Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.08.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Implementacja DroneDeleteOldMeasurements w Ipswitch WhatsUp Gold przed wersją 16.4 nieprawidłowo waliduje zserializowane obiekty XML, co umożliwia zdalnym atakującym przeprowadzenie ataków SQL injection za pomocą spreparowanego żądania SOAP.
Jądro systemu Android przed wersją 5.1.1 LMY49F oraz przed 1 stycznia 2016 roku umożliwia atakującym uzyskanie wrażliwych informacji, co pozwala na obejście nieokreślonego mechanizmu ochrony. Przykładem jest uzyskanie dostępu do Signature lub SignatureOrSystem.
Podatność w mediaserver w systemie Android 5.x przed wersją 5.1.1 LMY49F oraz 6.0 przed 1 stycznia 2016 roku umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi (uszkodzenie pamięci) poprzez spreparowany plik multimedialny.
Funkcja pcre_compile2 w PCRE 8.38 niewłaściwie obsługuje wzorce z nazwanymi podgrupami, co może prowadzić do przepełnienia bufora na stercie. Atakujący zdalnie mogą wykorzystać tę podatność, wysyłając odpowiednio skonstruowany wyrażenie regularne.
Interfejsy obiektów zserializowanych w niektórych produktach IBM, takich jak analityka, rozwiązania biznesowe, kognitywne, infrastruktura IT oraz produkty mobilne i społeczne, umożliwiają zdalnym atakującym wykonanie dowolnych poleceń za pomocą spreparowanego zserializowanego obiektu Java, związane z klasą InvokerTransformer w bibliotece Apache Commons Collections.
Rozszerzenie Ochrony Danych w interfejsie VMware w IBM Tivoli Storage Manager dla Środowisk Wirtualnych przed wersją 7.1.3.0 oraz Tivoli Storage FlashCopy Manager dla VMware przed wersją 4.1.3.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń systemowych poprzez nieokreślone wektory.
Urządzenia Belkin F9K1102 z oprogramowaniem układowym 2.10.17 polegają na kodzie JavaScript po stronie klienta do autoryzacji, co umożliwia zdalnym atakującym uzyskanie uprawnień administracyjnych poprzez określone zmiany wartości LockStatus i Login_Success.
Interfejs zarządzania siecią na urządzeniach Belkin F9K1102 z oprogramowaniem układowym 2.10.17 ma puste hasło, co umożliwia zdalnym atakującym uzyskanie uprawnień administratora poprzez wykorzystanie sesji LAN.
Interfejs administracyjny urządzeń ReadyNet WRT300N-DD z firmware 1.0.26 posiada domyślne hasło 'admin' dla konta administratora, co umożliwia zdalnym atakującym uzyskanie uprawnień administracyjnych poprzez wykorzystanie sesji LAN.
Interfejs administracyjny urządzeń Amped Wireless R10000 z firmware 2.5.2.11 posiada domyślne hasło 'admin' dla konta administratora, co umożliwia zdalnym atakującym uzyskanie uprawnień administracyjnych poprzez wykorzystanie sesji LAN.
Implementacja diagnostycznego pingu w urządzeniach ZyXEL PMG5318-B20A z firmware przed wersją 1.00(AANC.2)C0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń za pomocą parametru PingIPAddr.
Urządzenia ZyXEL P-660HW-T1, PMG5318-B20A oraz NBG-418N mają domyślne hasło '1234' dla konta administratora, co umożliwia zdalnym atakującym uzyskanie dostępu administracyjnego.
Urządzenia Mediabridge Medialink MWN-WAPR300N z firmware 5.07.50 oraz urządzenia Tenda N3 Wireless N150 umożliwiają zdalnym atakującym uzyskanie dostępu administracyjnego poprzez określony podciąg admin w nagłówku HTTP Cookie.
Urządzenia Seagate GoFlex Satellite, Seagate Wireless Mobile Storage, Seagate Wireless Plus Mobile Storage oraz LaCie FUEL z firmware przed wersją 3.4.1.105 mają domyślne hasło 'root' dla konta administratora, co umożliwia zdalnym atakującym uzyskanie dostępu administracyjnego przez sesję TELNET.
Urządzenia Corega CG-WLBARGS pozwalają zdalnym atakującym na wykonywanie operacji administracyjnych za pomocą nieokreślonych wektorów.
Urządzenia ZTE ZXHN H108N R1A przed wersją ZTE.bhs.ZXHNH108NR1A.k_PE mają wbudowane hasło 'root' dla konta administratora, co umożliwia zdalnym atakującym uzyskanie dostępu administracyjnego przez sesję TELNET.
Adobe Flash Player w wersjach przed 18.0.0.324 oraz 19.x i 20.x przed 20.0.0.267 na systemach Windows i OS X oraz przed 11.2.202.559 na Linuksie, a także Adobe AIR przed 20.0.0.233, Adobe AIR SDK przed 20.0.0.233 oraz Adobe AIR SDK & Compiler przed 20.0.0.233, pozwalają atakującym na wykonanie dowolnego kodu lub spowodowanie odmowy usługi (uszkodzenie pamięci) poprzez nieokreślone wektory.
Strona logowania w Epiphany Cardio Server w wersjach 3.3, 4.0 i 4.1 niewłaściwie obsługuje żądania uwierzytelnienia, co umożliwia zdalnym atakującym przeprowadzenie ataków typu LDAP injection i ominięcie zamierzonych ograniczeń dostępu za pomocą spreparowanego URL.
Podatność typu SQL injection w stronie logowania w Epiphany Cardio Server 3.3 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą odpowiednio skonstruowanego adresu URL.
Podsystem MIDI w Google Chrome przed wersją 47.0.2526.106 nieprawidłowo obsługuje wysyłanie danych, co pozwala zdalnym atakującym na wykonanie dowolnego kodu lub spowodowanie odmowy usługi (awaria aplikacji) poprzez nieokreślone wektory.