Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.15)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W podatności CVE-2012-1891 występuje przepełnienie bufora w stercie w Microsoft Data Access Components (MDAC) 2.8 SP1 i SP2 oraz Windows Data Access Components (WDAC) 6.0. Atakujący zdalnie mogą wykonać dowolny kod poprzez spreparowane dane XML, które powodują dostęp do niezainicjowanego obiektu w pamięci.
Nieokreślona podatność w składniku Java Runtime Environment (JRE) w Oracle Java SE 7 aktualizacja 4 i wcześniejszych, 6 aktualizacja 32 i wcześniejszych, 5 aktualizacja 35 i wcześniejszych oraz 1.4.2_37 i wcześniejszych, umożliwia zdalnym atakującym wpływanie na poufność, integralność i dostępność poprzez nieznane wektory związane z Hotspot.
Nieokreślona podatność w komponencie Java Runtime Environment (JRE) w Oracle Java SE 7 Update 2 i wcześniejszych, 6 Update 30 i wcześniejszych oraz 5.0 Update 33 i wcześniejszych, pozwala zdalnym atakującym wpływać na poufność, integralność i dostępność poprzez nieznane wektory związane z współbieżnością. Istnieją sugestie, że problem wynika z implementacji klasy AtomicReferenceArray, która nie zapewnia, że tablica jest typu Object[].
Implementacje IPv4 i IPv6 w jądrze Linuxa przed wersją 3.1 wykorzystują zmodyfikowany algorytm MD4 do generowania numerów sekwencyjnych oraz wartości identyfikacji fragmentów. Umożliwia to zdalnym atakującym łatwiejsze przewidywanie tych wartości i wysyłanie spreparowanych pakietów.
Wersje Atlassian JIRA przed 5.0.1, Confluence przed 3.5.16, 4.0 przed 4.0.7, 4.1 przed 4.1.10, FishEye i Crucible przed 2.5.8, 2.6 przed 2.6.8, 2.7 przed 2.7.12, Bamboo przed 3.3.4 i 3.4.x przed 3.4.5 oraz Crowd przed 2.0.9, 2.1 przed 2.1.2, 2.2 przed 2.2.9, 2.3 przed 2.3.7 i 2.4 przed 2.4.1 nieprawidłowo ograniczają możliwości zewnętrznych parserów XML, co pozwala zdalnym atakującym na odczyt dowolnych plików lub spowodowanie odmowy usługi (zużycie zasobów) za pomocą nieokreślonych wektorów.
W PHP przed wersją 5.3.12 oraz 5.4.x przed wersją 5.4.2, w przypadku konfiguracji jako skrypt CGI, występuje problem z obsługą ciągów zapytań, które nie zawierają znaku =. To umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez umieszczanie opcji wiersza poleceń w ciągu zapytań.
Proces VMX w VMware ESXi 3.5 do 4.1 oraz ESX 3.5 do 4.1 nieprawidłowo obsługuje polecenia RPC, co pozwala użytkownikom systemu gościa na spowodowanie odmowy usługi (przepełnienie pamięci i awaria procesu) lub potencjalne wykonanie dowolnego kodu na systemie gospodarza za pomocą wskaźników danych.
Nieokreślona podatność w komponencie Oracle WebCenter Forms Recognition w Oracle Fusion Middleware 10.1.3.5 umożliwia zdalnym atakującym wpływanie na poufność, integralność i dostępność poprzez nieznane wektory związane z Designerem, różniące się od podatności CVE-2012-1709.
Modicon Quantum PLC firmy Schneider Electric nie wykonuje uwierzytelniania między oprogramowaniem Unity a PLC, co umożliwia zdalnym atakującym spowodowanie odmowy usługi lub potencjalne wykonanie dowolnego kodu za pomocą nieokreślonych wektorów.
Adobe Reader i Acrobat przed wersją 9.5 oraz 10.x przed wersją 10.1.2 na systemach Windows i Mac OS X umożliwiają atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi (uszkodzenie pamięci) poprzez nieokreślone wektory. Jest to inna podatność niż CVE-2011-4370 i CVE-2011-4372.
Adobe Reader i Acrobat przed wersją 9.5 oraz 10.x przed wersją 10.1.2 na systemach Windows i Mac OS X umożliwiają atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi (uszkodzenie pamięci) poprzez nieokreślone wektory. Jest to inna podatność niż CVE-2011-4370 i CVE-2011-4373.
Komponent ExceptionDelegator w Apache Struts przed wersją 2.2.3.1 interpretuje wartości parametrów jako wyrażenia OGNL podczas obsługi wyjątków związanych z niedopasowaniem typów danych właściwości. To umożliwia zdalnym atakującym wykonanie dowolnego kodu Java poprzez odpowiednio przygotowany parametr.
Nieokreślona podatność w komponencie U3D w Adobe Reader i Acrobat w wersjach 10.1.1 i wcześniejszych na systemach Windows i Mac OS X oraz w Adobe Reader 9.x do 9.4.6 na systemach UNIX, umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi (uszkodzenie pamięci) poprzez nieznane wektory. Podatność była wykorzystywana w atakach w grudniu 2011 roku.
Przepełnienie całkowitej liczby w implementacji TCP/IP w systemach Microsoft Windows Vista SP2, Windows Server 2008 SP2, R2, R2 SP1 oraz Windows 7 Gold i SP1 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez wysłanie sekwencji spreparowanych pakietów UDP do zamkniętego portu.
Nieokreślona podatność w komponencie Java Runtime Environment w Oracle Java SE JDK i JRE 7 oraz 6 Update 27 i wcześniejszych pozwala zdalnym, nieufnym aplikacjom Java Web Start oraz nieufnym apletom Java wpływać na poufność, integralność i dostępność poprzez nieznane wektory związane z skryptowaniem.
Funkcja NSPLookupServiceNext w kliencie Microsoft Forefront Threat Management Gateway (TMG) 2010 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez nieokreślone żądania, co jest znane jako 'Podatność na uszkodzenie pamięci klienta TMG Firewall'.
Podatność w DNSAPI.dll w kliencie DNS systemów Microsoft Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008 oraz Windows 7 pozwala na niewłaściwe przetwarzanie zapytań DNS. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowane zapytanie LLMNR lub aplikację.
W Exim przed wersją 4.70 występuje przepełnienie bufora oparte na stercie w funkcji string_vformat, co pozwala zdalnym atakującym na wykonanie dowolnego kodu. Atak wymaga sesji SMTP z dwoma poleceniami MAIL oraz dużą wiadomością zawierającą spreparowane nagłówki.
OpenSSH w wersji 5.6 i wcześniejszych, przy włączonym J-PAKE, nieprawidłowo weryfikuje publiczne parametry w protokole J-PAKE. To pozwala zdalnym atakującym na ominięcie konieczności znajomości wspólnego sekretu i pomyślne uwierzytelnienie się, wysyłając spreparowane wartości w każdej rundzie protokołu.
OpenSSL w systemie Apple Mac OS X 10.6.x przed wersją 10.6.5 nieprawidłowo wykonuje operacje arytmetyczne, co pozwala zdalnym atakującym na obejście uwierzytelniania certyfikatów X.509 za pomocą dowolnego certyfikatu wydanego przez wiarygodny urząd certyfikacji.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS