Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
FasterXML jackson-databind w wersjach przed 2.7.9.3, 2.8.x przed 2.8.11.1 oraz 2.9.x przed 2.9.5 pozwala na zdalne wykonanie kodu bez uwierzytelnienia z powodu niekompletnej poprawki luki deserializacji CVE-2017-7525. Podatność można wykorzystać, wysyłając złośliwie spreparowany JSON do metody readValue klasy ObjectMapper, omijając nieskuteczną czarną listę, jeśli w classpath dostępne są biblioteki c3p0.
Przepełnienie bufora w libxml2 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez wykorzystanie nieprawidłowego limitu wartości portów podczas obsługi przekierowań.
Błąd w bibliotece libxml2 pozwala na zdalne dołączenie encji XML przy domyślnych flagach parsera, gdy wywołujący nie zażądał podstawiania encji, walidacji DTD, ładowania zewnętrznego podzbioru DTD ani domyślnych atrybutów DTD. W zależności od kontekstu może to odsłonić zawartość plików lokalnych lub serwerów HTTP/FTP, które normalnie byłyby niedostępne.
W funkcji base64d w module nasłuchującym SMTP w Exim przed wersją 4.90.1 wykryto problem, który przy wysłaniu spreparowanej wiadomości może spowodować przepełnienie bufora. Może to zostać wykorzystane do zdalnego wykonania kodu.
Podatność w interfejsie webowym routerów Cisco RV132W ADSL2+ Wireless-N VPN i RV134W VDSL2 Wireless-AC VPN wynika z niepełnej walidacji danych wejściowych kontrolowanych przez użytkownika w żądaniu HTTP. Nieuwierzytelniony zdalny atakujący może wysłać spreparowane żądanie HTTP, aby wykonać dowolny kod z uprawnieniami roota i przejąć pełną kontrolę nad systemem lub wywołać jego przeładowanie.
Wada deserializacji w jackson-databind (wersje przed 2.6.7.1, 2.7.9.1 i 2.8.9) może pozwolić nieuwierzytelnionemu użytkownikowi na wykonanie kodu poprzez wysłanie złośliwie spreparowanych danych do metody readValue klasy ObjectMapper.
W bibliotece jackson-databind w wersjach przed 2.8.10 i 2.9.1 wykryto błąd deserializacji, który umożliwia nieuwierzytelnionemu użytkownikowi wykonanie kodu poprzez przesłanie spreparowanych danych do metody readValue klasy ObjectMapper. Podatność rozszerza wcześniejszy problem CVE-2017-7525 poprzez dodanie do blacklisty kolejnych niebezpiecznych klas.
Podatność w funkcji SSL VPN w oprogramowaniu Cisco ASA umożliwia nieuwierzytelnionemu zdalnemu atakującemu przeładowanie systemu lub zdalne wykonanie kodu. Problem wynika z podwójnego zwolnienia pamięci, gdy włączona jest funkcja webvpn. Atakujący może wykorzystać tę podatność, wysyłając wiele spreparowanych pakietów XML do interfejsu z webvpn.
Jenkins w wersjach 2.56 i wcześniejszych oraz 2.46.1 LTS i wcześniejszych jest podatny na nieuwierzytelnione zdalne wykonanie kodu. Atakujący może przesłać serializowany obiekt Java SignedObject do Jenkins CLI, który zostanie zdeserializowany z użyciem nowego ObjectInputStream, omijając istniejący mechanizm ochrony oparty na czarnej liście.
Złośliwe żądania PATCH wysyłane do serwerów używających Spring Data REST w wersjach przed 2.6.9 (Ingalls SR9), przed 3.0.1 (Kay SR1) oraz Spring Boot przed 1.5.9 i 2.0 M6 mogą wykorzystać specjalnie spreparowane dane JSON do wykonania dowolnego kodu Java.
Primetek Primefaces 5.x jest podatny na słabość słabego szyfrowania, co prowadzi do zdalnego wykonania kodu.
Podatność w Trustwave Secure Web Gateway (SWG) do wersji 11.8.0.27 umożliwia zdalnym atakującym dodanie dowolnego klucza publicznego do danych SSH Authorized Keys urządzenia, co prowadzi do uzyskania zdalnego dostępu root.
System zarządzania pracownikami Biometric Shift umożliwia pobieranie dowolnych plików poprzez sekwencje przejścia katalogu w parametrze form_file_name w akcji download_form.
Dozer niewłaściwie wykorzystuje podejście oparte na refleksji do konwersji typów, co może umożliwić zdalnym atakującym wykonanie dowolnego kodu za pomocą spreparowanego obiektu serializowanego.
W podatności XXE w funkcjonalności przetwarzania XML w Play przed wersją 2.2.6 oraz 2.3.x przed wersją 2.3.5, zdalni atakujący mogą odczytać dowolne pliki, spowodować odmowę usługi lub wywołać inne nieokreślone skutki poprzez odpowiednio skonstruowane dane XML.
Terminal administracyjny w Hawt.io nie wymaga uwierzytelnienia, co pozwala zdalnym atakującym na wykonywanie dowolnych poleceń za pomocą parametru k.
Podatność w urządzeniach BAS920 i ISC2000 pozwala zdalnym atakującym na uzyskanie wrażliwych informacji poprzez wysłanie odpowiedniego żądania. Atakujący mogą zdobyć dane logowania do konta Supervisor/Administrator.
W NetTransport Download Manager w wersji 2.96L i wcześniejszych występuje podatność na przepełnienie bufora w pliku NetTransport.exe, która może umożliwić zdalnym serwerom HTTP wykonanie dowolnego kodu na urządzeniach NAS poprzez długą odpowiedź HTTP.
Funkcja Zend_Db_Select::order w Zend Framework przed wersją 1.12.7 nieprawidłowo obsługuje nawiasy, co umożliwia zdalnym atakującym przeprowadzenie ataków SQL injection za pomocą nieokreślonych wektorów.
PHP Scripts Mall PHP Multivendor Ecommerce zawiera podatność na SQL Injection poprzez parametr usid w pliku seller-view.php.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS