego klucza API (zakodowanego na stałe jako EONAPI_KEY w include/api_functions.php dla wersji API 2.4.2) dla wszystkich instalacji, co pozwala atakującemu obliczyć lub odgadnąć token dostępu administratora.
PlaySMS przed wersją 1.4.3 nie sanityzuje danych wejściowych złośliwego ciągu znaków.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS