Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.11)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Niewystarczająca walidacja niezaufanych danych wejściowych w komponencie ANGLE w Google Chrome na Mac przed wersją 147.0.7727.55. Zdalny atakujący może wykonać dowolny kod w piaskownicy przez spreparowaną stronę HTML.
Użycie po zwolnieniu (use-after-free) w komponencie Navigation w Google Chrome przed wersją 147.0.7727.55. Zdalny atakujący może wykonać dowolny kod w piaskownicy przez spreparowaną stronę HTML.
Google Chrome przed wersją 147.0.7727.55 zawiera podatność na odczyt i zapis poza zakresem w V8, co pozwala zdalnemu atakującemu na wykonanie dowolnego kodu w piaskownicy poprzez spreparowaną stronę HTML.
Użycie po zwolnieniu (use-after-free) w komponencie Blink w Google Chrome przed wersją 147.0.7727.55. Zdalny atakujący może wykonać dowolny kod w piaskownicy przez spreparowaną stronę HTML.
Podatność typu Type Confusion w V8 w Google Chrome przed wersją 147.0.7727.55 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu w sandboxie za pomocą spreparowanej strony HTML. (Wysoka dotkliwość według Chromium security severity).
W przeglądarce Google Chrome przed wersją 147.0.7727.55 wykryto przepełnienie liczby całkowitej w bibliotece Skia. Zdalny atakujący może wykorzystać tę podatność, dostarczając spreparowaną stronę HTML, co prowadzi do wykonania dowolnego kodu w środowisku piaskownicy.
W Google Chrome na Mac przed wersją 147.0.7727.55 występuje przepełnienie bufora sterty w komponencie ANGLE. Zdalny atakujący może wykonać dowolny kod w piaskownicy przez spreparowaną stronę HTML.
Użycie po zwolnieniu (use-after-free) w komponencie Media w Google Chrome przed wersją 147.0.7727.55. Zdalny atakujący może wykonać dowolny kod w piaskownicy przez spreparowaną stronę HTML.
Google Chrome przed wersją 147.0.7727.55 zawiera podatność typu Type Confusion w silniku V8. Zdalny atakujący może wykorzystać spreparowaną stronę HTML do wykonania dowolnego kodu w piaskownicy przeglądarki.
W Google Chrome przed wersją 147.0.7727.55 stwierdzono nieprawidłową implementację w silniku V8. Zdalny atakujący może wykorzystać tę podatność do wykonania dowolnego kodu w sandboxie za pomocą spreparowanej strony HTML. Poziom ważności wg Chromium: Wysoki.
Niewłaściwa implementacja w komponencie V8 w Google Chrome przed wersją 147.0.7727.55. Zdalny atakujący może wykonać dowolny kod w piaskownicy przez spreparowaną stronę HTML.
Użycie po zwolnieniu (use-after-free) w komponencie V8 w Google Chrome przed wersją 147.0.7727.55. Zdalny atakujący może wykonać dowolny kod w piaskownicy przez spreparowaną stronę HTML.
Google Chrome przed wersją 147.0.7727.55 zawiera podatność use-after-free w komponencie WebRTC. Zdalny atakujący może wykorzystać spreparowaną stronę HTML do wykonania dowolnego kodu w piaskownicy. Podatność ma wysoki priorytet bezpieczeństwa Chromium.
Podatność przepełnienia liczby całkowitej w komponencie WebML w Google Chrome przed wersją 147.0.7727.55 umożliwia zdalnemu atakującemu potencjalne wykorzystanie uszkodzenia sterty poprzez spreparowaną stronę HTML. (Krytyczna dotkliwość wg Chromium).
Google Chrome przed wersją 147.0.7727.55 zawiera przepełnienie bufora sterty w WebML, które zdalny atakujący może wykorzystać przez spreparowaną stronę HTML do wykonania dowolnego kodu.
Unfurl przed wersją 2026.04 zawiera podatność na nieograniczoną dekompresję zlib w pliku parse_compressed.py. Atakujący może przesłać silnie skompresowane dane przez parametry URL do endpointu /json/visjs, które po dekompresji zajmują gigabajty, powodując wyczerpanie pamięci serwera i odmowę usługi.
UAC (Unix-like Artifacts Collector) przed wersją 3.3.0-rc1 zawiera podatność na wstrzykiwanie poleceń w potoku podstawiania symboli zastępczych i wykonywania poleceń. Funkcja _run_command() przekazuje skonstruowane ciągi poleceń bezpośrednio do eval bez odpowiedniego oczyszczania, co pozwala atakującemu na wstrzyknięcie znaków specjalnych powłoki przez kontrolowane dane wejściowe, takie jak wartości %line% z iteratorów foreach oraz %user%/%user_home% pochodzące z plików systemowych.
MemProcFS przed wersją 5.17 zawiera wiele niebezpiecznych wzorców ładowania bibliotek, umożliwiających przechwycenie DLL i bibliotek współdzielonych na sześciu powierzchniach ataku. Atakujący może umieścić złośliwą bibliotekę w katalogu roboczym lub manipulować zmienną LD_LIBRARY_PATH, co prowadzi do wykonania dowolnego kodu.
Narzędzie parseusbs przed wersją 1.9 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego. Argument ścieżki woluminu (-v) jest przekazywany bez sanityzacji do funkcji os.popen() z poleceniem ls, co pozwala na wstrzyknięcie dowolnych poleceń przez znaki metaznaków powłoki.
Podatność w parseusbs przed wersją 1.9 umożliwia wstrzyknięcie poleceń systemu operacyjnego poprzez niesanitizowane ścieżki plików LNK przekazywane do funkcji os.popen(). Atakujący może umieścić metaznaki powłoki w nazwie pliku .lnk, co prowadzi do wykonania dowolnych poleceń na komputerze analityka sądowego.