Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Adobe XD w wersjach 16.0 i starszych zawiera podatność typu path traversal (przechodzenie ścieżki). Udana eksploatacja może doprowadzić do wykonania dowolnego kodu.
W oprogramowaniu U.motion Builder w wersji 1.3.4 występuje podatność typu SQL Injection (CWE-89). Może ona spowodować niepożądane wykonanie kodu po wprowadzeniu niewłaściwego zestawu znaków.
Citrix Workspace App dla systemu Windows przed wersją 1904 ma wadę związaną z nieprawidłową kontrolą dostępu, co może pozwolić na nieautoryzowany dostęp do zasobów.
Podatność zdalnego wykonania kodu w usługach pulpitu zdalnego (RDP) pozwala nieuwierzytelnionemu atakującemu na wykonanie kodu poprzez wysłanie specjalnie spreparowanych żądań do systemu docelowego.
Xstream API w wersjach do 1.4.6 oraz 1.4.10, jeśli framework bezpieczeństwa nie został zainicjalizowany, może pozwolić zdalnemu atakującemu na wykonanie dowolnych poleceń powłoki poprzez manipulację przetwarzanym strumieniem wejściowym podczas deserializacji XML lub innych formatów, np. JSON.
Urządzenie LG N1A1 NAS jest podatne na zdalne wykonanie poleceń poprzez wysłanie żądania HTTP POST z odpowiednimi parametrami, co pozwala na wykonanie dowolnego kodu.
Podatność przepełnienia bufora w stosie VoIP WhatsApp pozwala na zdalne wykonanie kodu poprzez wysłanie specjalnie spreparowanej serii pakietów RTCP na numer telefonu ofiary.
Podatność w Pulse Connect Secure pozwala nieuwierzytelnionemu zdalnemu atakującemu na odczyt dowolnych plików poprzez wysłanie specjalnie spreparowanego URI.
W Open XDMoD w wersji do 7.5.0 zidentyfikowano problem z obejściem uwierzytelniania, który może prowadzić do przejęcia konta. Słaby mechanizm resetowania hasła umożliwia atakującemu przeprowadzenie ataku brute-force na wartość MD5 rid, wymagając jedynie 600 prób, jeśli zna, że ofiara rozpoczęła proces resetowania hasła w ciągu ostatnich kilku minut.
Router ZyXEL P660HN-T1A ma podatność na wstrzyknięcie poleceń w funkcji przekazywania logów systemowych, dostępnej dla nieuwierzytelnionego użytkownika, poprzez parametr remote_host na stronie ViewLog.asp.
Podatność CVE-2019-10952 dotyczy kontrolerów CompactLogix 5370 oraz GuardLogix 5370, które są narażone na atak polegający na wysłaniu spreparowanego żądania HTTP/HTTPS. Może to prowadzić do niedostępności serwera webowego oraz zdalnego wykonania kodu z powodu przepełnienia bufora na stosie.
Wiele urządzeń do prezentacji bezprzewodowych (m.in. Crestron AM-100, Barco wePresent, Extron ShareLink) ma podatność na wstrzyknięcie poleceń w punkcie HTTP file_transfer.cgi, co pozwala zdalnemu nieuwierzytelnionemu atakującemu na wykonanie poleceń systemowych jako root.
Podatność w komponencie Oracle WebLogic Server (część Oracle Fusion Middleware, podkomponent: Web Services) dotyczy wersji 10.3.6.0.0 i 12.1.3.0.0. Łatwo wykorzystywalna podatność pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez HTTP na przejęcie kontroli nad serwerem WebLogic. Skuteczny atak może prowadzić do całkowitego przejęcia serwera. CVSS 3.0 Base Score 9.8.
Wersja libxslt do 1.1.33 pozwala na obejście mechanizmu ochrony, ponieważ wywołania xsltCheckRead i xsltCheckWrite zezwalają na dostęp, nawet gdy zwracany jest kod błędu -1. Funkcja xsltCheckRead może zwrócić -1 dla spreparowanego URL, który nie jest faktycznie nieprawidłowy i jest następnie ładowany.
W Kentico 12.0.x przed 12.0.15, 11.0.x przed 11.0.48, 10.0.x przed 10.0.52 i w wersjach 9.x brakuje walidacji nagłówków bezpieczeństwa, co pozwala na obejście uwierzytelniania w usłudze staging i deserializację danych .NET. To prowadzi do zdalnego wykonania kodu bez uwierzytelnienia na serwerze z Kentico.
Kibana w wersjach przed 5.6.15 i 6.6.1 zawiera podatność na wykonanie dowolnego kodu w wizualizatorze Timelion. Atakujący z dostępem do aplikacji Timelion może wysłać żądanie, które próbuje wykonać kod JavaScript, co może prowadzić do wykonania dowolnych poleceń z uprawnieniami procesu Kibana na systemie.
Makro Widget Connector w Atlassian Confluence Server przed wersjami 6.6.12, 6.12.3, 6.13.3 i 6.14.2 pozwala zdalnym atakującym na przejście ścieżki (path traversal) i zdalne wykonanie kodu na serwerze Confluence lub Data Center poprzez wstrzyknięcie szablonu po stronie serwera.
urllib w Python 2.x do 2.7.16 obsługuje schemat local_file:, co ułatwia zdalnym atakującym obejście mechanizmów ochronnych blokujących URI file:, na przykład przez wywołanie urllib.urlopen('local_file:///etc/passwd').
Sonatype Nexus Repository Manager przed wersją 3.15.0 ma nieprawidłową kontrolę dostępu, co może pozwolić nieautoryzowanym użytkownikom na wykonywanie operacji, do których nie mają uprawnień.
W libssh2 przed wersją 1.8.1 wykryto błąd odczytu poza granicami w funkcjach _libssh2_packet_require i _libssh2_packet_requirev. Zdalny atakujący, który skompromituje serwer SSH, może spowodować odmowę usługi lub odczyt danych z pamięci klienta.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS