Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.08.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Brama telemetryczna Adcon Telemetry A840 posiada wbudowane dane uwierzytelniające, co umożliwia zdalnym atakującym uzyskanie dostępu administracyjnego poprzez nieokreślone wektory.
Metoda ChangePasswordIndex w PasswordReset.dll w Dovestones AD Self Password Reset przed wersją 3.0.4.0 umożliwia zdalnym atakującym resetowanie dowolnych haseł za pomocą spreparowanego żądania z ważną nazwą użytkownika.
Urządzenia eWON z firmware przed wersją 10.1s0 nie implementują kontroli dostępu RBAC dla informacji o serwerze I/O oraz zapytań o status, co umożliwia zdalnym atakującym uzyskanie wrażliwych informacji poprzez nieokreślony URL.
Urządzenia Saia Burgess PCD1.M0xx0, PCD1.M2xx0, PCD2.M5xx0, PCD3.Mxx60, PCD3.Mxxx0, PCD7.D4xxD, PCD7.D4xxV, PCD7.D4xxWTPF, PCD7.D4xxxT5F oraz PCD3.T665 i PCD3.T666 przed wersją 1.24.50 i 1.24.41 zawierają wbudowane dane logowania, co umożliwia zdalnym atakującym uzyskanie dostępu administracyjnego przez sesję FTP.
SearchBlox w wersji 8.3 przed 8.3.1 umożliwia zdalnym atakującym zapis do pliku konfiguracyjnego, co może prowadzić do awarii aplikacji.
Wersje Juniper ScreenOS od 6.2.0r15 do 6.2.0r18 oraz od 6.3.0r12 do 6.3.0r20 przed odpowiednimi poprawkami umożliwiają zdalnym atakującym uzyskanie dostępu administracyjnego poprzez wprowadzenie nieokreślonego hasła podczas sesji SSH lub TELNET.
Interfejsy obiektów zserializowanych w niektórych produktach Cisco Collaboration i Social Media, a także w urządzeniach zabezpieczeń sieciowych, umożliwiają zdalnym atakującym wykonanie dowolnych poleceń za pomocą spreparowanego zserializowanego obiektu Java, związane z biblioteką Apache Commons Collections.
Funkcja BasicJsonStringifier::SerializeJSArray w json-stringifier.h w silniku JSON Google V8, używanym w Google Chrome przed wersją 47.0.2526.73, niewłaściwie ładowała elementy tablicy. To pozwala zdalnym atakującym na wywołanie odmowy usługi (dostęp do pamięci poza zakresem) lub potencjalnie na inne nieokreślone skutki za pomocą spreparowanego kodu JavaScript.
PCRE przed wersją 8.38 niewłaściwie obsługuje warunki (?(<cyfry>) oraz (?(R<cyfry>), co pozwala zdalnym atakującym na spowodowanie odmowy usługi (przepełnienie całkowite) lub potencjalnie inne nieokreślone skutki poprzez spreparowany wyrażenie regularne.
Funkcja pcre_compile w PCRE przed wersją 8.38 niewłaściwie obsługuje pewne zagnieżdżenia [:, co może prowadzić do odmowy usługi (zużycie CPU) lub innych nieokreślonych skutków poprzez spreparowany wyrażenie regularne.
PCRE przed wersją 8.38 niewłaściwie obsługuje podciągi [: i \ w klasach znaków, co pozwala zdalnym atakującym na spowodowanie odmowy usługi (odczyt niezinicjalizowanej pamięci) lub potencjalnie inny nieokreślony wpływ za pomocą spreparowanego wyrażenia regularnego.
PCRE przed wersją 8.38 nieprawidłowo obsługuje wzorzec /(?:|a|){100}x/ oraz pokrewne wzorce, co pozwala zdalnym atakującym na spowodowanie odmowy usługi (nieskończona rekurencja) lub potencjalnie inny nieokreślony wpływ za pomocą spreparowanego wyrażenia regularnego.
PCRE przed wersją 8.38 niewłaściwie obsługuje interakcję asercji lookbehind i wzorców rekurencyjnych, co pozwala zdalnym atakującym na spowodowanie odmowy usługi (przepełnienie bufora) lub potencjalnie innego nieokreślonego wpływu za pomocą spreparowanego wyrażenia regularnego.
PCRE przed wersją 8.38 niewłaściwie obsługuje pewne powtarzające się grupy warunkowe, co pozwala zdalnym atakującym na spowodowanie odmowy usługi (przepełnienie bufora) lub potencjalnie inny nieokreślony wpływ za pomocą spreparowanego wyrażenia regularnego.
Podsystem CLI w Jenkins przed wersją 1.638 oraz LTS przed 1.625.2 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany zserializowany obiekt Java. Problem dotyczy pliku commons-collections-*.jar oraz wariantu Groovy w 'ysoserial'.
Komponent bezpieczeństwa WLS w Oracle WebLogic Server w wersjach 10.3.6.0, 12.1.2.0, 12.1.3.0 oraz 12.2.1.0 umożliwia zdalnym atakującym wykonanie dowolnych poleceń poprzez spreparowany zserializowany obiekt Java w ruchu protokołu T3 na porcie TCP 7001. Problem dotyczy modułu oracle_common/modules/com.bea.core.apache.commons.collections.jar.
Podsystem KVM w jądrze Linux do wersji 4.2.6 oraz Xen w wersjach od 4.3.x do 4.6.x umożliwia użytkownikom systemu gościa wywołanie odmowy usługi (panika lub zawieszenie systemu gospodarza) poprzez wywołanie wielu wyjątków #DB (Debug), związanych z plikiem svm.c.
W systemach Mozilla Network Security Services (NSS) przed wersją 3.19.2.1 oraz 3.20.x przed wersją 3.20.1 występuje przepełnienie bufora oparte na stercie w dekoderze ASN.1. Może to prowadzić do awarii aplikacji lub potencjalnego wykonania dowolnego kodu przez złośliwe dane OCTET STRING.
W urządzeniach Allen-Bradley MicroLogix 1100 przed wersją B FRN 15.000 oraz 1400 przed wersją B FRN 15.003 występuje przepełnienie bufora na stosie, które umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez nieokreślone wektory.
Omron CX-One CX-Programmer w wersjach przed 9.6 oraz urządzenia PLC CJ2M przed wersją 2.1 i CJ2H przed wersją 1.5 przesyłają hasła w postaci niezaszyfrowanej. To umożliwia zdalnym atakującym pozyskanie wrażliwych informacji poprzez podsłuchiwanie sieci podczas żądania odblokowania PLC.