Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.15)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Funkcja gfxContext::Polygon w libxul.so w Mozilla Firefox przed wersją 28.0, Firefox ESR 24.x przed 24.4, Thunderbird przed 24.4 oraz SeaMonkey przed 2.25 umożliwia zdalnym atakującym uzyskanie wrażliwych informacji z pamięci procesu, spowodowanie odmowy usługi (odczyt poza zakresem i awaria aplikacji) lub potencjalne obejście polityki Same Origin poprzez wektory związane z renderowaniem wielokątów MathML.
Wiele nieokreślonych podatności w silniku przeglądarki w Mozilla Firefox przed wersją 28.0, Firefox ESR 24.x przed wersją 24.4, Thunderbird przed wersją 24.4 oraz SeaMonkey przed wersją 2.25 może umożliwić zdalnym atakującym spowodowanie odmowy usługi (uszkodzenie pamięci i awaria aplikacji) lub potencjalne wykonanie dowolnego kodu.
Podatność na wstrzykiwanie SQL w mod_mysql_vhost.c w lighttpd przed wersją 1.4.35 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nazwę hosta, związane z request_check_hostname.
Podatność typu use-after-free w funkcji imgRequestProxy w przeglądarkach Mozilla Firefox przed wersją 27.0, Firefox ESR 24.x przed wersją 24.3, Thunderbird przed wersją 24.3 oraz SeaMonkey przed wersją 2.24. Umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez nieokreślone wartości Content-Type dla danych obrazów.
Wiele nieokreślonych podatności w silniku przeglądarki w Mozilla Firefox przed wersją 27.0, Firefox ESR 24.x przed wersją 24.3, Thunderbird przed wersją 24.3 oraz SeaMonkey przed wersją 2.24 umożliwia zdalnym atakującym spowodowanie odmowy usługi (uszkodzenie pamięci i awaria aplikacji) lub potencjalne wykonanie dowolnego kodu za pomocą nieznanych wektorów.
W Adobe Flash Player przed wersją 11.7.700.261 oraz 11.8.x do 12.0.x przed wersją 12.0.0.44 na systemach Windows i Mac OS X, a także przed wersją 11.2.202.336 na Linuxie, występuje problem z niedoborem wartości całkowitych. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu poprzez nieokreślone wektory.
Funkcjonalność 'zapamiętaj mnie' w pliku login.php w Burden przed wersją 1.8.1 pozwala zdalnym atakującym na ominięcie uwierzytelnienia i uzyskanie uprawnień poprzez ustawienie ciasteczka burden_user_rememberme na 1.
W EC-CUBE w wersjach od 2.11.0 do 2.12.2 oraz w systemach EC-Orange wdrożonych przed 29 czerwca 2015 roku występuje luka umożliwiająca obejście autoryzacji poprzez problem z kluczem kontrolowanym przez użytkownika. Wykorzystanie tej podatności pozwala użytkownikowi na uzyskanie informacji o innych użytkownikach serwisu zakupowego poprzez wysłanie odpowiednio skonstruowanego żądania HTTP.
Funkcja nsGfxScrollFrameInner::IsLTR w Mozilla Firefox przed wersją 26.0, Firefox ESR 24.x przed 24.2, Thunderbird przed 24.2 oraz SeaMonkey przed 2.23 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez odpowiednio przygotowany kod JavaScript dla elementów listy uporządkowanej.
Podatność typu use-after-free w funkcji nsNodeUtils::LastRelease w interfejsie użytkownika edytora tabel w Mozilla Firefox przed wersją 26.0, Firefox ESR 24.x przed 24.2, Thunderbird przed 24.2 oraz SeaMonkey przed 2.23. Umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez wywołanie nieprawidłowego zbierania śmieci.
Podatność typu use-after-free w funkcji nsEventListenerManager::HandleEventSubType w przeglądarkach Mozilla Firefox przed wersją 26.0, Firefox ESR 24.x przed 24.2, Thunderbird przed 24.2 oraz SeaMonkey przed 2.23. Umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez uszkodzenie pamięci sterty związane z nasłuchiwaczami zdarzeń mListeners.
Implementacja JavaScript w Mozilla Firefox przed wersją 26.0, Firefox ESR 24.x przed wersją 24.2, Thunderbird przed wersją 24.2 oraz SeaMonkey przed wersją 2.23 nie egzekwuje poprawnie pewnych ograniczeń dotyczących typów przy generowaniu stubów tablic typowanych GetElementIC, co może prowadzić do nieokreślonego wpływu.
Podatność typu use-after-free w funkcji PresShell::DispatchSynthMouseMove w przeglądarkach Mozilla Firefox przed wersją 26.0, Firefox ESR 24.x przed wersją 24.2, Thunderbird przed wersją 24.2 oraz SeaMonkey przed wersją 2.23. Umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez manipulację syntetycznym ruchem myszy.
Wiele nieokreślonych podatności w silniku przeglądarki w Mozilla Firefox przed wersją 26.0, Firefox ESR 24.x przed 24.2, Thunderbird przed 24.2 oraz SeaMonkey przed 2.23, umożliwia zdalnym atakującym spowodowanie odmowy usługi (uszkodzenie pamięci i awaria aplikacji) lub potencjalne wykonanie dowolnego kodu za pomocą nieznanych wektorów.
W wersjach Juniper Junos przed 10.4S15, 11.4R9, 11.4X27.44, 12.1R7, 12.1X44-D20, 12.1X45-D15, 12.2R6, 12.3R3, 13.1R3 oraz 13.2R1, w przypadku włączonego Proxy ARP na interfejsie bez numeru, zdalni atakujący mogą przeprowadzać ataki ARP poisoning, co może prowadzić do uzyskania poufnych informacji poprzez spreparowaną wiadomość ARP.
HP ProCurve Manager (PCM) w wersjach 3.20 i 4.0, PCM+ w wersjach 3.20 i 4.0, Identity Driven Manager (IDM) w wersji 4.0 oraz Application Lifecycle Management umożliwiają zdalnym atakującym wykonanie dowolnego kodu poprzez zserializowany obiekt do EJBInvokerServlet lub JMXInvokerServlet.
Adobe Reader i Acrobat w wersjach 9.x przed 9.5.5, 10.x przed 10.1.7 oraz 11.x przed 11.0.03 pozwalają atakującym na wykonanie dowolnego kodu lub spowodowanie odmowy usługi (uszkodzenie pamięci) poprzez nieokreślone wektory. Jest to inna podatność niż te wymienione w CVE-2013-2718 do CVE-2013-3341.
Apache Struts w wersjach od 2.0.0 do 2.3.15 umożliwia zdalnym atakującym wykonanie dowolnych wyrażeń OGNL poprzez odpowiednio skonstruowany parametr z prefiksem (1) action:, (2) redirect: lub (3) redirectAction:.
Nieokreślona podatność w komponencie Java Runtime Environment (JRE) w Oracle Java SE 7 Update 21 i wcześniejszych, 6 Update 45 i wcześniejszych oraz 5.0 Update 45 i wcześniejszych, a także w OpenJDK 7, umożliwia zdalnym atakującym wpływanie na poufność, integralność i dostępność poprzez nieznane wektory związane z 2D.
Wielokrotne przepełnienia bufora na stosie w funkcji iriap_getvaluebyclass_indication w jądrze Linux przed wersją 2.6.39 mogą pozwolić zdalnym atakującym na spowodowanie odmowy usługi (uszkodzenie pamięci) lub potencjalnie innego nieokreślonego wpływu. Atakujący mogą wykorzystać połączenie z siecią podczerwieni IrDA, wysyłając dużą wartość całkowitą dla długości nazwy lub długości atrybutu.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS