#podatnosc
619 artykułów
CVE-2026-109593: odczyt plików bez uwierzytelnienia w SonicWall GMS
Nieuwierzytelniony atakujący z dostępem sieciowym do SonicWall GMS 9.5.2 i starszych może odczytać wewnętrzne pliki GMS, co grozi ujawnieniem wrażliwych informacji...
CVE-2026-119977: zdalne wykonanie kodu podczas aktualizacji WordPress Core (CISA KEV)
WordPress Core w wersjach 4.7–7.1.3 pozwala nieuwierzytelnionemu atakującemu wykonać kod na serwerze w trakcie aktualizacji rdzenia, przez przewidywalne i dostępne z sieci ścieżki tymczasowe. CISA potwierdza aktywne wykorzystanie...
CVE-2026-13594: nieautoryzowany dostęp do ManageEngine Log360 i EventLog Analyzer
Luka w ManageEngine Log360 i EventLog Analyzer (buildy 13025–13061) pozwala atakującemu uzyskać nieautoryzowany dostęp do produktu. Poprawka: build 13062...
CVE-2026-28336: wstrzyknięcie poleceń w SolarWinds Dameware
SolarWinds Dameware ma podatność typu command injection, która może doprowadzić do przejęcia hosta zarządzanego zdalnie. Wymaga uwierzytelnienia...
CVE-2026-4052: dostęp do System REST API w WSO2 API Manager przez token z WSO2 Identity Server
W WSO2 API Manager z Identity Server jako Resident Key Manager i współdzieloną bazą danych samodzielnie zarejestrowany użytkownik może uzyskać token dający dostęp do System REST API...
CVE-2026-82158: XSS w Dell Wyse Management Suite
Dell Wyse Management Suite w wersjach przed 2609.0.0.155 ma podatność typu Cross-site Scripting: atakujący z niskimi uprawnieniami i dostępem zdalnym może wstrzyknąć skrypt do interfejsu konsoli...
CVE-2026-95731, -95732, -95733: zahardkodowane hasło i zdalne wykonanie kodu w HPE Networking Fabric Composer
Trzy krytyczne podatności w HPE Networking Fabric Composer z jednego biuletynu: zahardkodowane hasło w CLI daje zdalny dostęp administracyjny bez uwierzytelnienia, dwie kolejne pozwalają na wykonanie kodu z sieci sąsiedniej...
CVE-2026-111357: eskalacja uprawnień do root w Ivanti Connect Secure (aktywnie wykorzystywana)
Luka w Ivanti Connect Secure pozwala uwierzytelnionemu atakującemu podnieść uprawnienia do root. Jest wykorzystywana w łańcuchu z CVE-2026-104935 i CVE-2026-118527 — CISA KEV...
CVE-2026-118527: przewidywalne identyfikatory i zapis plików w Ivanti Connect Secure (aktywnie wykorzystywana)
Luka w Ivanti Connect Secure pozwala zdalnemu, uwierzytelnionemu atakującemu zapisać plik o kontrolowanej treści w znanym miejscu na dysku. Łańcuch z CVE-2026-104935 i CVE-2026-111357 — CISA KEV...
CVE-2026-76418: aktywnie wykorzystywany DoS w VPN SSL Cisco Secure Firewall ASA i FTD
Nieuwierzytelniony, zdalny atakujący może spreparowanym żądaniem do usługi VPN SSL zdalnego dostępu wymusić restart zapory Cisco ASA lub FTD. Cisco potwierdza aktywne wykorzystanie luki w październiku 2026...
CVE-2026-84295 i 5 kolejnych: krytyczne luki w Progress WS_FTP Server (wyciek poświadczeń, RCE)
Progress naprawił w WS_FTP Server sześć krytycznych luk, w tym obejście uwierzytelniania ujawniające poświadczenia administratora bez logowania oraz wstrzykiwanie poleceń systemu. Poprawki: 2024.0.7 i 2025.0.4...
CVE-2026-97229: aktywnie wykorzystywane RCE w GitLab CE/EE przez wyrażenie regularne w CI/CD
Przepełnienie liczby całkowitej przy walidacji wyrażeń regularnych w konfiguracji CI/CD pozwala nieuwierzytelnionemu użytkownikowi wykonać kod na serwerze GitLab. Luka jest w katalogu CISA KEV...
CVE-2026-46300: aktywnie wykorzystywana luka w jądrze Linux (skbuff, ESP), łańcuch z PHP2Shell
Błąd w jądrze Linux gubi znacznik współdzielonych fragmentów przy łączeniu buforów gniazd, przez co przetwarzanie ESP może odszyfrować dane w miejscu i zmodyfikować page cache. Atakujący łączą go z PHP2Shell...
CVE-2026-111497 (Node2Shell): zapis poza buforem w dekoderze Google Brotli (Node.js, .NET)
Dekoder biblioteki Google Brotli w wersjach 1.0.3–1.2.0 pozwala spreparowanym strumieniem skompresowanych danych uszkodzić pamięć procesu. Luka dotyczy m.in. Node.js i .NET i może prowadzić do zdalnego wykonania kodu...
CVE-2026-109618 (PHP2Shell): zdalne wykonanie kodu w PHP po błędzie braku pamięci
PHP po błędzie braku pamięci (OOM) przerywa obsługę żądania funkcją longjmp(), a niektóre konteksty zostawiają wtedy pamięć żądania niezainicjowaną. Luka pozwala na zdalne wykonanie kodu bez uwierzytelnienia...
CVE-2026-109619 (PHP2Shell): use-after-free przez nieaktualny stan żądania w PHP
Globalny stan PHP wskazujący na pamięć żądania nie zawsze jest poprawnie zerowany, więc kolejne żądania mogą korzystać ze zwolnionej pamięci (use-after-free). Luka pozwala na zdalne wykonanie kodu bez uwierzytelnienia...
CVE-2026-110447: aktywnie wykorzystywane RCE w Collabora Online Built-in CODE Server (Nextcloud)
Wstrzyknięcie poleceń systemu w proxy.php aplikacji Collabora Online Built-in CODE Server dla Nextcloud pozwala zdalnie wykonać kod, gdy serwer CODE nie działa. Luka była wykorzystywana we wrześniu i październiku 2026...
CVE-2026-110264: zdalne wykonanie kodu bez uwierzytelnienia w GitLab CE/EE
Przepełnienie liczby całkowitej przy kompilacji spreparowanego wyrażenia regularnego może pozwolić nieuwierzytelnionemu użytkownikowi wykonać dowolny kod na serwerze GitLab. Dotyczy wersji od 7.0...
CVE-2026-114625: eskalacja uprawnień w Arista VeloCloud Orchestrator (on-prem), CISA KEV
W lokalnie instalowanym VeloCloud Orchestrator (VCO) każdy uwierzytelniony użytkownik może uzyskać uprawnienia operatora i podszyć się pod lokalnego „superuser operator”. Luka jest aktywnie wykorzystywana...
CVE-2026-76299 i CVE-2026-76302: krytyczne luki w Splunk Enterprise (wewnętrzny przegląd Cisco)
Splunk naprawił w Splunk Enterprise serię luk wykrytych w wewnętrznym przeglądzie bezpieczeństwa Cisco. Dwie grupy oceniono na 9.9: niewłaściwa kontrola dostępu i niewłaściwa neutralizacja danych...
CVE-2026-76531: pliki i katalogi dostępne dla nieuprawnionych w Splunk SOAR
Splunk naprawił w Splunk SOAR 8.7.0 serię luk wykrytych w wewnętrznym przeglądzie bezpieczeństwa Cisco. Najpoważniejsza grupa, CVE-2026-76531, dotyczy plików i katalogów dostępnych dla nieuprawnionych...
CVE-2026-79867 i 8 kolejnych: krytyczne luki w HPE Aruba AOS-8 i AOS-10 (kontrolery, gatewaye, punkty dostępowe)
HPE opublikowało biuletyn HPESBNW05162 z kilkudziesięcioma lukami w AOS-8 i AOS-10. Dziewięć z nich jest krytycznych: obejścia uwierzytelniania, wykonanie poleceń jako uprzywilejowany użytkownik i przepełnienie bufora...
CVE-2026-20043: zapis poza buforem w Snort 3 (Cisco Secure Firewall, Meraki MX, UTD)
Wewnętrzny przegląd bezpieczeństwa Snort 3 ujawnił grupę luk typu zapis poza granicami bufora. Silnik działa m.in. w Cisco Secure Firewall Threat Defense, Meraki MX, Cyber Vision i UTD na IOS XE...
CVE-2026-76466: zdalne wykonanie poleceń jako root w Cisco Expressway
Luka w usłudze bazy danych Cisco Expressway (Expressway-C i Expressway-E) pozwala nieuwierzytelnionemu, zdalnemu atakującemu z dostępem sieciowym do urządzenia wykonać dowolne polecenia jako root...
CVE-2026-76474 i 2 kolejne: krytyczne luki w Cisco Unified CM, Unity Connection i Emergency Responder
Wewnętrzny przegląd bezpieczeństwa Cisco ujawnił serię luk w platformie komunikacji głosowej: Unified CM, IM & Presence, Unity Connection, Emergency Responder i Prime Collaboration Deployment...
CVE-2026-87095: błędna autoryzacja w Acronis Cyber Infrastructure — odczyt i zmiana danych
Niewłaściwe sprawdzanie autoryzacji w Acronis Cyber Infrastructure (ACI) pozwala ujawnić i zmodyfikować wrażliwe informacje. Poprawki są w buildach 6.0.1-112, 6.1.1-64 i 6.2.1-71...
CVE-2026-92559: ujawnienie poświadczeń w IBM App Connect Enterprise 13 (Connector Discovery)
IBM App Connect Enterprise od 13.0.1.0 do 13.0.8.2 może pozwolić zdalnemu atakującemu uzyskać wrażliwe informacje, w tym poświadczenia, bo komponent Connector Discovery nasłuchuje na nieograniczonym adresie IP...
CVE-2026-108474: SQL injection w bibliotece JetBrains Exposed (Kotlin)
W bibliotece JetBrains Exposed (framework SQL dla Kotlina) przed wersją 1.5.1 możliwe było wstrzyknięcie SQL przez nieescapowane argumenty tekstowe kilku funkcji SQL...
CVE-2026-75875 i 2 kolejne: krytyczne luki w IBM Guardium Data Protection 12
IBM opublikowało poprawki trzech krytycznych luk w Guardium Data Protection 12: path traversal z wykonaniem kodu i SQL injection w komponencie Sniffer oraz brak uwierzytelnienia funkcji zarządczych...
CVE-2026-96207 i 4 kolejne: krytyczne luki w usługach chmurowych Microsoftu (Partner Center, Bookings, Azure, Dataverse)
Microsoft opublikował pięć krytycznych podatności w usługach chmurowych: Partner Center, Bookings, Azure App Service, Dataverse i Azure SRE Agent. To luki usuwane po stronie usługi — sprawdź, czy któraś wymaga Twojego działania...
CVE-2026-14269 i 5 kolejnych: krytyczne luki w IBM DataPower Gateway 10.5, 10.6 i 11.0
IBM naprawił w DataPower Gateway 11.0.0.3, 10.6.0.11 i 10.5.0.23 serię luk, w tym sześć krytycznych: przepełnienia bufora pozwalające wykonać kod bez uwierzytelnienia i przyjmowanie pustych haseł przy uwierzytelnianiu LDAP...
CVE-2026-59346: ucieczka z maszyny wirtualnej w VMware Workstation i Fusion (VMXNET3)
Przepełnienie liczby całkowitej w VMware Workstation i Fusion pozwala atakującemu z uprawnieniami administratora w maszynie wirtualnej z kartą sieciową VMXNET3 wykonać kod na hoście...
CVE-2026-76480 i CVE-2026-76483: krytyczne luki w Cisco License On-Prem (dawniej SSM On-Prem)
Wewnętrzny przegląd bezpieczeństwa Cisco License On-Prem (dawniej Smart Software Manager On-Prem) ujawnił m.in. brak uwierzytelnienia funkcji krytycznej i niedostatecznie chronione poświadczenia. Poprawka: 10-202609...
CVE-2026-76485 i 2 kolejne: zdalne wykonanie kodu jako root w Cisco NX-OS (NGOAM, Nexus 3000/9000)
Trzy luki w funkcji NGOAM (VXLAN OAM i SRv6 OAM) w Cisco NX-OS pozwalają nieuwierzytelnionemu, zdalnemu atakującemu wykonać kod z uprawnieniami root lub spowodować odmowę usługi na przełącznikach Nexus 3000 i 9000...
CVE-2026-76498, CVE-2026-76499 i CVE-2026-76500: krytyczne luki w Cisco APIC (ACI)
Wewnętrzny przegląd bezpieczeństwa Cisco APIC, kontrolera sieci Cisco ACI, ujawnił trzy grupy krytycznych luk: kontrola dostępu, wstrzykiwanie poleceń i zarządzanie zasobami. Obejść nie ma...
CVE-2026-63688 i 5 kolejnych: krytyczne luki w Dell Container Storage Modules (Kubernetes)
Dell naprawił w Container Storage Modules 1.18.0 sześć krytycznych luk, m.in. brak uwierzytelnienia w serwerze gRPC csm-authorization-storage, który ujawnia poświadczenia administratora macierzy...
CVE-2026-76721 i 4 kolejne: RCE i obejście uwierzytelniania w punktach dostępowych HPE Networking Instant On
HPE opublikowało pięć krytycznych podatności w punktach dostępowych HPE Networking Instant On — przepełnienia bufora, błąd format string, wstrzykiwanie poleceń w CLI i obejście uwierzytelniania...
CVE-2026-8065: obejście uwierzytelniania przy aktualizacji firmware w Hitachi Energy RTU500
Obejście uwierzytelniania w endpoincie aktualizacji firmware wycofanych (end-of-life) wersji Hitachi Energy RTU500 pozwala nieuwierzytelnionemu atakującemu wgrać dowolny firmware do urządzenia...
CVE-2026-84436: wstrzykiwanie poleceń w IBM Guardium Data Protection 12.2
IBM Guardium Data Protection 12.2 jest podatny na wstrzykiwanie poleceń w funkcji eksportu certyfikatów w CLI — uwierzytelniony użytkownik CLI z uprawnieniami może wykonać dowolne polecenia jako root...
CVE-2026-86950: aktywnie wykorzystywany zapis poza zakresem w Apple CoreGraphics (iOS, macOS, iPadOS)
Apple iOS, macOS i iPadOS zawierają podatność typu zapis poza zakresem (out-of-bounds write) w CoreGraphics, która może prowadzić do wykonania dowolnego kodu. Luka jest aktywnie wykorzystywana...
CVE-2026-88771: wykonanie poleceń bez uwierzytelnienia w Citrix NetScaler (KEV)
Niewłaściwa walidacja danych wejściowych w Citrix NetScaler ADC i NetScaler Gateway pozwala nieuwierzytelnionemu atakującemu wykonywać dowolne polecenia. Podatność jest aktywnie wykorzystywana...
CVE-2026-88772: błąd pamięci w Citrix NetScaler ADC i Gateway prowadzący do RCE (KEV)
Błąd niewłaściwego ograniczenia operacji w granicach bufora pamięci w Citrix NetScaler ADC i NetScaler Gateway może prowadzić do zdalnego wykonania kodu lub odmowy usługi. Podatność jest aktywnie wykorzystywana...
CVE-2026-65660: wstrzyknięcie kodu w Microsoft SharePoint Server (KEV)
Podatność typu wstrzyknięcie kodu w Microsoft SharePoint Server pozwala uwierzytelnionemu atakującemu wykonać kod przez sieć. Podatność jest aktywnie wykorzystywana...
CVE-2026-87902: dołączanie plików PHP w rdzeniu WordPressa prowadzące do RCE (KEV)
Nieuwierzytelniony atakujący może zmusić mechanizm wyboru szablonu strony w rdzeniu WordPressa do dołączenia wybranego lokalnego pliku .php spoza katalogów motywu, co może prowadzić do zdalnego wykonania kodu...
Zimbra: trzy podatności stored XSS wyzwalane przez wiadomość e-mail (CVE-2026-93641)
Nieuwierzytelniony nadawca może spreparować powiadomienie o udostępnieniu lub zaproszenie kalendarza, które uruchamia stored XSS w Zimbra Classic lub Modern i daje dostęp do skrzynki ofiary...
CVE-2026-93643: wykonanie poleceń bez uwierzytelnienia w Zimbra przez integrację OnlyOffice
Gdy w Zimbra dostępna jest edycja dokumentów OnlyOffice, nieuwierzytelniony atakujący z dostępem do publicznego dokumentu w Briefcase może zapisać pliki poza katalogiem i wykonać polecenia jako zimbra...
CVE-2026-5430: krytyczna podatność w WSO2 API Manager i bramach API (KEV)
Podatność w WSO2 API Control Plane, API Manager, Traffic Manager i Universal Gateway może pozwolić na nieograniczone przesyłanie plików i zdalne wykonanie kodu. Podatność jest aktywnie wykorzystywana...
CVE-2026-71362: eskalacja uprawnień w Adobe Commerce i Magento (KEV, EPSS 88%)
Błąd niewłaściwej autoryzacji w Adobe Commerce i Magento pozwala atakującemu uzyskać podwyższony dostęp do wrażliwych zasobów bez interakcji użytkownika. Podatność jest aktywnie wykorzystywana...
CVE-2026-78308 i CVE-2026-78312: obejście uwierzytelniania i path traversal w Delta Electronics DIAEnergie
DIAEnergie — przemysłowy system zarządzania energią firmy Delta Electronics — w wersjach przed 1.11.00.022 zawiera dwie krytyczne podatności: CVE-2026-78308 (nieprawidłowe uwierzytelnianie...
CVE-2026-93577 i CVE-2026-89078: zdalne wykonanie kodu w GitLab CE/EE przez wyrażenia regularne w CI/CD
GitLab usunął dwie podatności w GitLab CE/EE (wersje 19.2 przed 19.2.7, 19.3 przed 19.3.3 i 19.4 przed 19.4.1), które w określonych warunkach pozwalały uwierzytelnionemu użytkownikowi wykonać...
CVE-2026-75884: eskalacja uprawnień do przestrzeni nazw OpenShift w AWX / Ansible Automation Platform
Pole pod_spec_override w konfiguracji grup kontenerów AWX korzysta z niepełnej listy blokad, która ogranicza jedynie automountServiceAccountToken. Pozwala to wstrzyknąć initContainers, nadpisać...
CVE-2026-84719: obejście kontroli uprawnień w Red Hat Ansible Automation Platform
Podczas kopiowania szablonu WorkflowJobTemplate w komponencie automation controller mechanizm sanitacji uprawnień sprawdza tylko inwentarz, szablon zadania i poświadczenia klonowanych węzłów...
CVE-2026-85102: zdalne wykonanie kodu na bramach Check Point Quantum przez negocjację VPN (KEV)
Nieprawidłowa weryfikacja zaufania certyfikatu podczas negocjacji VPN w Check Point Quantum Security Gateway może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na wykonanie dowolnego kodu na...
CVE-2026-93616: nieuwierzytelnione wykonanie kodu na Check Point Management Server (KEV)
Podatność typu directory traversal połączona z możliwością przesyłania plików pozwala nieuwierzytelnionemu atakującemu wgrać i uruchomić dowolne skrypty na serwerze Check Point Management Server...
CVE-2026-93952: krytyczna podatność w Arista VeloCloud Orchestrator on-premise (KEV, CVSS 10)
Instalacje on-premise VeloCloud Orchestrator (VCO) zawierają błąd, który może pozwolić zdalnemu atakującemu na dostęp do uprzywilejowanych funkcji wewnętrznych i naruszenie hosta VCO. Skuteczne...
CVE-2026-94127: zdalne wykonanie kodu w F5 BIG-IP APM skonfigurowanym jako serwer OAuth (KEV)
Gdy na serwerze wirtualnym skonfigurowano politykę dostępu BIG-IP APM oraz profil OAuth, spreparowany ruch może doprowadzić do zdalnego wykonania kodu (RCE) bez uwierzytelnienia — przyczyną jest...
CVE-2026-7273: przepełnienie bufora w przełącznikach Zyxel GS1900 — aktywnie wykorzystywane (KEV)
Przepełnienie bufora na stosie w programie CGI firmware przełączników Zyxel GS1900 (m.in. GS1900-48HPv2 do wersji 2.90(ABTQ.1)C0) może pozwolić nieuwierzytelnionemu atakującemu z sieci LAN na...
CVE-2025-39682: Błąd obsługi rekordów zerowej długości w ścieżce TLS jądra Linuksa
W ścieżce odbiorczej TLS jądra Linuksa rekord zerowej długości omija obsługę typu rekordu w recvmsg(), przez co kolejne rekordy TLS mogą być przetwarzane z błędnymi założeniami...
CVE-2025-39964: Wyścig przy równoczesnych zapisach do gniazda AF_ALG w jądrze Linuksa
Równoczesne zapisy do tego samego gniazda AF_ALG w jądrze Linuksa przeplatają dane w nieprzewidywalny sposób, naruszając spójność stanu wewnętrznego gniazda...
CVE-2026-53266: zapis poza buforem w jądrze Linux (netfilter, ebtables) — aktywnie wykorzystywane (KEV)
Błąd w module netfilter jądra Linux (ebtables, cel SNAT dla mostów sieciowych): przepisanie adresu źródłowego w ramkach ARP odbywało się bez zapewnienia, że bufor pakietu (skb) jest zapisywalny...
CVE-2026-76460: Ominięcie interfejsu zarządzania w Cisco Identity Services Engine
Cisco Identity Services Engine i ISE Passive Identity Connector pozwalają nieuwierzytelnionemu atakującemu uzyskać dostęp do urządzenia, omijając webowy interfejs zarządzania...
CVE-2026-76461: SQL injection w Cisco Secure Email Gateway
Cisco AsyncOS dla Secure Email Gateway zawiera podatność SQL injection, przez którą nieuwierzytelniony, zdalny atakujący może wykonać dowolne polecenia z uprawnieniami roota...
CVE-2026-42016: Eskalacja uprawnień przez zakres tokenu w JFrog Artifactory
JFrog Artifactory weryfikuje podpis i wystawcę tokenu, ale nie sprawdza jego zakresu — token ważny dla wąskiego zastosowania zostaje przyjęty szerzej, niż powinien...
CVE-2026-42018: Wyciek tokenu anonimowego w JFrog Artifactory
JFrog Artifactory może zwrócić wewnętrzny token użytkownika anonimowego nieuwierzytelnionemu klientowi nawet przy wyłączonym dostępie anonimowym, odsłaniając wrażliwe zasoby...
CVE-2026-84869: Przesyłanie i uruchamianie plików w sesji ConnectWise ScreenConnect
ConnectWise ScreenConnect pozwala przesłać i uruchomić pliki przez aktywną sesję zdalną bez autoryzacji i bez potwierdzenia użytkownika po stronie hosta...
CVE-2026-85706: Path traversal w GitLab Community i Enterprise Edition
GitLab Community Edition i Enterprise Edition pozwalają nieuwierzytelnionemu użytkownikowi odczytać dowolne pliki — przez niewłaściwe ograniczenie ścieżki i brak kontroli uwierzytelnienia w API commitów...
CVE-2026-67277: Brak uwierzytelniania w usłudze btest MikroTik RouterOS
Usługa btest w MikroTik RouterOS nie wymaga uwierzytelnienia, co pozwala ujawnić zawartość pamięci jądra i doprowadzić do odmowy usługi...
CVE-2026-86060: Eskalacja uprawnień przez maskę polityk w MikroTik RouterOS
MikroTik RouterOS pozwala zmienić zaufaną maskę polityk przez niewłaściwą neutralizację separatorów argumentów w poleceniu, co prowadzi do eskalacji uprawnień...
CVE-2025-25249: Przepełnienie sterty w FortiOS, FortiSwitchManager i FortiSASE
FortiOS, FortiSwitchManager i FortiSASE zawierają przepełnienie bufora na stercie, które pozwala wykonać nieuprawniony kod lub polecenia przez specjalnie spreparowane pakiety...
CVE-2026-19490: Ominięcie uwierzytelniania w Citrix NetScaler ADC i Gateway
Citrix NetScaler ADC i NetScaler Gateway pozwalają ominąć uwierzytelnianie alternatywną ścieżką, gdy urządzenie skonfigurowano jako serwer wirtualny AAA lub jako Gateway...
CVE-2026-20079: Ominięcie uwierzytelniania w Cisco Secure Firewall Management Center
Cisco Secure Firewall Management Center i Security Cloud Control Firewall Management pozwalają nieuwierzytelnionemu, zdalnemu atakującemu ominąć uwierzytelnianie i uruchomić skrypty jako root...
CVE-2026-87491: Zapis poza zakresem w silniku V8 przeglądarki Chromium
Zapis poza zakresem w silniku V8 pozwala zdalnemu atakującemu wykonać dowolny kod wewnątrz piaskownicy przez spreparowaną stronę HTML — także w Chrome, Edge i Operze...
CVE-2026-72982 i 5 powiązanych: sześć krytycznych luk w serwerowych komponentach Windows
Sześć luk o ocenie 9.8 w komponentach, które nasłuchują po sieci: kontroler domeny, klaster, VPN, magazyn danych. Pięć z nich pozwala wykonać kod bez żadnych poświadczeń...
CVE-2026-75650: krytyczna luka w Adobe Commerce i Magento — CVSS 10, atak bez interakcji
Wstrzyknięcie do silnika szablonów w Adobe Commerce pozwala wykonać dowolny kod bez żadnej interakcji użytkownika. CVSS 10.0, aktywnie wykorzystywana, termin CISA mija 11 września...
CVE-2026-78509 i CVE-2026-78510: krytyczne luki w Outlooku i Wordzie — wykonanie kodu bez uwierzytelnienia
Dwie luki o ocenie 9.8 w najczęściej używanych aplikacjach pakietu Office. Wektorem jest treść, która i tak trafia do użytkownika: wiadomość i dokument...
CVE-2026-81376: obejście zabezpieczenia w Visual Studio Code — luka na stacjach programistów
Luka o ocenie 9.6 w edytorze, który stoi na komputerze każdego programisty - a te komputery mają dostęp do repozytoriów, kluczy i środowisk produkcyjnych...
CVE-2026-81963 i CVE-2026-85880: dwie aktywnie wykorzystywane luki eskalacji uprawnień w Windows
Wrześniowy Patch Tuesday przyniósł dwie luki eskalacji uprawnień, które są już wykorzystywane w atakach. Jedna dotyczy nowych systemów, druga starych - razem pokrywają praktycznie całą flotę...
CVE-2026-83941: brak kontroli uprawnień w Entra ID — luka, której nie da się załatać samodzielnie
Luka o ocenie 9.9 w usłudze tożsamości Microsoftu. Nie ma tu poprawki do zainstalowania - jest usługa chmurowa, którą naprawia dostawca. Po Twojej stronie zostaje sprawdzenie, co się działo...
CVE-2026-86218: pre-auth RCE w N-able N-central — luka w narzędziu, które zarządza cudzą infrastrukturą
N-central to platforma RMM - zarządza końcówkami klientów z jednego miejsca. Luka pozwala wykonać kod bez logowania, więc przejęcie serwera oznacza dostęp do całej zarządzanej floty...
CVE-2026-85046: aktywnie wykorzystywana luka w silniku V8 przeglądarki Chrome
Google załatał kolejną lukę w V8 - tym razem wykorzystywaną w atakach. Spreparowana strona HTML pozwala wykonać kod wewnątrz sandboxa przeglądarki. Wersja z poprawką to 152.0.7977.82...
CVE-2026-19117: obejście uwierzytelnienia przez rejestrację klucza FIDO2 w Delinea Secret Server
W określonych warunkach atakujący może zarejestrować kontrolowany przez siebie klucz FIDO2 na koncie ofiary, a następnie uwierzytelnić się jako ten użytkownik — w systemie zarządzania kontami uprzywilejowanymi...
CVE-2026-20212: nieuwierzytelnione wykonanie kodu z uprawnieniami root w przełącznikach Cisco Nexus 9000
Porty TCP 43210 i 43211 integracji Silicon One są dostępne w domyślnym VRF warstwy 3, co pozwala nieuwierzytelnionemu atakującemu wykonać kod z uprawnieniami root na przełączniku...
CVE-2026-20274 i CVE-2026-20279: wydanie hardeningowe Cisco IOS XR — luki bez obejścia
Cisco opublikowało wydania hardeningowe IOS XR zamykające siedem klas podatności wykrytych we własnym przeglądzie kodu — podatne są wszystkie wydania, niezależnie od konfiguracji urządzenia...
CVE-2026-49869: obejście uwierzytelniania w Kestra OSS — jeden endsWith i pełne RCE jako root
Filtr uwierzytelniania sprawdzał, czy ścieżka kończy się na /configs. Każdy adres API kończący się tym słowem pomija logowanie - a Kestra domyślnie ma włączone wtyczki uruchamiające skrypty...
CVE-2026-59822: obejście uwierzytelniania w LiteLLM — bramka AI wpuszczała bez klucza
Nieudana walidacja klucza kończyła się nie odmową, lecz podstawieniem pustego obiektu uprawnień. Żądanie docierało do narzędzi MCP bez ważnego klucza LiteLLM...
CVE-2026-83548 i CVE-2026-83549: dwie luki w SonicWall SMA1000 — SSRF przed logowaniem i wykonanie poleceń po nim
Dwie podatności w bramie dostępowej SMA1000: jedna działa bez logowania, druga po zalogowaniu jako administrator. Razem układają się w łańcuch, który trudno zignorować...
CVE-2026-84325 i 5 powiązanych: krytyczne luki w Google Chrome 152 — ucieczka z sandboxa
Wydanie stabilne Chrome 152.0.7977.75 zamyka sześć krytycznych luk — pięć z nich pozwala na wykonanie kodu poza sandboxem przeglądarki przez spreparowaną stronę HTML...
CVE-2026-58574: Brak uwierzytelniania w interfejsie zarządzania Dell PowerStore
Krytyczna funkcja w interfejsie zarządzania Dell PowerStore nie wymaga uwierzytelnienia. Atakujący może odczytać informacje z systemu plików macierzy, w tym poświadczenia administracyjne...
CVE-2026-81578: Brak uwierzytelniania w PaperCut NG/MF - aktywna eksploatacja (CISA KEV)
PaperCut NG/MF nie wymaga uwierzytelnienia dla funkcji krytycznej, przez co nieuwierzytelniony atakujący może zdalnie zmienić część konfiguracji systemu. Podatność jest aktywnie wykorzystywana...
CVE-2026-82078: Aktywnie wykorzystywana podatność w PaperCut NG/MF (CISA KEV)
PaperCut NG/MF zawiera podatność typu unsafe reflection pozwalającą manipulować konfiguracją systemu i wykonać dowolny kod bajtowy Javy z classpath aplikacji. Podatność jest aktywnie wykorzystywana...
CVE-2026-82854: Wstrzyknięcie poleceń SMTP w bibliotece Nodemailer
Nodemailer przed wersją 8.0.4 wkleja niesanityzowaną wartość envelope.size do polecenia SMTP MAIL FROM. Znaki CRLF w tej wartości pozwalają wstrzyknąć dowolne polecenia protokołu SMTP...
CVE-2026-18527: Eskalacja uprawnień w IBM Administration Runtime Expert for i
Przetwarzanie w komponencie GUI narzędzia ARE for i pozwala nieuwierzytelnionemu atakującemu wykonać działania w kontekście uwierzytelnionej sesji innego użytkownika i uzyskać podwyższone uprawnienia...
CVE-2026-19295 i CVE-2026-19286: Zdalne wykonanie kodu w IBM Langflow OSS
Dwie krytyczne podatności w IBM Langflow OSS pozwalają wykonać polecenia systemowe w procesie serwera - przez spreparowany przepływ oraz przez niedostatecznie zabezpieczony publiczny endpoint A2A...
CVE-2026-42007: Use-after-free w Dovecot przez rozszerzenie Sieve editheader
Atakujący z ważnymi poświadczeniami może użyć skryptu Sieve z rozszerzeniem editheader, by wywołać use-after-free i zapisać zawartość pamięci poza buforem do dostarczanej wiadomości...
CVE-2026-82266: Admin API Redpandy traktuje nieuwierzytelnione żądania jak superusera
Redpanda do wersji 26.2.2 podpina Admin API do 0.0.0.0:9644 z domyślnie wyłączonym wymogiem uwierzytelnienia, traktując nieuwierzytelnione żądania jako pochodzące od superusera...
CVE-2026-82277: Panel Argo Rollouts wystawia operacje mutujące bez uwierzytelniania
Panel Argo Rollouts do wersji 1.10.0 nasłuchuje na wszystkich interfejsach i pozwala wywołać operacje PromoteRollout, AbortRollout czy SetRolloutImage bez żadnego uwierzytelnienia...
CVE-2026-82329: Przejęcie uprawnień administratora w JFrog Artifactory
JFrog Artifactory zawiera słabość uwierzytelniania, która w domyślnej konfiguracji może pozwolić nieuwierzytelnionemu atakującemu z dostępem sieciowym na uzyskanie uprawnień administracyjnych...
CVE-2023-49105: Obejście uwierzytelniania w ownCloud Server
Atakujący, który zna nazwę użytkownika ofiary, może odczytać, zmienić lub usunąć dowolny jej plik bez uwierzytelnienia, jeśli ofiara nie ma skonfigurowanego klucza podpisu...
CVE-2026-53362: Eskalacja uprawnień przez podsystem IPv6 jądra Linuksa
Błąd rozliczania fraggap na ścieżce alokacji stronicowanej w __ip6_append_data() pozwala na eskalację uprawnień przez podsystem sieciowy IPv6. Dotyczy wielu dystrybucji opartych na Linuksie...
CVE-2026-59270: Wbudowany serwer LDAP Spring Security nasłuchuje na wszystkich interfejsach
Wbudowany serwer UnboundID LDAP w Spring Security rejestruje poświadczenie administracyjne bezwarunkowo i podpina nasłuch do wszystkich dostępnych interfejsów sieciowych...
Jądro Linuksa: 17 poprawek bezpieczeństwa w sieci, Ceph i MPTCP (CVE-2026-74746)
Partia 17 poprawek bezpieczeństwa jądra Linuksa obejmuje use-after-free w netfilter flowtable, odczyty poza zakresem w libceph, błędy obsługi opcji MPTCP oraz walidację cookie w SCTP...
UniFi OS: 12 podatności, w tym obejście uwierzytelniania (CVE-2026-77550)
Ubiquiti opublikowało biuletyn obejmujący 12 podatności w UniFi OS oraz aplikacjach UniFi. Najpoważniejsza pozwala atakującemu z dostępem sieciowym obejść uwierzytelnianie urządzeń UniFi OS...
CVE-2026-81934: Use-after-free w obsłudze TLS w Redis
Błąd use-after-free w funkcji tlsProcessPendingData() obsługującej listę oczekujących danych TLS pozwala zdalnemu, nieuwierzytelnionemu atakującemu wykonać dowolne polecenia z uprawnieniami serwera Redis...
CVE-2015-5287: Eskalacja uprawnień w Red Hat ABRT przez atak symlinkiem
Program abrt-hook-ccpp w narzędziu ABRT przed wersją 2.7.1 pozwala lokalnym użytkownikom podnieść uprawnienia przez atak dowiązaniem symbolicznym na plik o przewidywalnej nazwie...
CVE-2019-1068: Zdalne wykonanie kodu w Microsoft SQL Server
Nieprawidłowa obsługa funkcji wewnętrznych w Microsoft SQL Server pozwala atakującemu wykonać kod w kontekście konta usługi silnika bazy danych...
CVE-2021-23758: Deserializacja niezaufanych danych w Ajax.NET Professional
Wszystkie wersje pakietu ajaxpro.2 deserializują dowolne klasy .NET, co pozwala na zdalne wykonanie kodu. Biblioteka nie jest już wspierana - zalecane jest zaprzestanie jej używania...
CVE-2022-0995: Zapis poza zakresem w podsystemie watch_queue jądra Linuksa
Błąd zapisu poza zakresem pamięci w podsystemie powiadomień watch_queue pozwala nadpisać fragmenty stanu jądra i doprowadzić do eskalacji uprawnień lub odmowy usługi...
CVE-2026-8452: Przepełnienie bufora w Citrix NetScaler ADC i NetScaler Gateway
Błąd obsługi bufora pamięci w NetScaler ADC i NetScaler Gateway prowadzi do nieprzewidywalnego zachowania i odmowy usługi, gdy urządzenie pełni rolę bramy SSL VPN, ICA Proxy, CVPN, RDP Proxy lub serwera wirtualnego AAA...
CVE-2026-49845: SQL injection w Hive Metastore — manipulacja metadanymi hurtowni Apache Hive
Apache Hive przed wersją 4.2.1 pozwala uwierzytelnionemu użytkownikowi z dostępem do API Hive Metastore odczytać i zmodyfikować metadane partycji przez spreparowaną nazwę partycji w żądaniu RPC...
CVE-2026-60004: zdalne wykonanie kodu w Gitea przez endpoint diffpatch (CISA KEV, termin 28 sierpnia)
Gitea w wersjach od 1.17 do 1.27.1 pozwala użytkownikowi z prawem zapisu do dowolnego repozytorium wykonać polecenia systemowe na serwerze — przy otwartej rejestracji wystarczy założyć konto...
CVE-2026-63586: nieuwierzytelnione wykonanie kodu jako root w routerach Weidmüller IE-SR-2TX-WL
Przemysłowe routery bezpieczeństwa Weidmüller IE-SR-2TX-WL pozwalają nieuwierzytelnionemu napastnikowi wykonać dowolne polecenia jako root — wystarczy spreparowana nazwa użytkownika w nagłówku HTTP...
CVE-2026-76193, 76195, 76197: trzy luki CVSS 10 w Adobe Campaign Classic prowadzące do wykonania kodu
Adobe Campaign Classic ma trzy luki z oceną CVSS 10.0 — jedną SSRF i dwie typu OS command injection. Każda prowadzi do wykonania dowolnego kodu i żadna nie wymaga interakcji użytkownika...
CVE-2026-21962: przejęcie Oracle HTTP Server i WebLogic Proxy Plug-in (aktywna eksploatacja, CVSS 10)
Oracle Fusion Middleware 12.2.1.4.0, 14.1.1.0.0 i 14.1.2.0.0 zawiera błąd kontroli dostępu, który pozwala nieuwierzytelnionemu napastnikowi po HTTP przejąć pełny dostęp do danych serwera i systemów za nim...
CVE-2026-59568 i CVE-2026-59564: zdalne wykonanie kodu i obejście uwierzytelnienia w Zscaler Client Connector
Agent Zscaler Client Connector ma podatności pozwalające nieuwierzytelnionemu użytkownikowi bez uprawnień wykonać dowolny kod w kontekście ZCC oraz obejść uwierzytelnienie wobec portalu ZCC...
CVE-2026-76835: obejście uwierzytelnienia w OAuth2 Proxy przez nagłówek X-Forwarded-Uri (brak poprawki)
OAuth2 Proxy w domyślnej konfiguracji reverse proxy nadal ufa nagłówkowi X-Forwarded-Uri od klienta, więc napastnik może ominąć uwierzytelnienie i sięgnąć po chronione ścieżki aplikacji...
CVE-2026-17145 i 12 kolejnych: sierpniowy biuletyn IBM dla AIX i PowerVM VIOS
IBM załatał 13 podatności w AIX 7.2, AIX 7.3 i PowerVM VIOS 4.1. Dziesięć z nich pozwala nieuwierzytelnionemu napastnikowi na zdalne wykonanie kodu na systemie operacyjnym...
CVE-2026-69836 i 12 kolejnych: sierpniowy biuletyn chmurowy Microsoftu (Entra ID, Azure, Exchange Online)
Microsoft opublikował 13 krytycznych podatności w usługach chmurowych - Entra ID, Exchange Online, Azure SQL Database, Azure Arc, Logic Apps, Data Factory i Fabric. Sprawdź, które wymagają Twojego działania...
CVE-2026-73570: zdalne wykonanie kodu w Zimbra Collaboration Suite (aktywna eksploatacja)
Zimbra Collaboration Suite przed wersją 10.1.20 pozwala nieuwierzytelnionemu napastnikowi wykonać dowolne polecenia systemowe, jeśli zainstalowany jest opcjonalny pakiet zimbra-snmp...
CVE-2026-11861 i CVE-2026-13097: obejście uwierzytelnienia w FreeIPA przy zaufaniu z Active Directory
Użytkownicy Active Directory mogą obejść uwierzytelnienie do usług FreeIPA - portalu, serwera SMB i katalogu LDAP - podszywając się pod nazwę klienta w usłudze TGS protokołu Kerberos...
CVE-2026-76312: Cztery luki w Splunk Enterprise — przejęcie sesji przez osadzone raporty
Nieuwierzytelniony użytkownik, który odczyta źródło HTML strony osadzającej raport Splunka, może wykorzystać ujawniony materiał sesyjny do dostępu do wszystkich powiązanych danych...
CVE-2026-16816: Cztery krytyczne luki w IBM AIX i PowerVM VIOS
IBM AIX 7.2 i 7.3 oraz PowerVM VIOS 4.1 zawierają cztery krytyczne podatności — od zdalnego wykonania poleceń po przejęcie uprawnień roota bez uwierzytelnienia...
CVE-2026-20357: Trzy krytyczne luki w Cisco Crosswork — wydanie hardeningowe
Wewnętrzny przegląd bezpieczeństwa Cisco wykrył wiele podatności w Crosswork. Wydanie hardeningowe zamyka m.in. brak uwierzytelnienia w krytycznej funkcji...
CVE-2026-32475: Nieograniczone przesyłanie plików w Elementor Pro prowadzące do RCE
Elementor Pro do wersji 4.2.1 pozwala na nieograniczone przesyłanie plików niebezpiecznego typu. Patchstack opisuje ścieżkę od nieuwierzytelnionego uploadu do RCE...
CVE-2026-64849: Aktywnie wykorzystywana luka SSRF w MLflow (CISA KEV)
Nieuwierzytelniony endpoint testowania webhooków w MLflow waliduje wyłącznie pierwotny adres URL, a następnie podąża za przekierowaniami — co otwiera SSRF...
CVE-2026-66794: Obejście uwierzytelnienia w Red Hat Multicluster Engine
Manipulacja segmentami ścieżki URL pozwala nieuwierzytelnionemu atakującemu ominąć kontrolę uwierzytelniania i autoryzacji oraz proxyować żądania do dowolnych usług w klastrze...
CVE-2025-62593: Nieznana podatność w Ray (Ray-Project)
Ray-Project Ray zawiera podatność typu code injection umożliwiającą zdalne wykonanie kodu (RCE), możliwą do wykorzystania przez przeglądarki Firefox i Safari...
CVE-2026-12564: Wyciek tokenu konta usługowego Kubernetes z Ansible Automation Platform
Wtyczka poświadczeń HashiCorp Vault w AAP Controller odczytuje token konta usługowego Kubernetes i wysyła go pod adres URL wskazany przez atakującego przy teście poświadczeń...
CVE-2026-18963: Przejęcie dowolnego konta w Keycloak przez wymuszenie resetu hasła
Luka w przepływie reset-credentials pozwala wymusić reset hasła dowolnego użytkownika bez kliknięcia w link weryfikacyjny, prowadząc do przejęcia konta...
CVE-2026-59310: Aktywnie wykorzystywana luka w VMware vCenter — termin CISA 21 sierpnia
Directory traversal w serwerze Syslog vCentera pozwala na zdalne wykonanie kodu. Luka jest aktywnie wykorzystywana — obserwacje wskazują na setki zaatakowanych adresów IP...
CVE-2026-65400: Obejście uwierzytelnienia w Udostępnianiu ekranu macOS — termin CISA 21 sierpnia
Błąd zarządzania stanem w mechanizmie uwierzytelniania macOS pozwala atakującemu w tej samej sieci połączyć się z Udostępnianiem ekranu bez znajomości hasła...
CVE-2026-67271: Zdalne wykonanie kodu przez SMB w macierzach Dell PowerStore
Zapis poza zakresem bufora w obsłudze SMB/CIFS w Dell PowerStore SDNAS. Spreparowany pakiet SMB powoduje awarię, która utrzymuje się mimo automatycznego restartu...
CVE-2026-73930: Dziesięć krytycznych luk w Oracle Helidon — sierpniowy biuletyn Oracle
Sierpniowy biuletyn Oracle zawiera dziesięć krytycznych luk w komponencie Imperative Web Server frameworka Helidon, obejmujących linie 1.x, 3.x i 4.x...
CVE-2026-19478: Krytyczna podatność w GitLab CE/EE
GitLab naprawił błąd w GitLab CE/EE dotyczący wersji od 18.2 do 18.11.11, od 19.0 do 19.0.8, od 19.1 do 19.1.6 oraz od 19.2 do 19.2.4, który mógł umożliwić zdalną modyfikację lub usunięcie danych...
CVE-2026-66792: Krytyczna podatność w Red Hat Advanced Cluster Management
Błąd w komponencie multicloud-operators-subscription (Red Hat Advanced Cluster Management) umożliwia użytkownikowi managed cluster eskalację uprawnień przez spreparowany zasób Subscription...
CVE-2026-66795: Krytyczna podatność w Red Hat Advanced Cluster Management
Błąd w komponencie managedcluster-import-controller (Red Hat Advanced Cluster Management) pozwala na eskalację uprawnień przez zatwierdzanie spreparowanych żądań CSR...
CVE-2026-71472: Krytyczna podatność w Red Hat Advanced Cluster Management (acm-search-v2)
Błąd w komponencie acm-search-v2-rhel9 (Red Hat Advanced Cluster Management) umożliwia uwierzytelnionemu atakującemu wstrzyknięcie złośliwych poleceń powłoki lub zapytań SQL...
CVE-2026-75045: Krytyczna podatność w JetBrains YouTrack - natychmiastowa aktualizacja wymagana
W JetBrains YouTrack przed wersjami 2025.3.156085, 2026.1.13913, 2026.2.18112 niezalogowany atakujący mógł pobrać kopie zapasowe bazy danych za pośrednictwem podpisu współdzielonego szkicu...
CVE-2026-50517: deserializacja niezaufanych danych i wykonanie kodu w M365 Copilot (CVSS 9.9)
Deserializacja niezaufanych danych w M365 Copilot pozwala uprawnionemu atakującemu na wykonanie kodu przez sieć...
CVE-2026-54120: nieprawidłowa walidacja danych i wykonanie kodu w Microsoft Surface (CVSS 9.9)
Nieprawidłowa walidacja danych wejściowych w Microsoft Surface pozwala uprawnionemu atakującemu na wykonanie kodu przez sieć...
CVE-2026-56160: nieprawidłowa autoryzacja i eskalacja uprawnień w Azure Red Hat OpenShift (ARO) (CVSS 9.1)
Nieprawidłowa autoryzacja w Azure Red Hat OpenShift (ARO) pozwala uprawnionemu atakującemu na eskalację uprawnień poprzez sieć...
CVE-2026-56163: brak uwierzytelnienia dla funkcji krytycznej w Azure Kubernetes Service (CVSS 10.0)
Brak uwierzytelnienia dla funkcji krytycznej w Microsoft Azure Kubernetes Service pozwala nieuprawnionemu atakującemu na eskalację uprawnień przez sieć...
CVE-2026-56165: przepełnienie bufora na stercie i wykonanie kodu w Microsoft Account (CVSS 9.8)
Przepełnienie bufora na stercie w Microsoft Account pozwala nieuprawnionemu atakującemu na wykonanie kodu poprzez sieć...
CVE-2026-56191: nieprawidłowe uwierzytelnianie i manipulacja danymi w Microsoft Exchange Online (CVSS 10.0)
Nieprawidłowe uwierzytelnianie w Microsoft Exchange Online pozwala nieuprawnionemu atakującemu na manipulację danymi przez sieć...
CVE-2026-57106: server-side request forgery w Microsoft Data Quality (CVSS 10.0)
Podatność server-side request forgery (SSRF) w Data Quality pozwala nieuprawnionemu atakującemu na eskalację uprawnień przez sieć...
CVE-2026-58275: brak kontroli autoryzacji w Azure DNS (CVSS 10.0)
Brak kontroli autoryzacji w Azure DNS pozwala nieuprawnionemu atakującemu na eskalację uprawnień przez sieć...
CVE-2026-58630: nieprawidłowa kontrola dostępu w Azure App Service (CVSS 10.0)
Nieprawidłowa kontrola dostępu w Azure App Service pozwala nieuprawnionemu atakującemu na eskalację uprawnień przez sieć...
CVE-2026-62825: nieprawidłowe uwierzytelnianie w Azure Key Vault (CVSS 10.0)
Nieprawidłowe uwierzytelnianie w Azure Key Vault pozwala nieuprawnionemu atakującemu na eskalację uprawnień przez sieć...
CVE-2026-62835: nieprawidłowa autoryzacja i ujawnienie informacji w Azure Portal (CVSS 9.3)
Nieprawidłowa autoryzacja w Azure Portal pozwala nieuprawnionemu atakującemu na ujawnienie informacji poprzez sieć...
CVE-2026-64812: nieautoryzowane wstrzyknięcie danych wejściowych w Remote Development w IntelliJ IDEA (CVSS 10.0)
W JetBrains IntelliJ IDEA przed 2026.2 możliwe było nieautoryzowane wstrzyknięcie danych wejściowych w sesji Remote Development...
CVE-2026-64813: nieautoryzowana zmiana ustawień w Remote Development w IntelliJ IDEA (CVSS 10.0)
W JetBrains IntelliJ IDEA przed 2026.2 możliwa była nieautoryzowana zmiana ustawień w sesji Remote Development...
CVE-2026-6516: nieuwierzytelnione RCE przez API agenta w ManageEngine ADAudit Plus (CVSS 10.0)
ManageEngine ADAudit Plus w wersjach przed 8606 jest podatny na nieuwierzytelnione zdalne wykonanie kodu przez podatne API agenta...
CVE-2026-65907: Krytyczna podatność w JetBrains TeamCity - natychmiastowa aktualizacja wymagana
W JetBrains TeamCity przed wersją 2026.1.2 oraz 2025.11.6 możliwe było zdalne wykonanie kodu w źródłach Git VCS...
CVE-2026-16232: przejęcie uprawnień administratora w Check Point SmartConsole (CVSS 9.1)
Check Point SmartConsole pozwala nieuwierzytelnionemu, zdalnemu atakującemu uzyskać token logowania aplikacji i uwierzytelnić się z pełnymi uprawnieniami administracyjnymi...
CVE-2026-40712: Eskalacja uprawnień przez REST API w Dell PowerProtect Data Manager
Dell PowerProtect Data Manager w wersjach przed 20.2.0.0 zawiera podatność niewłaściwej walidacji danych wejściowych w REST API, umożliwiającą eskalację uprawnień...
CVE-2026-46738: Krytyczna podatność w Dell PowerProtect Data Manager
Dell PowerProtect Data Manager w wersjach wcześniejszych niż 20.2.0.0 zawiera podatność Improper Input Validation w REST API. Uprzywilejowany atakujący zdalny może eskalować uprawnienia....
CVE-2026-62144: Krytyczna podatność ominięcia uwierzytelniania w Check Point Security Management - natychmiastowa aktualizacja wymagana
Podatność ominięcia uwierzytelniania w Check Point Security Management i Multi-Domain Security Management pozwala niezautoryzowanemu zdalnemu atakującemu wykonywać polecenia administracyjne na Serwerze...
CVE-2021-27137: buffer overflow w UPnP DD-WRT ponownie eksploatowany (CVSS 8.1)
DD-WRT zawiera podatność typu stack-based buffer overflow, która pozwala nieuwierzytelnionemu atakującemu przepełnić wewnętrzny bufor używany przez UPnP i doprowadzić do wykonania kodu...
CVE-2026-0770: zdalne wykonanie kodu w Langflow (CVSS 9.8, aktywna eksploatacja)
Langflow zawiera podatność typu inclusion of functionality from untrusted control sphere, która pozwala zdalnym atakującym wykonać dowolny kod na podatnych instalacjach...
CVE-2026-28302: IDOR umożliwiający RCE jako root (dostęp administratora grupy) - SolarWinds Serv-U
SolarWinds Serv-U jest podatny na IDOR, który może prowadzić do eskalacji uprawnień i zdalnego wykonania kodu jako root. Wymaga dostępu administratora grupy. Mniejszy wpływ w wdrożeniach Windows...
CVE-2026-28304: Zdalne wykonanie kodu jako root - SolarWinds Serv-U
SolarWinds Serv-U jest podatny na zdalne wykonanie kodu — po wykorzystaniu pozwala na dowolne wykonanie kodu zdalnie jako root. Mniejszy wpływ w wdrożeniach Windows...
CVE-2026-28305: IDOR umożliwiający RCE jako root (konto domenowe) - SolarWinds Serv-U
SolarWinds Serv-U jest podatny na IDOR prowadzący do zdalnego wykonania kodu jako root. Wymaga konta domenowego z uprawnieniami administratora i dostępem odczytu/zapisu do katalogu domowego...
CVE-2026-28306: Eskalacja uprawnień administratora domeny do administratora systemu - SolarWinds Serv-U
SolarWinds Serv-U jest podatny na eskalację uprawnień pozwalającą administratorowi domeny podnieść uprawnienia do administratora systemu. Mniejszy wpływ w wdrożeniach Windows...
CVE-2026-28307: Eskalacja grupy użytkowników domeny do grupy administratorów - SolarWinds Serv-U
SolarWinds Serv-U jest podatny na eskalację uprawnień pozwalającą podnieść grupę użytkowników domeny do grupy administratorów. Mniejszy wpływ w wdrożeniach Windows...
CVE-2026-28308: IDOR umożliwiający RCE (wymagany dostęp administratora domeny) - SolarWinds Serv-U
SolarWinds Serv-U jest podatny na IDOR, który może prowadzić do zdalnego wykonania kodu. Wymagany jest dostęp administratora domeny. Mniejszy wpływ w wdrożeniach Windows...
CVE-2026-28309: Uszkodzona kontrola dostępu - tworzenie kont administratora systemu - SolarWinds Serv-U
SolarWinds Serv-U jest podatny na uszkodzoną kontrolę dostępu pozwalającą administratorowi domeny tworzyć konta administratora systemu. Mniejszy wpływ w wdrożeniach Windows...
CVE-2026-28310: Eskalacja typu użytkownika administratora domeny do administratora systemu - SolarWinds Serv-U
SolarWinds Serv-U jest podatny na eskalację uprawnień pozwalającą administratorowi domeny podnieść typ użytkownika do administratora systemu. Mniejszy wpływ w wdrożeniach Windows...
CVE-2026-28312: Eskalacja uprawnień grupy do administratora systemu (root) - SolarWinds Serv-U
SolarWinds Serv-U jest podatny na eskalację uprawnień, która pozwala podnieść dostęp grupy do administratora systemu i wykonywać kod jako root. Mniejszy wpływ w wdrożeniach Windows...
CVE-2026-28313: IDOR prowadzący do przejęcia konta przez SMTP hijacking - SolarWinds Serv-U
SolarWinds Serv-U jest podatny na IDOR prowadzący do przejęcia sesji SMTP i przejęcia dowolnego konta. Mniejszy wpływ w wdrożeniach Windows...
CVE-2026-28314: IDOR prowadzący do przejęcia konta (wymagane uwierzytelnienie) - SolarWinds Serv-U
SolarWinds Serv-U jest podatny na IDOR prowadzący do przejęcia konta. Wymagane uwierzytelnienie użytkownika. Mniejszy wpływ w wdrożeniach Windows...
CVE-2026-28316: IDOR prowadzący do eskalacji uprawnień do roota (konto domenowe) - SolarWinds Serv-U
SolarWinds Serv-U jest podatny na IDOR prowadzący do eskalacji uprawnień do administratora systemu z możliwością wykonywania poleceń jako root. Wymagane konto domenowe z dostępem administratora...
CVE-2026-28317: IDOR prowadzący do eskalacji uprawnień (wymagany administrator domeny) - SolarWinds Serv-U
SolarWinds Serv-U jest podatny na IDOR prowadzący do eskalacji uprawnień. Wymagany dostęp administratora domeny. Mniejszy wpływ w wdrożeniach Windows...
CVE-2026-28321: Uszkodzona kontrola dostępu - odczyt/zapis plików prowadzący do RCE jako root - SolarWinds Serv-U
SolarWinds Serv-U jest podatny na uszkodzoną kontrolę dostępu umożliwiającą dowolny odczyt i zapis plików, co pozwala eskalować uprawnienia i wykonać kod jako root. Wymagany dostęp administratora domeny...
CVE-2026-63030: SQL Injection i RCE w WordPress Core (CVSS 9.8, aktywna eksploatacja)
WordPress Core zawiera podatność typu interpretation conflict, która pozwala atakującemu przeprowadzić SQL Injection i doprowadzić do zdalnego wykonania kodu. Można ją łączyć z CVE-2026-60137...
CVE-2026-64879: wstrzyknięcie komend w Tenable Security Center (CVSS 9.9)
Nazwa pliku podana przy wgrywaniu nie jest prawidłowo sanityzowana przed użyciem w komendzie systemowej, co pozwala wstrzyknąć metaznaki powłoki...
CVE-2026-16242: Krytyczna podatność - natychmiastowa aktualizacja wymagana
Błąd w konfiguracji serwera proxy Konnectivity dla hostowanych płaszczyzn sterowania (hosted control planes). Nasłuchujący po stronie agenta uruchamiano bez --cluster-ca-cert i bez uwierzytelniania...
CVE-2026-47865: obejście uwierzytelniania i dostęp do Avi Control plane w VMware Avi Load Balancer (CVSS 9.8)
Złośliwy użytkownik z dostępem sieciowym może uzyskać dostęp do Avi Control plane, omijając mechanizm uwierzytelniania. Poprawki w 31.2.2-2p3 i 30.2.7...
CVE-2026-15091: Krytyczna podatność - natychmiastowa aktualizacja wymagana
IBM Engineering AI Hub w wersjach 1.0.0, 1.1.0 i 1.2.0 może pozwolić zdalnemu atakującemu na wykonanie dowolnych skryptów z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony...
CVE-2026-53412: nieprawidłowa walidacja danych i przejęcie konta w klientach Zoom dla Windows (CVSS 9.8)
Nieprawidłowa walidacja danych wejściowych w klientach Zoom Desktop, VDI i Meeting SDK dla Windows może pozwolić nieuwierzytelnionemu użytkownikowi przejąć konto przez sieć...
CVE-2026-11386: Krytyczna podatność - natychmiastowa aktualizacja wymagana
Podatność walidacji danych wejściowych i wstrzykiwania w Canonical ubuntu-pro-client (dawniej ubuntu-advantage-tools). Klient buduje pliki źródeł APT na podstawie niezaufanej odpowiedzi serwera kontraktów...
CVE-2026-22752: Ominięcie uwierzytelniania w Spring Authorization Server
Ominięcie uwierzytelniania w Spring Authorization Server. Dotyczy wersji od 7.0.0 do 7.0.4 oraz starszych gałęzi 1.x...
CVE-2026-63087: nieuwierzytelnione pozyskanie tokenu PluginAuthToken w Grafana OnCall (CVSS 9.8)
Żądanie POST do wewnętrznego endpointu instalacji wtyczki z domyślnymi wartościami stack_id i org_id z publicznego repozytorium zwraca poprawny token...
CVE-2023-4346: blokada urządzeń KNX przez mechanizm lockout ponownie eksploatowana (CVSS 7.5)
Protokół KNX zawiera zbyt restrykcyjny mechanizm blokady konta, pozwalający atakującemu wyczyścić wszystkie urządzenia bez dodatkowych zabezpieczeń i ustawić klucz BCU blokujący urządzenie...
CVE-2026-46817: przejęcie Oracle Payments w Oracle E-Business Suite (CVSS 9.8)
Oracle E-Business Suite zawiera podatność nieprawidłowego zarządzania uprawnieniami, pozwalającą nieuwierzytelnionemu atakującemu z dostępem HTTP przejąć moduł Oracle Payments...
CVE-2026-15265: Krytyczna podatność traversal ścieżki - natychmiastowa aktualizacja wymagana
Podatność path traversal w Tenable Agent w wersjach 11.2.0 i 11.1.3 oraz niższych pozwala uprzywilejowanemu atakującemu na zapis dowolnych plików poza katalogiem wtyczek, potencjalnie prowadząc do RCE...
CVE-2026-15409: server-side request forgery w SonicWall SMA1000 (aktywna eksploatacja)
Urządzenia SonicWall SMA1000 zawierają podatność SSRF, która może pozwolić zdalnemu, nieuwierzytelnionemu atakującemu wymusić na urządzeniu żądania do niezamierzonych lokalizacji...
CVE-2026-15410: wstrzyknięcie kodu w SonicWall SMA1000 (aktywna eksploatacja)
Urządzenia SonicWall SMA1000 zawierają podatność wstrzyknięcia kodu, która w określonych warunkach pozwala zdalnemu atakującemu z uprawnieniami administratora wykonać dowolne komendy systemowe...
CVE-2026-27690: Krytyczna podatność - natychmiastowa aktualizacja wymagana
Podatność HTTP Request Smuggling w SAP Approuter pozwala niezuwierzytelnionemu atakującemu na wysłanie spreparowanego żądania HTTP, prowadząc do desynchronizacji żądań i odpowiedzi...
CVE-2026-42990: przepełnienie bufora na stercie i wykonanie kodu w SQL Server ODBC driver (CVSS 9.8)
Przepełnienie bufora na stercie w SQL Server ODBC driver pozwala nieuprawnionemu atakującemu na wykonanie kodu poprzez sieć...
CVE-2026-44747: uszkodzenie pamięci przez błędy logiczne w SAP NetWeaver Application Server ABAP (CVSS 9.9)
Uwierzytelniony atakujący może wykorzystać błędy logiczne w zarządzaniu pamięcią, aby doprowadzić do jej uszkodzenia i uzyskać nieautoryzowany dostęp do danych...
CVE-2026-44761: Krytyczna podatność - natychmiastowa aktualizacja wymagana
SAP Commerce Cloud może zachować przykładowego klienta OAuth2 z publicznie udokumentowanymi przykładowymi danymi uwierzytelniającymi z dokumentacji SAP Help Portal. Jeśli nie zostaną zmienione...
CVE-2026-48259: Krytyczna podatność SSRF - natychmiastowa aktualizacja wymagana
Adobe Experience Manager jest podatny na SSRF, co może prowadzić do wykonania dowolnego kodu w kontekście użytkownika. Atakujący z niskimi uprawnieniami może przejąć kontrolę nad sesją ofiary...
CVE-2026-48356: Krytyczna podatność uploadu plików w Adobe Commerce
Adobe Commerce zawiera podatność Unrestricted File Upload, która może prowadzić do wykonania dowolnego kodu; wymaga wizyty na spreparowanym URL...
CVE-2026-48358: Krytyczna podatność - natychmiastowa aktualizacja wymagana
Adobe Commerce zawiera podatność nieprawidłowego kodowania/escapowania wyjścia, mogącą prowadzić do wykonania dowolnego kodu. Nie wymaga interakcji użytkownika...
CVE-2026-48359: Krytyczna podatność - natychmiastowa aktualizacja wymagana
Adobe Experience Manager zawiera podatność XXE mogącą prowadzić do wykonania dowolnego kodu; atakujący z niskimi uprawnieniami może odczytać wrażliwe pliki...
CVE-2026-48561: nieprawidłowa neutralizacja znaków i wykonanie kodu w a command ('command injection') in Microsoft Copilot (CVSS 9.6)
Nieprawidłowa neutralizacja znaków specjalnych w a command ('command injection') in Microsoft Copilot pozwala nieuprawnionemu atakującemu na wykonanie kodu poprzez sieć...
CVE-2026-49172: przepełnienie bufora na stercie i wykonanie kodu w Windows FTP Service (CVSS 9.8)
Przepełnienie bufora na stercie w Windows FTP Service pozwala nieuprawnionemu atakującemu na wykonanie kodu poprzez sieć...
CVE-2026-49798: use-after-free i eskalacja uprawnień w Windows Kernel (CVSS 9.3)
Błąd use-after-free w Windows Kernel pozwala nieuprawnionemu atakującemu na eskalację uprawnień lokalnie...
CVE-2026-50380: przepełnienie bufora na stercie i wykonanie kodu w Windows GDI+ (CVSS 9.6)
Przepełnienie bufora na stercie w Windows GDI+ pozwala nieuprawnionemu atakującemu na wykonanie kodu poprzez sieć...
CVE-2026-50447: przepełnienie bufora na stercie i wykonanie kodu w Windows Message Queuing (CVSS 9.8)
Przepełnienie bufora na stercie w Windows Message Queuing pozwala nieuprawnionemu atakującemu na wykonanie kodu poprzez sieć...
CVE-2026-50518: przepełnienie bufora na stercie i wykonanie kodu w Windows DHCP Server (CVSS 9.8)
Przepełnienie bufora na stercie w Windows DHCP Server pozwala nieuprawnionemu atakującemu na wykonanie kodu poprzez sieć...
CVE-2026-50522: deserializacja niezaufanych danych i wykonanie kodu w Microsoft Office SharePoint (CVSS 9.8)
Deserializacja niezaufanych danych w Microsoft Office SharePoint pozwala nieuprawnionemu atakującemu na wykonanie kodu poprzez sieć...
CVE-2026-54990: przepełnienie bufora na stercie i wykonanie kodu w Remote Desktop Client (CVSS 9.8)
Przepełnienie bufora na stercie w Remote Desktop Client pozwala nieuprawnionemu atakującemu na wykonanie kodu poprzez sieć...
CVE-2026-55008: XSS i spoofing w Microsoft Exchange Server (CVSS 9.6)
Cross-Site Scripting (XSS) w Microsoft Exchange Server pozwala nieuprawnionemu atakującemu na podszywanie się (spoofing) poprzez sieć...
CVE-2026-55040: słabe uwierzytelnianie i obejście zabezpieczenia w Microsoft Office SharePoint (CVSS 9.1)
Słabe uwierzytelnianie w Microsoft Office SharePoint pozwala nieuprawnionemu atakującemu na obejście zabezpieczenia poprzez sieć...
CVE-2026-55944: deserializacja niezaufanych danych i wykonanie kodu w Microsoft Dynamics NAV (CVSS 9.8)
Deserializacja niezaufanych danych w Microsoft Dynamics NAV pozwala nieuprawnionemu atakującemu na wykonanie kodu poprzez sieć...
CVE-2026-56155: eskalacja uprawnień w Microsoft Active Directory Federation Services (CVSS 7.8)
Microsoft AD FS zawiera podatność niewystarczającej granularności kontroli dostępu, pozwalającą uprawnionemu atakującemu na lokalną eskalację uprawnień...
CVE-2026-56159: przepełnienie bufora na stercie i wykonanie kodu w Windows DHCP Server (CVSS 9.8)
Przepełnienie bufora na stercie w Windows DHCP Server pozwala nieuprawnionemu atakującemu na wykonanie kodu poprzez sieć...
CVE-2026-56188: race condition i wykonanie kodu w sterowniku sieciowym Windows Server (CVSS 9.8)
Sytuacja wyścigu przy współbieżnym dostępie do współdzielonego zasobu w sterowniku sieciowym Windows Server pozwala nieuprawnionemu atakującemu wykonać kod przez sieć...
CVE-2026-56190: niezainicjalizowany zasób i wykonanie kodu w Windows RDP (CVSS 9.8)
Użycie niezainicjalizowanego zasobu w Windows RDP pozwala nieuprawnionemu atakującemu na wykonanie kodu poprzez sieć...
CVE-2026-56451: obejście uwierzytelniania przez brak walidacji algorytmu JWT w Siemens Opcenter X (CVSS 10.0)
Opcenter X przed V2604 nie waliduje prawidłowo algorytmu wskazanego w nagłówku JWT, co pozwala sfałszować token i podszyć się pod dowolnego użytkownika...
CVE-2026-57092: use-after-free i eskalacja uprawnień w Windows VMSwitch (CVSS 9.9)
Błąd use-after-free w Windows VMSwitch pozwala uprawnionemu atakującemu na eskalację uprawnień przez sieć...
CVE-2026-58644: deserializacja niezaufanych danych i wykonanie kodu w Microsoft Office SharePoint (CVSS 9.8)
Deserializacja niezaufanych danych w Microsoft Office SharePoint pozwala nieuprawnionemu atakującemu na wykonanie kodu poprzez sieć...
CVE-2026-59083: obejście ograniczeń bezpieczeństwa przez kodowanie URL w Apache Tomcat (CVSS 9.1)
Nieprawidłowa obsługa kodowania URL (heksadecymalnego) w rewrite valve Tomcata pozwalała w części konfiguracji obejść ograniczenia bezpieczeństwa...
CVE-2026-59084: niewystarczająca dokumentacja bezpiecznej konfiguracji EncryptInterceptor w Apache Tomcat (CVSS 9.1)
Wymagania bezpiecznej konfiguracji EncryptInterceptor nie były jasno udokumentowane. Poprawki w wersjach 11.0.24, 10.1.57 i 9.0.120...
CVE-2026-62422: obejście uwierzytelniania przez bezpośredni dostęp do bazy w JetBrains YouTrack (CVSS 10.0)
W JetBrains YouTrack przed wersjami 2026.1.13757, 2025.3.148033 i wcześniejszymi możliwe było obejście uwierzytelniania przez bezpośredni dostęp do bazy danych...
CVE-2026-4769: nieudokumentowana diagnostyka bez uwierzytelnienia przy starcie w WAGO System I/O Field (CVSS 9.8)
Wewnętrzna funkcja diagnostyczna aktywuje się w początkowej fazie rozruchu i przez krótki czas jest dostępna bez uwierzytelnienia, dając dostęp do procesów systemowych...
CVE-2026-48939: nieograniczone wgrywanie plików w iCagenda (CVSS 9.8)
iCagenda pozwala wgrywać dowolne pliki przez funkcję załączników, co ostatecznie prowadzi do wgrania i wykonania kodu PHP na serwerze...
CVE-2026-56291: nieograniczone wgrywanie plików w Balbooa Forms (CVSS 9.8)
Balbooa Forms pozwala nieuwierzytelnionym użytkownikom wgrać dowolny plik, w tym pliki wykonywalne, co prowadzi do pełnego zdalnego wykonania kodu...
CVE-2026-56688: Krytyczna podatność wstrzykiwania komend systemowych w Dell PowerFlex Manager
Dell PowerFlex Manager przed wersją 5.1.0.1 zawiera podatność OS Command Injection umożliwiającą wykonanie komend jako root podczas przetwarzania OS Repository...
CVE-2026-59792: Krytyczna podatność traversal ścieżki w JetBrains IntelliJ IDEA - natychmiastowa aktualizacja wymagana
W JetBrains IntelliJ IDEA przed wersją 2026.1.4 oraz 2026.2 możliwe było zdalne wykonanie kodu poprzez path traversal w obsłudze identyfikatora workspace projektu...
CVE-2026-47646: XSS i spoofing w Microsoft Dynamics 365 Customer Voice (CVSS 9.3)
Cross-Site Scripting (XSS) w Dynamics 365 Customer Voice pozwala nieuprawnionemu atakującemu na podszywanie się (spoofing) poprzez sieć...
CVE-2026-9074: Krytyczna podatność SQL injection w IBM API Connect - natychmiastowa aktualizacja wymagana
IBM API Connect w wersjach od 10.0.8.0 do 10.0.8.9 oraz od 12.1.0.0 do 12.1.0.3 zawiera niezautoryzowaną podatność SQL injection w funkcji resetowania hasła...
CVE-2026-33264: zdalne wykonanie kodu przez deserializację DAG w Apache Airflow (CVSS 9.8)
Błąd w BaseSerialization.deserialize() pozwalał autorowi DAG-a osadzić złośliwy trigger i uzyskać zdalne wykonanie kodu w procesie API Servera lub Schedulera. Zalecana aktualizacja do 3.3.0...
CVE-2026-48908: nieograniczone wgrywanie plików w JoomShaper SP Page Builder (CVSS 9.8)
JoomShaper SP Page Builder pozwala nieuwierzytelnionym użytkownikom wgrywać dowolne pliki, co ostatecznie prowadzi do wgrania i wykonania kodu PHP na serwerze...
CVE-2026-53481: path traversal bez uwierzytelnienia w Dell PowerProtect Data Domain (CVSS 9.8)
Podatność path traversal w wersjach 7.7.1.0-8.7 oraz liniach LTS2026, LTS2025 i LTS2024 pozwala nieuwierzytelnionemu atakującemu uzyskać nieautoryzowany dostęp do systemu...
CVE-2026-53483: nieprawidłowe uwierzytelnianie i przejęcie systemu w Dell PowerProtect Data Domain (CVSS 9.8)
Podatność nieprawidłowego uwierzytelniania pozwala nieuwierzytelnionemu atakującemu przejąć pełną kontrolę nad systemem — Dell zaleca pilną aktualizację...
CVE-2026-55255: obejście autoryzacji przez klucz kontrolowany przez użytkownika w Langflow (CVSS 9.9)
Langflow pozwala uwierzytelnionemu atakującemu uruchomić dowolny flow należący do innego użytkownika, podając w żądaniu identyfikator flow ofiary...
CVE-2026-56290: nieprawidłowa kontrola dostępu w Joomlack Page Builder (CVSS 9.8)
Joomlack Page Builder zawiera podatność nieprawidłowej kontroli dostępu, umożliwiającą zdalne wykonanie kodu przez nieuwierzytelnione wgranie dowolnego pliku...
CVE-2026-40047: wstrzyknięcie argumentów w komponencie Apache Camel Docling (CVSS 9.1)
Komponent camel-docling przekazuje niedostatecznie walidowane argumenty z nagłówka CamelDoclingCustomArguments do zewnętrznego narzędzia docling uruchamianego przez ProcessBuilder...
CVE-2026-43867: Krytyczna podatność deserializacji - natychmiastowa aktualizacja wymagana
Deserializacja niezaufanych danych w komponencie Apache Camel PQC. Komponent camel-pqc przechowuje metadane kluczy postkwantowych przez podłączane implementacje KeyLifecycleManager...
CVE-2026-46454: Krytyczna podatność nieprawidłowej walidacji danych - natychmiastowa aktualizacja wymagana
Niewłaściwa walidacja danych wejściowych w komponencie Apache Camel Cometd. Komponent camel-cometd mapuje przychodzące nagłówki wiadomości Bayeux (CometD) do Camel Exchange bez filtrowania nagłówków...
CVE-2026-46456: Krytyczna podatność nieprawidłowej walidacji danych - natychmiastowa aktualizacja wymagana
Niewłaściwa walidacja danych wejściowych w komponencie Apache Camel AWS2-SQS. Komponent camel-aws2-sqs mapuje atrybuty przychodzących wiadomości do Camel Exchange przez niedomkniętą strategię filtrowania nagłówków...
CVE-2026-48203: wstrzyknięcie przez nagłówki i SSRF w komponencie Apache Camel Solr (CVSS 9.1)
Producent camel-solr przepisuje nagłówki o prefiksach SolrParam. i SolrField. do parametrów żądania i pól indeksowanego dokumentu Solr...
CVE-2026-48204: wybór operacji GridFS sterowany nagłówkiem w Apache Camel MongoDB GridFS (CVSS 9.8)
Producent camel-mongodb-gridfs wybiera operację GridFS na podstawie nagłówka gridfs.operation, gdy parametr operation endpointu nie jest ustawiony — a to ustawienie domyślne...
CVE-2026-48205: parametry DNS sterowane nagłówkami i SSRF w komponencie Apache Camel DNS (CVSS 9.1)
Producenty camel-dns odczytują parametry operacji DNS — resolver, nazwę, typ i klasę rekordu — z nagłówków Exchange o zwykłych nazwach tekstowych...
CVE-2026-56140: Krytyczna podatność nieprawidłowej walidacji danych w Apache Camel AWS SNS
Podatność Improper Input Validation w komponencie Apache Camel AWS SNS — zmiana typu defense-in-depth bez znanej ścieżki wykorzystania. Aktualizacja do 4.21.0 zalecana...
CVE-2026-41106: open redirect i eskalacja uprawnień w M365 Copilot (CVSS 9.3)
Przekierowanie URL do niezaufanej witryny (open redirect) w M365 Copilot pozwala nieuprawnionemu atakującemu na eskalację uprawnień poprzez sieć...
CVE-2026-45499: server-side request forgery w Azure OpenAI (CVSS 9.9)
Podatność server-side request forgery (SSRF) w Azure OpenAI pozwala uprawnionemu atakującemu na eskalację uprawnień przez sieć...
CVE-2026-57100: server-side request forgery w Microsoft Entra Provisioning Service (CVSS 9.9)
Podatność server-side request forgery (SSRF) w Microsoft Entra Provisioning Service (SyncFabric) pozwala uprawnionemu atakującemu na eskalację uprawnień przez sieć...
CVE-2026-45659: deserializacja niezaufanych danych w Microsoft SharePoint Server (CVSS 8.8)
Microsoft SharePoint Server zawiera podatność typu deserializacja niezaufanych danych, która pozwala uwierzytelnionemu atakującemu wykonać kod przez sieć...
CVE-2026-10109: zdalne wykonanie kodu przez obsługę handshake DRDA przed uwierzytelnieniem w IBM Db2 (CVSS 9.8)
IBM Db2 11.5.0-11.5.9 oraz 12.1.0-12.1.4 jest podatny na zdalne wykonanie kodu z powodu nieprawidłowej obsługi handshake DRDA przed uwierzytelnieniem...
CVE-2026-11708: Krytyczna podatność XSS - natychmiastowa aktualizacja wymagana
IBM WebSphere Application Server 9.0 oraz 8.5 jest podatny na atak cross-site scripting (XSS) w zintegrowanym systemie pomocy konsoli administracyjnej...
CVE-2026-11712: Krytyczna podatność XSS - natychmiastowa aktualizacja wymagana
IBM WebSphere Application Server 9.0 oraz 8.5 jest podatny na atak cross-site scripting (XSS) w systemie pomocy konsoli administracyjnej...
CVE-2026-48286: nieprawidłowa autoryzacja i wykonanie kodu w Adobe Campaign Classic (CVSS 10.0)
Adobe Campaign Classic 7.4.3 build 9396 i wcześniejsze zawierają podatność nieprawidłowej autoryzacji, która może skutkować wykonaniem dowolnego kodu...
CVE-2026-13762: obejście inspekcji ciała żądania AWS WAF przez fragmentację HTTP/2 w CloudFront (CVSS 9.8)
Niespójna interpretacja żądań HTTP/2 może pozwolić obejść inspekcję ciała żądania przez reguły zarządzane AWS WAF. Problem naprawiono po stronie serwera — działanie klienta nie jest wymagane...
CVE-2026-13763: obejście inspekcji ciała żądania AWS WAF przez fragmentację HTTP/2 w AWS ALB (CVSS 9.8)
Dotyczy wyłącznie grup docelowych ALB w trybie HTTP/2. Naprawa wymaga włączenia opcji „Inspect after sufficient data' w konfiguracji grupy docelowej...
CVE-2026-12569: zdalne wykonanie kodu w PTC Windchill i FlexPLM (aktywna eksploatacja)
PTC Windchill i FlexPLM zawierają podatność nieprawidłowej walidacji danych wejściowych, pozwalającą nieuwierzytelnionemu atakującemu wykonać dowolny kod przez złośliwe żądanie sieciowe...
CVE-2026-41120: przyjmowanie niezaufanych danych i zdalne wykonanie kodu w Dell Wyse Management Suite (CVSS 9.8)
Dell Wyse Management Suite przed WMS 5.5 HF1 przyjmuje zbędne niezaufane dane razem z zaufanymi, co może pozwolić atakującemu o niskich uprawnieniach na zdalne wykonanie kodu...
CVE-2025-67038: wstrzyknięcie komend systemowych w Lantronix EDS5000 (aktywna eksploatacja)
Lantronix EDS5000 pozwala wstrzyknąć dowolne komendy systemowe w parametrze username. Wstrzyknięte komendy wykonują się z uprawnieniami roota...
CVE-2026-11374: Krytyczna podatność w ManageEngine ADSelfService Plus - natychmiastowa aktualizacja wymagana
W ManageEngine ADSelfService Plus, RecoveryManager Plus, M365 Manager Plus i ADAudit Plus generowane bilety SSO można było przewidzieć bez uwierzytelnienia, co prowadzi do przejęcia konta...
CVE-2026-11807: brak autoryzacji ujawniający poświadczenia w API websocket Event-Driven Ansible (CVSS 9.6)
Endpoint /api/eda/ws/ansible-rulebook nie weryfikuje uprawnień przy przetwarzaniu wiadomości Worker, co pozwala odczytać poświadczenia dowolnej aktywacji...
CVE-2026-12249: Krytyczna podatność w Canonical ADSys upstream - natychmiastowa aktualizacja wymagana
Problem w Canonical ADSys upstream w wersjach do v0.16.2. Podczas automatycznej rejestracji certyfikatów AD CS przez zwendorowany skrypt klienta Samba ADSys używa połączenia HTTP zamiast HTTPS...
CVE-2026-28381: komendy GET/PUT źródła Snowflake pozwalają czytać i zapisywać pliki w Grafanie (CVSS 9.6)
Źródło danych Snowflake dopuszcza komendy GET/PUT, co pozwala każdemu użytkownikowi z prawem uruchamiania zapytań czytać i zapisywać pliki między serwerem Grafany a hostem Snowflake...
CVE-2026-12048: Krytyczna podatność XSS - natychmiastowa aktualizacja wymagana
Trwałe XSS w ścieżkach renderowania błędów i węzłów planu w pgAdmin 4. Tekst zwracany przez serwer PostgreSQL (komunikaty ErrorResponse, w tym nazwy obiektów) był przekazywany bez sanityzacji...
CVE-2026-45480: nieprawidłowe uwierzytelnianie i eskalacja uprawnień w Azure Active Directory (CVSS 10.0)
Nieprawidłowe uwierzytelnianie w Azure Active Directory pozwala nieuprawnionemu atakującemu na eskalację uprawnień przez sieć...
CVE-2026-47647: nieprawidłowa kontrola dostępu i eskalacja uprawnień w Microsoft Dynamics 365 (CVSS 9.9)
Nieprawidłowa kontrola dostępu w Microsoft Dynamics 365 pozwala uprawnionemu atakującemu na eskalację uprawnień przez sieć...
CVE-2026-48582: brak autoryzacji i eskalacja uprawnień w Microsoft Exchange Online (CVSS 9.6)
Brak kontroli autoryzacji w Microsoft Exchange Online pozwala uprawnionemu atakującemu na eskalację uprawnień poprzez sieć...
CVE-2026-48584: wykonanie z nadmiarowymi uprawnieniami w Azure Synapse (CVSS 9.9)
Wykonanie z nadmiarowymi uprawnieniami w Azure Synapse pozwala uprawnionemu atakującemu na eskalację uprawnień przez sieć...
CVE-2026-50242: obejście uwierzytelniania przez bezpośredni dostęp do bazy w JetBrains Hub (CVSS 10.0)
W JetBrains Hub przed wersjami 2026.1.13757, 2025.3.148033 i wcześniejszymi możliwe było obejście uwierzytelniania przez bezpośredni dostęp do bazy danych...
CVE-2026-54130: brak uwierzytelnienia dla funkcji krytycznej w M365 Copilot (CVSS 9.8)
Brak uwierzytelnienia dla funkcji krytycznej w M365 Copilot pozwala nieuprawnionemu atakującemu na ujawnienie informacji przez sieć...
CVE-2026-56141: przejęcie konta przez przewidywalne kody odzyskiwania w JetBrains Hub (CVSS 9.8)
W JetBrains Hub przed wersjami 2026.1.13757, 2025.3.148033 i wcześniejszymi możliwe było przejęcie konta przez przewidywalne kody odzyskiwania...
CVE-2026-56142: eskalacja uprawnień przez dopięcie danych uwierzytelniających w JetBrains Hub (CVSS 9.9)
W JetBrains Hub przed wersjami 2026.1.13757, 2025.3.148033 i wcześniejszymi możliwa była eskalacja uprawnień przez dopięcie danych uwierzytelniających do kont...
CVE-2026-20181: Krytyczna podatność - natychmiastowa aktualizacja wymagana
Podatność w Cisco ISE i ISE-PIC może pozwolić uwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnych poleceń w systemie operacyjnym urządzenia. Wymagane są prawidłowe dane administracyjne...
CVE-2026-20266: Krytyczna podatność w Splunk AI Toolkit - natychmiastowa aktualizacja wymagana
W wersjach Splunk AI Toolkit poniżej 5.7.4 użytkownik z rolą "admin" mógł wykonać dowolne polecenia systemowe na hoście instancji Splunk Enterprise. Podatność wynika z niebezpiecznego wzorca wykonania powłoki w narzędziu btool...
CVE-2026-48907: nieprawidłowa kontrola dostępu w Joomla Content Editor (aktywna eksploatacja)
Joomla Content Editor zawiera podatność nieprawidłowej kontroli dostępu, umożliwiającą wgranie i wykonanie kodu PHP przez tworzenie profili edytora dla nieuwierzytelnionych użytkowników...
CVE-2026-54420: podążanie za dowiązaniami symbolicznymi w LiteSpeed cPanel Plugin (CVSS 8.5)
Wtyczka LiteSpeed do cPanel zawiera podatność podążania za dowiązaniami symbolicznymi UNIX, dotyczącą użytkowników z dostępem FTP lub web shell na współdzielonym hostingu z CloudLinux/CageFS...
CVE-2026-9862: wstrzyknięcie komend w usłudze boks_autoregisterd w Fortra BoKS (CVSS 9.8)
Zdalny atakujący z dostępem sieciowym do usługi boks_autoregisterd może doprowadzić do wykonania komend z uprawnieniami tej usługi podczas przetwarzania autorejestracji...
CVE-2026-20253: zapis dowolnych plików przez endpoint sidecara PostgreSQL w Splunk Enterprise (CVSS 9.8)
Endpoint usługi sidecar PostgreSQL nie ma kontroli uwierzytelniania, co pozwala dowolnemu użytkownikowi osiągalnemu sieciowo tworzyć lub obcinać dowolne pliki...
CVE-2026-53469: Krytyczna podatność w Red Hat Migration Planner - natychmiastowa aktualizacja wymagana
Wykryto błąd w migration-planner. Uwierzytelniony użytkownik może wysłać żądanie DELETE do trasy /api/v1/sources bez odpowiedniej autoryzacji, niszcząc dane wszystkich klientów SaaS...
CVE-2026-53470: obejście kontroli własności i wyciek podpisanych URL-i OVA w migration-planner (CVSS 9.6)
Endpoint /api/v1/sources/{id}/image-url pozwala uwierzytelnionemu atakującemu ominąć kontrolę własności i pobrać obrazy OVA innych użytkowników z długożyciowymi tokenami JWT...
CVE-2026-53471: brak walidacji claim source_id i utrata izolacji najemców w migration-planner (CVSS 9.6)
Handlery UpdateSourceInventory i UpdateAgentStatus nie walidują claim source_id w tokenie JWT wobec żądanego identyfikatora źródła...
CVE-2026-53474: SQL injection przez spreparowany arkusz RVTools w migration-planner (CVSS 9.6)
Złośliwy kod SQL osadzony w komórce arkusza .xlsx jest wykonywany przy przetwarzaniu nazw klastrów, co pozwala odczytać pliki i tokeny kont serwisowych Kubernetes...
CVE-2026-53475: Krytyczna podatność w Red Hat Assisted Migration Agent
Wykryto błąd w assisted-migration-agent. Aplikacja na stałe wykorzystuje niebezpieczne połączenia TLS przy komunikacji z vCenter, umożliwiając atak typu Man-in-the-Middle i przechwycenie danych...
CVE-2026-53476: path traversal przez spreparowane archiwum tar w assisted-migration-agent (CVSS 9.6)
Nieuwierzytelniony atakujący w tej samej sieci lokalnej może spreparować archiwum tar.gz, ominąć kontrole bezpieczeństwa i zapisać dowolne pliki...
CVE-2026-10520: wstrzyknięcie komend z uprawnieniami roota bez uwierzytelnienia w Ivanti Sentry (CVSS 10.0)
Podatność OS Command Injection w Ivanti Sentry przed wersjami R10.5.2, R10.6.2 i R10.7.1 pozwala zdalnemu, nieuwierzytelnionemu użytkownikowi na zdalne wykonanie kodu jako root...
CVE-2026-10523: obejście uwierzytelniania i tworzenie kont administracyjnych w Ivanti Sentry (CVSS 9.9)
Podatność obejścia uwierzytelniania (CWE-288) w Ivanti Sentry przed R10.5.2, R10.6.2 i R10.7.1 pozwala zdalnemu, nieuwierzytelnionemu atakującemu tworzyć konta administracyjne...
CVE-2026-11645: odczyt i zapis poza zakresem w Google Chromium V8 (CVSS 8.8)
Podatność w silniku V8 pozwala zdalnemu atakującemu wykonać dowolny kod w piaskownicy przez spreparowaną stronę HTML. Dotyczy Chrome, Edge, Opery i innych przeglądarek na Chromium...
CVE-2026-20245: wykonanie komend jako root w Cisco Catalyst SD-WAN Manager (CVSS 7.8)
Cisco Catalyst SD-WAN Manager zawiera podatność nieprawidłowego kodowania danych wyjściowych, pozwalającą lokalnemu atakującemu wykonać dowolne komendy jako root...
CVE-2026-25089: wstrzyknięcie komend systemowych bez uwierzytelnienia w Fortinet FortiSandbox (CVSS 9.8)
Podatność OS command injection w FortiSandbox 5.0.0-5.0.5, 4.4.0-4.4.8 i 4.2 może pozwolić nieuwierzytelnionemu atakującemu wykonać nieautoryzowane komendy przez spreparowane żądania HTTP...
CVE-2026-27671: uszkodzenie pamięci przez spreparowane żądanie RFC w SAP Kernel (CVSS 9.8)
Nieprawidłowa walidacja protokołu RFC w SAP Kernel pozwala nieuwierzytelnionemu atakującemu wysłać spreparowane żądanie RFC i doprowadzić do uszkodzenia pamięci...
CVE-2026-34691: Podatność w Adobe Experience Manager — natychmiastowa aktualizacja wymagana
Adobe Experience Manager Forms JEE w wersjach LTS SP1, 6.5.24.0 i wcześniejszych jest podatne na trwałe XSS, które atakujący może wykorzystać do wstrzyknięcia złośliwych skryptów w pola formularzy...
CVE-2026-40128: Krytyczna podatność - natychmiastowa aktualizacja wymagana
SAP NetWeaver Application Server Java (Web Container) pozwala niezuwierzytelnionemu atakującemu spreparować złośliwe żądanie logowania HTTP manipulujące parametrami dołączania plików (path traversal)...
CVE-2026-42904: przepełnienie bufora na stercie i eskalacja uprawnień w Windows TCP/IP (CVSS 9.6)
Przepełnienie bufora na stercie w Windows TCP/IP pozwala nieuprawnionemu atakującemu na eskalację uprawnień przez sieć sąsiadującą...
CVE-2026-44748: obejście weryfikacji podpisu XML w SAP NetWeaver Application Server ABAP (CVSS 9.9)
Uwierzytelniony atakujący ze zwykłymi uprawnieniami może uzyskać poprawnie podpisany komunikat i wysłać zmodyfikowane podpisane dokumenty XML do weryfikatora...
CVE-2026-44815: przepełnienie bufora na stosie i wykonanie kodu w Windows DHCP Client (CVSS 9.8)
Przepełnienie bufora na stosie w Windows DHCP Client pozwala nieuprawnionemu atakującemu na wykonanie kodu przez sieć...
CVE-2026-45447: use-after-free przy weryfikacji podpisu PKCS#7 w OpenSSL (CVSS 9.8)
Spreparowana wiadomość PKCS#7 lub S/MIME może wywołać use-after-free podczas weryfikacji podpisu, prowadząc do awarii procesu, uszkodzenia sterty lub zdalnego wykonania kodu...
CVE-2026-45602: podatność i manipulacja danymi w Windows DHCP Server (CVSS 9.1)
Podatność bez przypisanej kategorii CWE w Windows DHCP Server pozwala nieuprawnionemu atakującemu na manipulację danymi (tampering) poprzez sieć...
CVE-2026-45657: use-after-free i wykonanie kodu w jądrze Windows (CVSS 9.8)
Błąd use-after-free w jądrze Windows pozwala nieuprawnionemu atakującemu na wykonanie kodu przez sieć...
CVE-2026-47281: nieprawidłowa walidacja danych i eskalacja uprawnień w Visual Studio Code (CVSS 9.6)
Nieprawidłowa walidacja danych wejściowych w Visual Studio Code pozwala nieuprawnionemu atakującemu na eskalację uprawnień poprzez sieć...
CVE-2026-47291: przepełnienie liczby całkowitej i wykonanie kodu w Windows HTTP.sys (CVSS 9.8)
Przepełnienie lub zawinięcie liczby całkowitej w Windows HTTP.sys pozwala nieuprawnionemu atakującemu na wykonanie kodu przez sieć...
CVE-2026-47643: zewnętrzna kontrola nazwy lub ścieżki pliku w Azure Stack Edge (CVSS 9.8)
Zewnętrzna kontrola nazwy lub ścieżki pliku w Azure Stack Edge pozwala nieuprawnionemu atakującemu na wykonanie kodu przez sieć...
CVE-2026-47938: SSRF prowadzące do wykonania dowolnego kodu w Adobe Campaign Classic (CVSS 10.0)
Adobe Campaign Classic 7.4.3 build 9394 i wcześniejsze są podatne na SSRF, które może skutkować wykonaniem dowolnego kodu w kontekście bieżącego użytkownika...
CVE-2026-48303: nieprawidłowa autoryzacja i wykonanie dowolnego kodu w Adobe Campaign Classic (CVSS 10.0)
Adobe Campaign Classic 7.4.3 build 9394 i wcześniejsze zawierają podatność nieprawidłowej autoryzacji, która może skutkować wykonaniem dowolnego kodu...
CVE-2026-42271: Wysoka podatność w LiteLLM (BerriAI)
BerriAI LiteLLM zawiera podatność typu command injection, która może pozwolić dowolnemu uwierzytelnionemu użytkownikowi — w tym posiadaczom niskouprawnionych kluczy internal-user — na wykonanie dowolnych poleceń na hoście...
CVE-2026-44631: buffer underwrite przez spreparowane wyrażenia regularne w Apache HTTP Server (CVSS 9.8)
Podatność buffer underwrite w Apache HTTP Server przy spreparowanych wyrażeniach regularnych w konfiguracji. Dotyczy wersji od 2.4.0 do 2.4.67...
CVE-2026-50751: Obejście uwierzytelniania w Check Point VPN Remote Access (IKEv1) - aktywnie eksploatowane
Check Point potwierdza aktywną eksploatację obejścia uwierzytelniania w VPN Remote Access i Mobile Access przez przestarzały IKEv1. Hotfix jest dostępny — zainstaluj natychmiast....
CVE-2026-50752: Obejście certyfikatu w Site-to-Site VPN Check Point (IKEv1)
Check Point Research wykrył obejście walidacji certyfikatu w Site-to-Site VPN przez przestarzały IKEv1. Brak oznak aktywnej eksploatacji; ten sam hotfix co dla CVE-2026-50751 usuwa lukę....
CVE-2026-28318: Wysoka podatność w Serv-U (SolarWinds)
SolarWinds Serv-U zawiera podatność niekontrolowanego zużycia zasobów, która pozwala specjalnie spreparowanym żądaniom POST z nagłówkiem Content-Encoding: deflate na awarię usługi Serv-U bez uwierzytelniania...
CVE-2026-48567: Ominięcie uwierzytelniania w Microsoft Azure HorizonDB
Ominięcie uwierzytelniania przez podszywanie się (spoofing) w Azure HorizonDB pozwala nieuprawnionemu atakującemu na eskalację uprawnień przez sieć...
CVE-2026-48579: Nieprawidłowa autoryzacja w Microsoft Exchange Online
Nieprawidłowa autoryzacja w Microsoft Exchange Online pozwala nieuprawnionemu atakującemu na ujawnienie informacji przez sieć...
CVE-2026-10840: Nadmierne uprawnienia RBAC w Red Hat OpenShift Pipelines
Operator OpenShift Pipelines zawiera błąd, w którym ClusterRoleBinding tekton-scheduler-rolebinding nadaje grupie system:authenticated prawa zapisu do zasobów Kueue i cert-manager, umożliwiając nadużycia...
CVE-2026-20230: SSRF i zapis dowolnych plików w Cisco Unified CM (CUCM) - publiczny PoC
Opublikowano publiczny PoC dla CVE-2026-20230 w Cisco Unified Communications Manager. Niewystarczająca walidacja danych w komponencie WebDialer umożliwia zdalny SSRF i zapis dowolnych plików....
CVE-2026-8037: Wstrzykiwanie poleceń OS (RCE) w Progress LoadMaster
Podatność OS Command Injection (RCE) w API produktów ADC firmy Progress pozwala nieuwierzytelnionemu atakującemu wykonać dowolne polecenia na urządzeniu LoadMaster przez niesanityzowane dane wejściowe...
CVE-2026-9614: Eskalacja uprawnień w Ivanti Neurons for ITSM - natychmiastowa aktualizacja wymagana
Uwierzytelniony atakujący może uzyskać podwyższone uprawnienia w Ivanti Neurons for ITSM, potencjalnie zyskując nieautoryzowany dostęp do wrażliwych funkcji platformy i danych....
CVE-2010-0249: Podatność z 2010 roku ponownie aktywnie eksploatowana (Microsoft)
Microsoft Internet Explorer zawiera podatność typu use-after-free, która może umożliwić zdalnym napastnikom wykonanie dowolnego kodu poprzez odwołanie do wskaźnika powiązanego z usuniętym obiektem....
CVE-2025-14771: Pliki dostępne dla podmiotów zewnętrznych w ABB T-MAC Plus
Podatność polegająca na dostępności plików lub katalogów dla podmiotów zewnętrznych w ABB T-MAC Plus. Problem dotyczy wersji T-MAC Plus: 4.0-24....
CVE-2022-0492: Podatność z 2022 roku ponownie aktywnie eksploatowana (Linux)
Jądro systemu Linux zawiera podatność nieprawidłowego uwierzytelniania, która umożliwia eskalację uprawnień poprzez funkcję release_agent w cgroups v1....
CVE-2025-48595: Wysoka podatność w Framework (Android)
Android Framework zawiera podatność typu integer overflow, która umożliwia wykonanie kodu mogące prowadzić do lokalnej eskalacji uprawnień....
CVE-2024-21182: Podatność z 2024 roku ponownie aktywnie eksploatowana (Oracle)
Oracle WebLogic zawiera nieokreśloną podatność, która może umożliwić nieuwierzytelnionemu atakującemu z dostępem sieciowym przez T3, IIOP przejęcie Oracle WebLogic Server. Udane ataki mogą prowadzić...
CVE-2026-42252: Krytyczna podatność w Apache Airflow - natychmiastowa aktualizacja wymagana
Oficjalna dokumentacja Apache Airflow zawierała dosłowny przykład `BashOperator(bash_command=...)` bez ostrzeżenia o sanityzacji, narażając autorów DAG-ów na wstrzyknięcie metaznaków powłoki....
CVE-2026-8644: Podszywanie się pod tożsamość w IBM WebSphere Application Server
IBM WebSphere Application Server w wersjach 9.0 oraz 8.5 jest podatny na podszywanie się pod tożsamość (identity spoofing)...
CVE-2026-9311: Zdalne wykonanie kodu w IBM WebSphere Application Server
IBM WebSphere Application Server w wersjach 9.0 oraz 8.5 jest podatny na zdalne wykonanie kodu spowodowane obejściem mechanizmów kontroli bezpieczeństwa...
CVE-2026-9319: Krytyczna podatność zdalnego wykonania kodu w IBM WebSphere Application Server
IBM WebSphere Application Server 9.0 oraz 8.5 jest podatny na zdalne wykonanie kodu z powodu deserializacji niezaufanych danych przez punkty końcowe JAX-WS z WS-Security...
CVE-2026-0257: Krytyczna podatność ominięcia uwierzytelniania w Palo Alto Networks PAN-OS - natychmiastowa aktualizacja wymagana
Palo Alto Networks PAN-OS zawiera podatność ominięcia uwierzytelniania, która pozwala atakującym obejść zabezpieczenia i nawiązać nieautoryzowane połączenie VPN....
CVE-2026-32996: Wysokie zagrożenie - zapis dowolnego pliku / eskalacja uprawnień w Veeam
Druga podatność wysokiego ryzyka z bundla Veeam - dotyczy Service Provider Console (9.x < 9.2.0.33215) i Backup & Replication (13.x < 13.0.1.2067), umożliwia zapis dowolnych plików i eskalację...
CVE-2026-32997: Wysokie zagrożenie - zapis dowolnego pliku / eskalacja uprawnień w Veeam
Podatność wysokiego ryzyka w Veeam Service Provider Console (9.x < 9.2.0.33215) i Veeam Backup & Replication (13.x < 13.0.1.2067) - umożliwia zapis dowolnych plików i eskalację uprawnień...
CVE-2026-32998: Krytyczna podatność RCE w Veeam Service Provider Console i Veeam Backup & Replication
Krytyczna podatność RCE w Veeam Service Provider Console (9.x < 9.2.0.33215) i Veeam Backup & Replication (13.x < 13.0.1.2067) - atakujący może zdalnie wykonać kod na systemach zarządzania kopiami...
CVE-2026-34926: Directory Traversal w Trend Micro Apex One Server - aktywnie eksploatowana (ITW)
Directory traversal w Trend Micro Apex One Server (on-prem, build < 17079) - pre-uwierzytelniony lokalny atakujący z poświadczeniami admin może modyfikować kluczową tabelę serwera i wstrzykiwać złośliwy kod do agentów. Trend Micro potwierdza aktywną eksploatację...
CVE-2026-34927: Lokalna eskalacja uprawnień w Trend Micro Apex One / Vision One SEP agent
Podatność origin validation w agencie Trend Micro Apex One / Vision One SEP (build < 14.0.20731) - lokalny atakujący z niskimi uprawnieniami może eskalować uprawnienia. Pierwsza z 7 podobnych LPE w bulletin KA-0023430...
CVE-2026-34928: Lokalna eskalacja uprawnień w Trend Micro Apex One / Vision One SEP (named pipe)
Podatność origin validation w innym mechanizmie named pipe w agencie Apex One/SEP - LPE 7.8. Część zestawu 8 podatności z bulletin KA-0023430...
CVE-2026-34929: Lokalna eskalacja uprawnień w Trend Micro Apex One / Vision One SEP (IPC)
Podatność origin validation w innym mechanizmie IPC w agencie Apex One/SEP - LPE 7.8. Trzecia z 7 podobnych LPE z bulletin KA-0023430...
CVE-2026-34930: Lokalna eskalacja uprawnień w Trend Micro Apex One / Vision One SEP (process protection)
Podatność origin validation w innym mechanizmie ochrony procesu w agencie Apex One/SEP - LPE 7.8. Czwarta z 7 podobnych LPE z bulletin KA-0023430...
CVE-2026-40701: Wysokie zagrożenie - Denial of Service w NGINX (bundle K000160932)
Podatność Denial of Service w NGINX prowadząca do awarii procesu workera, opublikowana razem z krytycznym CVE-2026-42945 (RCE z publicznym PoC) w ramach F5 advisory K000160932...
CVE-2026-42934: Wysokie zagrożenie - out-of-bounds read w NGINX (bundle K000160932)
Podatność out-of-bounds read w NGINX - może prowadzić do ujawnienia zawartości pamięci procesu (info disclosure). Opublikowana razem z krytycznym CVE-2026-42945 w F5 advisory K000160932...
CVE-2026-42945: Krytyczna podatność RCE w NGINX ngx_http_rewrite_module (publiczny PoC)
Krytyczna podatność RCE w module ngx_http_rewrite_module NGINX obecna w kodzie od 2008 - heap buffer overflow w obsłudze dyrektyw rewrite i set umożliwia nieuwierzytelnione zdalne wykonanie kodu...
CVE-2026-42946: Wysokie zagrożenie - use-after-free w NGINX (bundle K000160932)
Podatność klasy use-after-free w NGINX opublikowana razem z krytycznym CVE-2026-42945 (RCE z publicznym PoC) - potencjalnie umożliwia zdalne wykonanie kodu lub destabilizację procesu workera...
CVE-2026-4408: Zdalne wykonanie poleceń w Samba
Wykryto lukę w Samba. Zdalny atakujący może wykorzystać błędną konfigurację serwerów plików Samba oraz klasycznych kontrolerów domeny używających funkcji "check password script". Jeśli skrypt skonfigurowano ze znakiem podstawienia %u, możliwe jest zdalne wykonanie poleceń...
CVE-2026-45206: Lokalna eskalacja uprawnień w Trend Micro Apex One / Vision One SEP
Podatność origin validation w innym mechanizmie komunikacji ochrony procesu w agencie Apex One/SEP - LPE 7.8. Piąta z 7 podobnych LPE z bulletin KA-0023430...
CVE-2026-45207: Lokalna eskalacja uprawnień w Trend Micro Apex One / Vision One SEP
Podatność origin validation w innym mechanizmie komunikacji ochrony procesu w agencie Apex One/SEP - LPE 7.8. Szósta z 7 podobnych LPE z bulletin KA-0023430...
CVE-2026-45208: Lokalna eskalacja uprawnień TOCTOU w Trend Micro Apex One / Vision One SEP
Podatność TOCTOU (CWE-367) w agencie Apex One/SEP - lokalna eskalacja uprawnień. Ostatnia z 8 podatności w bulletin KA-0023430 (różna klasa od pozostałych 7 - origin validation)...
CVE-2025-12686: Przepełnienie bufora (RCE) w Synology BeeStation Manager
Podatność przepełnienia bufora (Classic Buffer Overflow) w komponencie AdminCenter w Synology BeeStation Manager (BSM) przed wersją 1.3.2-65648 oraz Synology BeeStation OS przed 1.3.2-65648 pozwala zdalnym atakującym na wykonanie dowolnego kodu...
CVE-2026-45321: Krytyczna podatność łańcucha dostaw w TanStack (npm)
TanStack zawiera nieokreśloną podatność, która umożliwiła opublikowanie złośliwych wersji produktu w rejestrze npm w celu rozpowszechniania malware wykradającego dane uwierzytelniające pod zaufaną tożsamością...
CVE-2026-48027: Nieznana podatność w Nx Console (Nx)
Nx Console zawiera podatność osadzonego złośliwego kodu, która umożliwiła opublikowanie złośliwej wersji Nx Console. Zainfekowane rozszerzenie pobierało zaciemniony payload zdolny do wykradania danych uwierzytelniających...
CVE-2026-8175: Krytyczna podatność przepełnienia bufora w IBM Aspera High-Speed Transfer Server
IBM Aspera High-Speed Transfer Server i Endpoint w wersjach od 3.7.4 do 4.4.7 Fix Pack 1 są podatne na przepełnienie bufora w komponencie asperahttpd, co może prowadzić do RCE...
CVE-2026-23652: Krytyczna podatność wstrzykiwania poleceń w Microsoft Power Pages - natychmiastowa aktualizacja wymagana
Wstrzykiwanie poleceń (command injection) w Microsoft Power Pages umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie kodu przez sieć....
CVE-2026-2651: Krytyczna podatność kontroli dostępu w MLflow - natychmiastowa aktualizacja wymagana
Podatność w MLflow w wersjach <=3.10.1.dev0 umożliwia nieautoryzowany dostęp do endpointów multipart upload (MPU) przy włączonym trybie `--serve-artifacts`. Logika autoryzacji nie wymusza kontroli upr...
CVE-2026-33843: Ominięcie uwierzytelniania w Microsoft Azure Active Directory B2C
Ominięcie uwierzytelniania z wykorzystaniem alternatywnej ścieżki lub kanału w Microsoft Azure Active Directory B2C umożliwia nieuwierzytelnionemu atakującemu podniesienie uprawnień przez sieć....
CVE-2026-39821: Eskalacja uprawnień w Go golang.org/x/net/idna
Funkcje ToASCII i ToUnicode błędnie akceptują etykiety zakodowane w Punycode, które dekodują się do etykiety zawierającej wyłącznie znaki ASCII. Może to prowadzić do eskalacji uprawnień w programach używających pakietu idna....
CVE-2026-40411: Krytyczna podatność nieprawidłowej walidacji danych w Azure Virtual Network Gateway - natychmiastowa aktualizacja wymagana
Nieprawidłowa walidacja danych wejściowych w Azure Virtual Network Gateway umożliwia autoryzowanemu atakującemu zdalne wykonanie kodu przez sieć...
CVE-2026-40412: Krytyczna podatność w Azure Orbital Spatio - natychmiastowa aktualizacja wymagana
Nieograniczone przesyłanie plików niebezpiecznego typu w Azure Orbital Spatio umożliwia nieautoryzowanemu atakującemu zdalne wykonanie kodu przez sieć...
CVE-2026-41090: Krytyczna podatność wstrzykiwania poleceń w Microsoft Copilot - natychmiastowa aktualizacja wymagana
Wstrzykiwanie poleceń (command injection) w Microsoft Copilot umożliwia nieuwierzytelnionemu atakującemu manipulację danymi (tampering) przez sieć....
CVE-2026-41104: Krytyczna podatność deserializacji w Microsoft Planetary Computer Pro - natychmiastowa aktualizacja wymagana
Deserializacja niezaufanych danych w Microsoft Planetary Computer Pro umożliwia nieautoryzowanemu atakującemu ujawnienie informacji przez sieć...
CVE-2026-42901: Krytyczna podatność w Microsoft Entra ID - natychmiastowa aktualizacja wymagana
Błąd walidacji pochodzenia (origin validation error) w Microsoft Entra ID umożliwia nieautoryzowanemu atakującemu eskalację uprawnień przez sieć...
CVE-2026-44930: Krytyczna podatność w Apache Cxf - natychmiastowa aktualizacja wymagana
Podatność na LDAP injection w repozytorium certyfikatów LDAP serwera XKMS w Apache CXF może umożliwić atakującemu pobranie dowolnych certyfikatów z repozytorium. Zalecana jest aktualizacja...
CVE-2026-47280: Nieprawidłowe uwierzytelnianie w Microsoft Azure Resource Manager
Nieprawidłowe uwierzytelnianie w Azure Resource Manager (ARM) umożliwia nieuwierzytelnionemu atakującemu podniesienie uprawnień przez sieć....
CVE-2026-48172: Krytyczna podatność eskalacji uprawnień w LiteSpeed cPanel Plugin - natychmiastowa aktualizacja wymagana
LiteSpeed cPanel Plugin zawiera podatność eskalacji uprawnień dostępną przez wtyczkę cPanel po stronie użytkownika, którą może wykorzystać dowolne konto użytkownika cPanel do wykonania dowolnych skryptów...
CVE-2026-8633: Zdalne wykonanie kodu w IBM WebSphere Application Server
IBM Web Server Plug-ins dla WebSphere Application Server oraz WebSphere Liberty 8.5 i 9.0 są podatne na zdalne wykonanie kodu poprzez specjalnie spreparowane żądanie kierowane do komponentu Web Server Plug-ins...
CVE-2026-33000: Wstrzykiwanie poleceń w Ubiquiti UniFi OS
Atakujący z dostępem do sieci i wysokimi uprawnieniami może wykorzystać podatność nieprawidłowej walidacji danych wejściowych w urządzeniach UniFi OS do wykonania wstrzyknięcia poleceń (Command Injection)...
CVE-2026-34908: Nieprawidłowa kontrola dostępu w Ubiquiti UniFi OS
Atakujący z dostępem do sieci może wykorzystać podatność nieprawidłowej kontroli dostępu w urządzeniach UniFi OS do wprowadzenia nieautoryzowanych zmian w systemie...
CVE-2026-34909: Path traversal w Ubiquiti UniFi OS
Atakujący z dostępem do sieci może wykorzystać podatność typu path traversal w urządzeniach UniFi OS do uzyskania dostępu do plików systemu bazowego, którymi można manipulować w celu dostępu do konta...
CVE-2026-34910: Wstrzykiwanie poleceń w Ubiquiti UniFi OS
Atakujący z dostępem do sieci może wykorzystać podatność nieprawidłowej walidacji danych wejściowych w urządzeniach UniFi OS do wykonania wstrzyknięcia poleceń (Command Injection)...
CVE-2026-6960: Dowolne przesyłanie plików we wtyczce WordPress BookingPress Pro
Wtyczka BookingPress Pro dla WordPress jest podatna na przesyłanie dowolnych plików z powodu braku walidacji typu pliku w funkcji 'bookingpress_validate_submitted_booking_form_func' we wszystkich wersjach...
CVE-2026-9082: Krytyczna podatność SQL injection w Drupal Core - natychmiastowa aktualizacja wymagana
Drupal Core zawiera podatność SQL injection umożliwiającą eskalację uprawnień i zdalne wykonanie kodu poprzez specjalnie spreparowane żądania wysyłane do API abstrakcji bazy danych...
CVE-2026-5433: Krytyczne wstrzykiwanie poleceń w Honeywell Control Network Module (CNM)
Honeywell Control Network Module (CNM) zawiera podatność wstrzykiwania poleceń w interfejsie webowym. Atakujący może ją wykorzystać za pomocą separatorów poleceń, co potencjalnie prowadzi do zdalnego wykonania kodu (RCE)...
CVE-2026-6279: Nieuwierzytelnione RCE we wtyczce WordPress Avada Builder
Wtyczka Avada Builder (fusion-builder) dla WordPress jest podatna na nieuwierzytelnione zdalne wykonanie kodu (RCE) poprzez wstrzyknięcie funkcji PHP w wersjach do 3.15.2 włącznie. Przyczyną jest ...
CVE-2008-4250: Podatność z 2008 roku ponownie aktywnie eksploatowana (Microsoft)
Microsoft Windows zawiera podatność typu buffer overflow w usłudze Windows Server Service, która umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowane żądanie RPC wywołujące przep...
CVE-2009-1537: Podatność z 2009 roku ponownie aktywnie eksploatowana (Microsoft)
Microsoft DirectX zawiera podatność typu NULL byte overwrite w komponencie QuickTime Movie Parser Filter w bibliotece quartz.dll w DirectShow, która może umożliwić zdalnym atakującym wykonanie dowolne...
CVE-2009-3459: Podatność z 2009 roku ponownie aktywnie eksploatowana (Adobe)
Adobe Acrobat i Reader zawierają podatność typu heap-based buffer overflow, która może umożliwić zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany plik PDF wywołujący uszkodzenie pamięci....
CVE-2010-0806: Podatność z 2010 roku ponownie aktywnie eksploatowana (Microsoft)
Microsoft Internet Explorer zawiera podatność typu use-after-free, która może umożliwić zdalnym atakującym wykonanie dowolnego kodu poprzez dostęp do nieprawidłowego wskaźnika po usunięciu obiektu....
CVE-2026-20223: Krytyczna podatność obejścia uwierzytelniania w Cisco Secure Workload
Krytyczna podatność walidacji dostępu w wewnętrznych API REST Cisco Secure Workload (3.9.x i wcześniejsze, 3.10.x < 3.10.8.3, 4.0.x < 4.0.3.17) - nieuwierzytelniony atakujący zdalny może uzyskać uprawnienia Site Admin...
CVE-2026-24207: Ominięcie uwierzytelniania w NVIDIA Triton Inference Server
NVIDIA Triton Inference Server zawiera podatność umożliwiającą ominięcie uwierzytelniania. Udane wykorzystanie może prowadzić do wykonania kodu, eskalacji uprawnień, manipulacji danymi lub ujawnienia informacji....
CVE-2026-41091: Podatność link following w Microsoft Defender
Microsoft Defender zawiera podatność typu link following, która umożliwia uwierzytelnionemu atakującemu lokalne podniesienie uprawnień....
CVE-2026-45444: Wgrywanie dowolnych plików w Gift Cards For WooCommerce Pro (wtyczka)
Podatność typu Unrestricted Upload of File with Dangerous Type we wtyczce Gift Cards For WooCommerce Pro (WP Swings) umożliwia wgrywanie złośliwych plików. Problem dotyczy wersji do 4.2.6 włącznie....
CVE-2026-6555: Krytyczna podatność w WordPress ProSolution WP Client (plugin) - natychmiastowa aktualizacja wymagana
Wtyczka ProSolution WP Client dla WordPress jest podatna na Arbitrary File Upload w wersjach do 2.0.0 włącznie. Niezautoryzowany atakujący może przesłać złośliwy plik PHP i osiągnąć zdalne wykonanie kodu...
CVE-2026-7637: Krytyczna podatność w WordPress Boost (plugin) - natychmiastowa aktualizacja wymagana
Wtyczka Boost dla WordPress jest podatna na PHP Object Injection w wersjach do 2.0.3 włącznie poprzez deserializację niezaufanych danych w ciasteczku STYXKEY-BOOST_USER_LOCATION. Umożliwia to wstrzyknięcie obiektu PHP...
CVE-2026-8495: Krytyczna podatność w Drupal Date iCal - natychmiastowa aktualizacja wymagana
Podatność typu Missing Authorization w module Drupal Date iCal umożliwia Forceful Browsing. Problem dotyczy Date iCal w wersjach od 0.0.0 do 4.0.15 (przed 4.0.15)...
CVE-2026-8598: Nieuwierzytelniony port eksportu konfiguracji w kamerach ZKTeco CCTV
W niektórych modelach kamer ZKTeco CCTV dostępny jest nieudokumentowany port eksportu konfiguracji. Port nie wymaga uwierzytelniania i ujawnia krytyczne informacje o kamerze....
CVE-2026-2586: Krytyczna podatność zdalnego wykonania kodu w Eclipse GlassFish - natychmiastowa aktualizacja wymagana
W konsoli administracyjnej GlassFish wykryto uwierzytelnioną podatność typu RCE. Użytkownik z dostępem do panelu może wysyłać spreparowane żądania umożliwiające wykonanie dowolnych poleceń systemu operacyjnego...
CVE-2026-2587: Krytyczna podatność zdalnego wykonania kodu w Eclipse GlassFish - natychmiastowa aktualizacja wymagana
W mechanizmie renderowania szablonów po stronie serwera, używanym przez handler gadgetów GlassFish, wykryto krytyczną podatność RCE. Aplikacja przetwarza pliki .xml i ewaluuje wyrażenia EL bez sanityzacji...
CVE-2026-2611: Krytyczna podatność w MLflow - natychmiastowa aktualizacja wymagana
W MLflow 3.9.0 funkcja MLflow Assistant wprowadziła nieprawidłową walidację origin w endpointach /ajax-api. Podatność pozwala zdalnemu atakującemu wykorzystać żądania cross-origin ze złośliwej strony WWW...
CVE-2026-31986: Krytyczna podatność w Apache OFBiz - natychmiastowa aktualizacja wymagana
Podatność typu Use of Hard-coded Cryptographic Key (użycie zakodowanego na stałe klucza kryptograficznego) w Apache OFBiz. Dotyczy wersji przed 24.09.06. Zaleca się aktualizację do wersji 24.09.06...
CVE-2026-41919: Krytyczna podatność LDAP Injection w Apache OFBiz - natychmiastowa aktualizacja wymagana
Podatność typu LDAP Injection (nieprawidłowa neutralizacja znaków specjalnych w zapytaniu LDAP) w Apache OFBiz. Problem dotyczy wersji przed 24.09.06. Zalecana aktualizacja do wersji 24.09.06...
CVE-2026-43633: Krytyczna podatność deserializacji (RCE) w HestiaCP - natychmiastowa aktualizacja wymagana
HestiaCP w wersjach od 1.9.0 do 1.9.4 zawiera podatność deserializacji w komponencie web terminal, wynikającą z niezgodności formatu sesji między PHP a Node.js, umożliwiającą nieuwierzytelnionym atakującym zdalne wykonanie kodu z uprawnieniami root...
CVE-2026-4883: Wgrywanie dowolnych plików we wtyczce WordPress Piotnet Forms
Wtyczka Piotnet Forms dla WordPress jest podatna na wgrywanie dowolnych plików z powodu braku walidacji typu pliku w funkcji 'piotnetforms_ajax_form_builder' we wszystkich wersjach do 2.1.40 włącznie...
CVE-2026-4885: Wgrywanie dowolnych plików we wtyczce WordPress Piotnet Addons for Elementor Pro
Wtyczka Piotnet Addons for Elementor Pro dla WordPress jest podatna na wgrywanie dowolnych plików z powodu braku walidacji typu pliku w funkcji 'pafe_ajax_form_builder' we wszystkich wersjach do 7.1.70 włącznie...
CVE-2026-8948: Obejście polityki same-origin w Mozilla Firefox
Obejście polityki same-origin w komponencie DOM: Networking. Podatność została naprawiona w Firefox 151...
CVE-2026-8953: Krytyczna podatność use-after-free w Mozilla Firefox - natychmiastowa aktualizacja wymagana
Ucieczka z piaskownicy (sandbox escape) spowodowana błędem use-after-free w komponencie Disability Access APIs. Podatność została naprawiona w Firefox 151, Firefox ESR 115.36 oraz Firefox ESR 140.11....
CVE-2026-8959: Ucieczka z sandboxa (sandbox escape) w Mozilla Firefox
Ucieczka z sandboxa spowodowana nieprawidłowymi warunkami granicznymi w komponencie Widget: Win32. Podatność została naprawiona w Firefox 151 oraz Firefox ESR 140.11...
CVE-2026-8974: Błędy bezpieczeństwa pamięci w Mozilla Firefox
Błędy bezpieczeństwa pamięci występujące w Firefox ESR 140.10 i Firefox 150. Niektóre z nich wykazywały oznaki uszkodzenia pamięci i mogły zostać wykorzystane do wykonania dowolnego kodu....
CVE-2026-7301: Krytyczna podatność w SGLang - natychmiastowa aktualizacja wymagana
Scheduler środowiska SGLang (multimodal generation runtime) domyślnie wiąże socket ROUTER z adresem 0.0.0.0 i wywołuje pickle.loads() na przychodzących wiadomościach, co umożliwia RCE przy ekspozycji do internetu...
CVE-2026-7304: Krytyczna podatność zdalnego wykonania kodu w SGLang - natychmiastowa aktualizacja wymagana
Środowisko SGLang (multimodal generation runtime) jest podatne na nieuwierzytelnione RCE, gdy włączona jest opcja --enable-custom-logit-processor, ponieważ obiekty Pythona ładowane przez dill.loads() są deserializowane bez walidacji...
CVE-2018-25332: Krytyczna podatność zdalnego wykonania kodu w GitBucket - natychmiastowa aktualizacja wymagana
GitBucket 4.23.1 zawiera podatność na nieuwierzytelnione zdalne wykonanie kodu, umożliwiającą atakującym wykonanie dowolnych poleceń poprzez wykorzystanie słabego generowania tokenu i niebezpiecznego mechanizmu uploadu plików...
CVE-2026-42897: Podatność XSS w Microsoft Exchange Server
Microsoft Exchange Server zawiera podatność cross-site scripting podczas generowania stron w Outlook Web Access, która przy spełnieniu określonych warunków interakcji umożliwia wykonanie dowolnego ko...
CVE-2026-5229: Ominięcie uwierzytelniania we wtyczce Form Notify dla WordPress
Wtyczka Form Notify dla WordPress jest podatna na ominięcie uwierzytelniania w wersjach do 1.1.10 włącznie. Powodem jest zaufanie do danych cookie kontrolowanych przez użytkownika przy wyborze konta...
CVE-2026-8398: Atak supply chain na instalatory DAEMON Tools Lite - natychmiastowa aktualizacja wymagana
Atak na łańcuch dostaw (supply chain) skompromitował oficjalne pakiety instalacyjne DAEMON Tools Lite (Windows, wersje 12.5.0.2421 do 12.5.0.2434), dystrybuowane z legalnej witryny daemon-tools.cc...
CVE-2026-20182: Krytyczna podatność ominięcia uwierzytelniania w Cisco Catalyst SD-WAN - natychmiastowa aktualizacja wymagana
Cisco Catalyst SD-WAN Controller i Manager zawierają podatność umożliwiającą ominięcie uwierzytelniania, pozwalającą nieuwierzytelnionemu, zdalnemu atakującemu uzyskać uprawnienia administracyjne...
CVE-2026-41615: Krytyczna podatność w Microsoft Authenticator - natychmiastowa aktualizacja wymagana
Ujawnienie informacji wrażliwych nieuprawnionemu podmiotowi w aplikacji Microsoft Authenticator umożliwia nieuprawnionemu atakującemu pozyskanie informacji przez sieć...
CVE-2026-6510: Krytyczna podatność eskalacji uprawnień w wtyczce WordPress InfusedWoo Pro - natychmiastowa aktualizacja wymagana
Wtyczka InfusedWoo Pro dla WordPress jest podatna na eskalację uprawnień poprzez brak autoryzacji we wszystkich wersjach do 5.1.2 włącznie. Brak weryfikacji nonce i sprawdzania uprawnień w obsłudze AJAX umożliwia nieautoryzowany dostęp...
CVE-2026-8181: Krytyczna podatność obejścia uwierzytelniania w WordPress Burst Statistics (plugin) - natychmiastowa aktualizacja wymagana
Obejście uwierzytelniania we wtyczce WordPress Burst Statistics w wersjach 3.4.0 do 3.4.1.1 poprzez nieprawidłową obsługę wartości zwracanych w funkcji is_mainwp_authenticated(). Nieuwierzytelnieni atakujący znający nazwę administratora mogą podszyć się pod niego...
CVE-2026-8511: Krytyczna podatność use-after-free w Google Chrome - natychmiastowa aktualizacja wymagana
Use-after-free w komponencie UI przeglądarki Google Chrome przed wersją 148.0.7778.168 umożliwiał zdalnemu atakującemu ucieczkę z piaskownicy (sandbox escape) poprzez spreparowaną stronę HTML...
CVE-2026-8580: Krytyczna podatność use-after-free w Google Chrome - natychmiastowa aktualizacja wymagana
Use-after-free w komponencie Mojo przeglądarki Google Chrome przed wersją 148.0.7778.168 umożliwiał zdalnemu atakującemu ucieczkę z piaskownicy (sandbox escape) poprzez spreparowaną stronę HTML...
CVE-2025-11159: Krytyczna podatność RCE przez JDBC w Hitachi Vantara Pentaho - natychmiastowa aktualizacja wymagana
Wszystkie wersje Pentaho Data Integration & Analytics firmy Hitachi Vantara zawierają sterownik JDBC dla baz danych H2, który umożliwia zdalne wykonanie skryptów podczas tworzenia nowego połączenia przez administratora źródła danych...
CVE-2026-41225: Krytyczna podatność wykonania dowolnych poleceń w F5 BIG-IP iControl REST - natychmiastowa aktualizacja wymagana
Podatność w F5 BIG-IP iControl REST pozwala uwierzytelnionemu atakującemu z rolą Manager na tworzenie obiektów konfiguracyjnych umożliwiających uruchamianie dowolnych poleceń systemowych...
CVE-2025-40949: Krytyczna podatność RCE w Siemens RUGGEDCOM ROX - natychmiastowa aktualizacja wymagana
Zidentyfikowano podatność w urządzeniach Siemens RUGGEDCOM ROX (wersje < V2.17.1) umożliwiającą zdalne wykonanie kodu. Dotyczy licznych modeli rodziny RUGGEDCOM ROX...
CVE-2026-22924: Krytyczna podatność DoS wyczerpania zasobów w Siemens SIMATIC CN 4100 - natychmiastowa aktualizacja wymagana
W urządzeniu Siemens SIMATIC CN 4100 (wszystkie wersje < V5.0) zidentyfikowano podatność umożliwiającą wyczerpanie zasobów przez nieuwierzytelnionych atakujących, co może zakłócić normalne działanie systemu...
CVE-2026-25786: Krytyczna podatność XSS przez nazwę PLC w interfejsie webowym Siemens SIMATIC - natychmiastowa aktualizacja wymagana
Urządzenia Siemens SIMATIC nie walidują prawidłowo nazwy PLC/stacji wyświetlanej na stronie parametrów komunikacji interfejsu webowego, co umożliwia uwierzytelnionemu atakującemu wstrzyknięcie złośliwych skryptów...
CVE-2026-25787: Krytyczna podatność XSS przez nazwę Technology Object w Siemens SIMATIC - natychmiastowa aktualizacja wymagana
Urządzenia Siemens SIMATIC nie walidują prawidłowo nazwy Technology Object (TO) na stronie Motion Control Diagnostics w interfejsie webowym, co umożliwia wstrzyknięcie złośliwych skryptów przez uwierzytelnionego atakującego...
CVE-2026-26083: Krytyczna podatność braku autoryzacji w Fortinet FortiSandbox - natychmiastowa aktualizacja wymagana
Podatność braku autoryzacji w Fortinet FortiSandbox 5.0.0–5.0.1, 4.4.0–4.4.8 oraz wersjach Cloud i PaaS może umożliwić zdalnemu, nieuwierzytelnionemu atakującemu ominięcie kontroli dostępu...
CVE-2026-29204: Krytyczna podatność niewystarczającej walidacji własności w cPanel - natychmiastowa aktualizacja wymagana
Niewystarczające sprawdzanie własności w pliku clientarea.php systemu cPanel umożliwia uwierzytelnionemu użytkownikowi przesyłanie żądań z cudzym addonId, co prowadzi do nieautoryzowanego dostępu...
CVE-2026-33117: Krytyczna podatność nieprawidłowego uwierzytelniania w Azure SDK - natychmiastowa aktualizacja wymagana
Nieprawidłowe uwierzytelnianie w Azure SDK umożliwia nieautoryzowanemu atakującemu ominięcie mechanizmu zabezpieczeń przez sieć...
CVE-2026-34260: Krytyczna podatność SQL injection w SAP S/4HANA (SAP Enterprise Search for ABAP) - natychmiastowa aktualizacja wymagana
SAP S/4HANA (SAP Enterprise Search for ABAP) zawiera podatność SQL injection, która pozwala uwierzytelnionemu atakującemu wstrzykiwać złośliwe zapytania SQL i uzyskać nieautoryzowany dostęp do bazy danych...
CVE-2026-34263: Krytyczna podatność wstrzykiwania kodu w SAP Commerce Cloud - natychmiastowa aktualizacja wymagana
Błędna konfiguracja Spring Security w SAP Commerce Cloud umożliwia nieuwierzytelnionemu użytkownikowi przesłanie złośliwej konfiguracji i wstrzyknięcie kodu, prowadząc do wykonania dowolnego kodu po stronie serwera...
CVE-2026-40379: Krytyczna podatność w Azure Entra ID - natychmiastowa aktualizacja wymagana
Ujawnienie poufnych informacji nieupoważnionemu podmiotowi w Azure Entra ID pozwala nieautoryzowanemu atakującemu na przeprowadzenie ataku spoofing przez sieć...
CVE-2026-40402: Krytyczna podatność use-after-free w Microsoft Windows Hyper-V - natychmiastowa aktualizacja wymagana
Błąd use-after-free w Windows Hyper-V pozwala nieautoryzowanemu atakującemu na lokalną eskalację uprawnień...
CVE-2026-41089: Krytyczna podatność przepełnienia bufora w Microsoft Windows Netlogon - natychmiastowa aktualizacja wymagana
Przepełnienie buforu stosu w Windows Netlogon pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu przez sieć, stwarzając krytyczne ryzyko przejęcia systemu...
CVE-2026-41096: Krytyczna podatność przepełnienia bufora w Microsoft Windows DNS - natychmiastowa aktualizacja wymagana
Przepełnienie buforu sterty (heap-based buffer overflow) w Microsoft Windows DNS pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu przez sieć, stwarzając krytyczne ryzyko przejęcia serwera DNS...
CVE-2026-41551: Krytyczna podatność path traversal w Siemens ROS# - natychmiastowa aktualizacja wymagana
Podatność path traversal w Siemens ROS# (wersje poniżej 2.2.2) pozwala zdalnemu atakującemu na dostęp do dowolnych plików urządzenia z powodu niewystarczającej sanityzacji danych wejściowych użytkownika...
CVE-2026-42823: Krytyczna podatność nieprawidłowej kontroli dostępu w Azure Logic Apps - natychmiastowa aktualizacja wymagana
Nieprawidłowa kontrola dostępu w Azure Logic Apps umożliwia uwierzytelnionemu atakującemu eskalację uprawnień przez sieć. CVSS 9.9...
CVE-2026-42833: Krytyczna podatność wykonania kodu z nadmiarowymi uprawnieniami w Microsoft Dynamics 365 - natychmiastowa aktualizacja wymagana
Wykonanie z nadmiarowymi uprawnieniami w Microsoft Dynamics 365 (on-premises) umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu przez sieć. CVSS 9.1...
CVE-2026-42898: Krytyczna podatność wstrzykiwania kodu w Microsoft Dynamics 365 - natychmiastowa aktualizacja wymagana
Nieprawidłowa kontrola generowania kodu (wstrzykiwanie kodu) w Microsoft Dynamics 365 (on-premises) umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu przez sieć. CVSS 9.9...
CVE-2026-44277: Krytyczna podatność nieprawidłowej kontroli dostępu w Fortinet FortiAuthenticator - natychmiastowa aktualizacja wymagana
Podatność nieprawidłowej kontroli dostępu w Fortinet FortiAuthenticator wersjach 8.0.x oraz 6.5-6.6 może umożliwić atakującemu wykonanie nieautoryzowanego kodu lub poleceń przez sieć. CVSS 9.8...
CVE-2026-8043: Krytyczna podatność zewnętrznej kontroli nazwy pliku w Ivanti Xtraction - natychmiastowa aktualizacja wymagana
Zewnętrzna kontrola nazwy pliku w Ivanti Xtraction przed wersją 2026.2 umożliwia zdalnemu uwierzytelnionemu atakującemu odczyt wrażliwych plików i zapis dowolnych plików HTML do katalogu webowego, co prowadzi do ujawnienia informacji...
CVE-2026-40636: Krytyczna podatność zakodowanych poświadczeń w Dell ECS i ObjectScale - natychmiastowa aktualizacja wymagana
Dell ECS w wersjach 3.8.1.0–3.8.1.7 oraz Dell ObjectScale poniżej 4.3.0.0 zawierają podatność zakodowanych na stałe poświadczeń, która pozwala nieuwierzytelnionemu atakującemu z dostępem lokalnym uzyskać dostęp do systemu plików...
CVE-2026-33109: Krytyczna podatność nieprawidłowej kontroli dostępu w Azure Managed Instance for Apache Cassandra - natychmiastowa aktualizacja wymagana
Nieprawidłowa kontrola dostępu w Azure Managed Instance for Apache Cassandra umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu przez sieć...
CVE-2026-33823: Krytyczna podatność w Microsoft Teams - natychmiastowa aktualizacja wymagana
Nieprawidłowa autoryzacja w Microsoft Teams umożliwia uwierzytelnionemu atakującemu ujawnienie informacji przez sieć...
CVE-2026-33844: Krytyczna podatność nieprawidłowej walidacji danych w Azure Managed Instance for Apache Cassandra - natychmiastowa aktualizacja wymagana
Nieprawidłowa walidacja danych wejściowych w Azure Managed Instance for Apache Cassandra pozwala uwierzytelnionemu atakującemu na zdalne wykonanie kodu w sieci...
CVE-2026-35428: Krytyczna podatność wstrzykiwania poleceń w Azure Cloud Shell - natychmiastowa aktualizacja wymagana
Nieprawidłowa neutralizacja znaków specjalnych w Azure Cloud Shell umożliwia nieautoryzowanemu atakującemu przeprowadzenie ataku spoofing przez sieć...
CVE-2026-42208: Nieznana podatność w LiteLLM (BerriAI)
BerriAI LiteLLM zawiera podatność typu SQL injection, umożliwiającą atakującemu odczyt i potencjalną modyfikację danych w bazie danych proxy oraz nieautoryzowany dostęp do zarządzanych poświadczeń...
CVE-2026-42826: Krytyczna podatność ujawnienia informacji w Azure DevOps - natychmiastowa aktualizacja wymagana
Ujawnienie informacji wrażliwych nieuprawnionym podmiotom w Azure DevOps umożliwia nieuprawnionemu atakującemu ujawnienie danych przez sieć. CVSS 10.0...
CVE-2026-40982: Krytyczna podatność directory traversal w VMware Spring Cloud Config - natychmiastowa aktualizacja wymagana
Podatność directory traversal w VMware Spring Cloud Config (wersje 3.1.0–3.1.13 oraz 4.1.0–4.1.9) umożliwia atakującemu wysłanie spreparowanego żądania URL prowadzącego do nieuprawnionego dostępu do plików...
CVE-2026-6973: Wysoka podatność w Endpoint Manager Mobile (EPMM) (Ivanti)
Ivanti Endpoint Manager Mobile (EPMM) zawiera podatność typu nieprawidłowa walidacja danych wejściowych, umożliwiającą zdalnie uwierzytelnionemu użytkownikowi z dostępem administracyjnym wykonanie RCE...
CVE-2026-0300: Nieznana podatność w PAN-OS (Palo Alto Networks)
PAN-OS firmy Palo Alto Networks zawiera podatność typu zapis poza zakresem (out-of-bounds write) w usłudze User-ID Authentication Portal (tzw. Captive Portal), umożliwiającą nieuwierzytelnione RCE...
CVE-2026-28780: Krytyczna podatność przepełnienia bufora sterty w Apache HTTP Server - natychmiastowa aktualizacja wymagana
Podatność przepełnienia bufora sterty w module mod_proxy_ajp Apache HTTP Server umożliwia zdalnemu atakującemu zapis 4 kontrolowanych bajtów poza koniec bufora sterty poprzez złośliwy serwer AJP...
CVE-2026-25293: Buffer overflow w firmware PLC Qualcomm
Przepełnienie bufora wynikające z błędnej autoryzacji w firmware PLC firmy Qualcomm pozwala atakującemu w sąsiedniej sieci na wpływ na poufność, integralność i dostępność urządzenia...
CVE-2026-42376: Hardcoded telnet backdoor w D-Link DIR-456U
Router D-Link DIR-456U Hardware Revision A1 (status End-of-Life) zawiera wbudowany backdoor telnet ze statycznym hasłem. Nieuwierzytelniony atakujący w sieci lokalnej może uzyskać uprawnienia root...
CVE-2026-42796: Nieuwierzytelnione RCE w Arelle (/rest/configure)
Arelle przed wersją 2.39.10 zawiera nieuwierzytelnioną podatność RCE w endpoincie /rest/configure - parametr plugins jest przekazywany do plugin managera bez autoryzacji, co umożliwia zdalne wykonanie kodu...
CVE-2026-42809: Eskalacja uprawnień w Apache Polaris przez vended storage credentials
Apache Polaris wystawia szerokie tymczasowe poświadczenia dostępu do storage ("vended credentials") podczas tworzenia staged table, zanim docelowa lokalizacja zostanie zwalidowana, co pozwala atakującemu skierować zakres uprawnień na wybrany przez siebie cel...
CVE-2026-42812: Bypass walidacji metadanych w Apache Polaris (Iceberg)
W Apache Iceberg pliki metadanych tabeli są plikami kontrolnymi - decydują o tym, jakie pliki danych należą do tabeli i którą wersję czytać. Zmiana write.metadata.path przez ALTER TABLE omija walidację po stronie Polaris...
CVE-2026-7482: Heap out-of-bounds read w Ollama (GGUF loader)
Ollama przed wersją 0.17.1 zawiera podatność heap out-of-bounds read w loaderze modeli GGUF. Spreparowany plik GGUF na endpoincie /api/create może wycieknąć dane z pamięci serwera, w tym klucze API i prompty systemowe...
CVE-2026-4882: Arbitrary file upload w User Registration Advanced Fields (WordPress)
Plugin User Registration Advanced Fields dla WordPressa (do wersji 1.6.20 włącznie) pozwala nieuwierzytelnionym atakującym na upload dowolnych plików, co umożliwia zdalne wykonanie kodu na serwerze...
CVE-2026-7458: Ominięcie uwierzytelniania w User Verification by PickPlugins (WordPress)
Plugin User Verification by PickPlugins dla WordPressa (do wersji 2.0.46 włącznie) pozwala nieuwierzytelnionym atakującym zalogować się jako dowolny użytkownik z zweryfikowanym e-mailem - wystarczy przesłać wartość OTP równą "true"...
CVE-2026-31431: Wysoka podatność w Kernel (Linux)
Linux Kernel zawiera podatność polegającą na nieprawidłowym przekazywaniu zasobów pomiędzy sferami uprawnień, która umożliwia eskalację uprawnień...
CVE-2026-42483: Heap buffer overflow w parserze hash Kerberos w hashcat
Heap-based buffer overflow w parserze hash Kerberos w hashcat v7.1.2 pozwala atakującemu wywołać DoS lub potencjalnie wykonać dowolny kod za pośrednictwem spreparowanego pliku z hashem Kerberos...
CVE-2026-42778: Niekompletna poprawka deserializacji w Apache MINA (gałęzie 2.1.X/2.2.X)
Poprawka dla CVE-2026-41409 nie została zastosowana do gałęzi 2.1.X i 2.2.X Apache MINA. Klasy allowlist w AbstractIoBuffer.getObject() były aplikowane zbyt późno - statyczny inicjalizator klasy mógł zostać już wykonany...
CVE-2026-42779: Bypass allowlisty deserializacji w Apache MINA (2.1.X/2.2.X)
Poprawka dla CVE-2026-41635 nie została zastosowana do gałęzi 2.1.X i 2.2.X. AbstractIoBuffer.resolveClass() w Apache MINA zawiera dwie gałęzie - jedna z nich (klasy statyczne i typy prymitywne) nie sprawdza klasy w ogóle...
CVE-2026-7567: Ominięcie uwierzytelniania w Temporary Login plugin (WordPress)
Plugin Temporary Login do WordPressa (do wersji 1.0.0 włącznie) zawiera podatność authentication bypass w funkcji maybe_login_temporary_user(). Przekazanie tablicy zamiast stringa w parametrze GET pozwala atakującemu zalogować się jako dowolny użytkownik...
CVE-2026-41940: Bypass uwierzytelniania w cPanel & WHM
Wersje cPanel oraz WHM starsze niż wskazane w opisie zawierają podatność bypass uwierzytelniania w przepływie logowania, pozwalającą zdalnym, nieuwierzytelnionym atakującym uzyskać dostęp do panelu sterowania...
CVE-2026-42523: Stored XSS w Jenkins GitHub Plugin
Plugin Jenkins GitHub w wersji 1.46.0 i wcześniejszych nieprawidłowo przetwarza URL bieżącego zadania w JavaScript walidującym funkcję 'GitHub hook trigger for GITScm polling', co skutkuje stored XSS...
CVE-2024-1708: Podatność z 2024 roku ponownie aktywnie eksploatowana (ConnectWise)
ConnectWise ScreenConnect zawiera podatność path traversal pozwalającą atakującemu wykonać kod zdalnie lub uzyskać bezpośredni dostęp do poufnych danych i systemów krytycznych...
CVE-2026-40976: Domyślny web security w Spring Boot pozwala na nieautoryzowany dostęp
W określonych warunkach domyślny mechanizm web security w Spring Boot 4.0.0-4.0.5 jest nieskuteczny, umożliwiając nieautoryzowany dostęp do wszystkich endpointów aplikacji bez własnej konfiguracji Spring Security...
CVE-2026-33453: Wstrzyknięcie nagłówków w Apache Camel camel-coap prowadzi do RCE
Komponent camel-coap Apache Camel jest podatny na wstrzyknięcie nagłówków wiadomości Camel, co prowadzi do zdalnego wykonania kodu w trasach przekazujących żądania CoAP do producentów wrażliwych na nagłówki...
CVE-2026-33454: Wstrzyknięcie nagłówków w Apache Camel camel-mail
Komponent camel-mail Apache Camel filtruje nagłówki tylko w kierunku 'out', pomijając kierunek 'in' - pozwala to na wstrzyknięcie sterujących nagłówków Camel z poczty przychodzącej...
CVE-2026-40453: Niekompletna poprawka filtrowania nagłówków w Apache Camel
Poprawka dla CVE-2025-27636 nie objęła pięciu implementacji HeaderFilterStrategy w komponentach camel-jms, camel-sjms, camel-coap i camel-google-pubsub, co umożliwia przekazywanie wariantów wielkości liter w nagłówkach...
CVE-2026-40860: Niezabezpieczona deserializacja JMS ObjectMessage w Apache Camel
Klasy JmsBinding w camel-jms i camel-sjms deserializują JMS ObjectMessage bez ObjectInputFilter ani allowlist klas, co umożliwia atakującemu wykonanie zdalnego kodu poprzez spreparowaną wiadomość JMS...
CVE-2024-57726: Podatność z 2024 roku ponownie aktywnie eksploatowana (SimpleHelp )
SimpleHelp zawiera podatność brakującej autoryzacji, która pozwala technikom z niskimi uprawnieniami tworzyć klucze API z nadmiernymi uprawnieniami i eskalować uprawnienia do roli server admin...
CVE-2024-57728: Podatność z 2024 roku ponownie aktywnie eksploatowana (SimpleHelp )
SimpleHelp zawiera podatność path traversal pozwalającą administratorom przesyłać dowolne pliki w dowolne miejsce systemu plików przez spreparowany plik zip (zip slip), co umożliwia wykonanie kodu...
CVE-2024-7399: Podatność z 2024 roku ponownie aktywnie eksploatowana (Samsung)
Samsung MagicINFO 9 Server zawiera podatność path traversal pozwalającą atakującemu zapisać dowolne pliki z uprawnieniami system authority...
CVE-2025-29635: Wysoka podatność w DIR-823X (D-Link)
D-Link DIR-823X zawiera podatność command injection pozwalającą uwierzytelnionemu atakującemu zdalnie wykonywać dowolne polecenia przez żądanie POST do /goform/set_prohibiting. Urządzenie ma status EOL/EOS...
CVE-2026-1952: Odmowa usługi (DoS) w Delta Electronics AS320T
Sterownik Delta Electronics AS320T jest podatny na odmowę usługi (DoS) wywoływaną przez nieudokumentowaną subfunkcję protokołu komunikacyjnego...
CVE-2026-21515: Eskalacja uprawnień w Microsoft Azure IoT Central
Azure IoT Central ujawnia poufne informacje nieuprawnionemu odbiorcy, co pozwala uwierzytelnionemu atakującemu eskalować uprawnienia w sieci...
CVE-2026-24303: Eskalacja uprawnień w Microsoft Partner Center przez błąd kontroli dostępu
Nieprawidłowa kontrola dostępu w Microsoft Partner Center pozwala uwierzytelnionemu atakującemu eskalować uprawnienia w sieci...
CVE-2026-32210: SSRF w Microsoft Dynamics 365 (Online)
Server-Side Request Forgery (SSRF) w Microsoft Dynamics 365 (Online) pozwala nieuwierzytelnionemu atakującemu na przeprowadzenie spoofingu w sieci...
CVE-2026-33102: Open redirect w Microsoft M365 Copilot
Przekierowanie URL do niezaufanego serwisu (open redirect) w M365 Copilot pozwala nieuwierzytelnionemu atakującemu eskalować uprawnienia w sieci...
CVE-2026-33819: Deserializacja niezaufanych danych w Microsoft Bing - RCE
Deserializacja niezaufanych danych w Microsoft Bing pozwala nieuwierzytelnionemu atakującemu wykonać kod w sieci...
CVE-2026-35431: SSRF w Microsoft Entra ID Entitlement Management
Server-Side Request Forgery (SSRF) w Microsoft Entra ID Entitlement Management pozwala nieuwierzytelnionemu atakującemu na przeprowadzenie spoofingu w sieci...
CVE-2026-29198: NoSQL injection i przejęcie konta w Rocket.Chat
Podatność NoSQL injection w Rocket.Chat (<8.3.0, <8.2.1, <8.1.2, <8.0.3, <7.13.5, <7.12.6, <7.11.6, <7.10.9) umożliwia przejęcie konta pierwszego użytkownika z wygenerowanym tokenem, gdy skonfigurowana jest aplikacja OAuth...
CVE-2026-39987: Nieznana podatność w Marimo (Marimo)
Marimo zawiera podatność pre-authorization RCE pozwalającą nieuwierzytelnionemu atakującemu uzyskać dostęp do shella i wykonać dowolne polecenia systemowe...
CVE-2026-1555: Arbitrary file upload w motywie WebStack dla WordPress
Motyw WebStack dla WordPress jest podatny na nieautoryzowane wgrywanie plików z powodu braku walidacji typu pliku w funkcji io_img_upload(), co umożliwia zdalne wykonanie kodu...
CVE-2026-33825: Wysoka podatność w Defender (Microsoft)
Microsoft Defender zawiera podatność polegającą na niewystarczającej granularności kontroli dostępu, która umożliwia uwierzytelnionemu atakującemu lokalną eskalację uprawnień...
CVE-2026-34279: Kompromitacja ze zmianą zakresu w Oracle Enterprise Manager (Event Management) — natychmiastowa aktualizacja wymagana
Podatność w Oracle Enterprise Manager Base Platform (wersje 13.5 i 24.1) w komponencie Event Management pozwala atakującemu z wysokimi uprawnieniami, z dostępem sieciowym przez HTTP, na kompromitację wykraczającą poza produkt...
CVE-2026-34286: Nieuwierzytelnione naruszenie danych w Oracle Identity Manager Connector (Fusion Middleware) — natychmiastowa aktualizacja wymagana
Łatwa do wykorzystania podatność w Oracle Identity Manager Connector (Fusion Middleware 12.2.1.4.0) pozwala nieuwierzytelnionemu atakującemu przez HTTPS na modyfikację, usuwanie i odczyt wszystkich danych...
CVE-2026-40050: Krytyczna podatność path traversal w CrowdStrike LogScale - natychmiastowa aktualizacja wymagana
CrowdStrike udostępnił aktualizacje bezpieczeństwa usuwające krytyczną podatność typu path traversal bez uwierzytelnienia (CVE-2026-40050) w LogScale. Podatność wymaga mitygacji wyłącznie u klientów...
CVE-2026-6768: Krytyczna podatność w Mozilla Firefox - natychmiastowa aktualizacja wymagana
Obejście mitygacji w komponencie Networking: Cookies. Podatność naprawiono w Firefox 150....
CVE-2023-27351: Podatność z 2023 roku ponownie aktywnie eksploatowana (PaperCut)
PaperCut NG/MF contains an improper authentication vulnerability that could allow remote attackers to bypass authentication on affected installations via the SecurityRequestFilter class....
CVE-2024-27199: Podatność z 2024 roku ponownie aktywnie eksploatowana (JetBrains)
JetBrains TeamCity contains a relative path traversal vulnerability that could allow limited admin actions to be performed....
CVE-2025-2749: Wysoka podatność w Kentico Xperience (Kentico)
Kentico Xperience contains a path traversal vulnerability that could allow an authenticated user's Staging Sync Server to upload arbitrary data to path relative locations....
CVE-2025-32975: Krytyczna podatność nieprawidłowego uwierzytelniania w Quest KACE Systems Management Appliance (SMA) - natychmiastowa aktualizacja wymagana
Quest KACE Systems Management Appliance (SMA) contains an improper authentication vulnerability that could allow attackers to impersonate legitimate users without valid credentials....
CVE-2026-20128: Wysoka podatność w Catalyst SD-WAN Manager (Cisco)
Cisco Catalyst SD-WAN Manager contains a storing passwords in a recoverable format vulnerability that allows an authenticated, local attacker to gain DCA user privileges by accessing a credential file...
CVE-2026-33557: Podatność w Apache Kafka — natychmiastowa aktualizacja wymagana
A possible security vulnerability has been identified in Apache Kafka. By default, the broker property `sasl.oauthbearer.jwt.validator.class` is set to `org.apache.kafka.common.security.oauthbearer.D...
CVE-2026-25917: Krytyczna podatność w Apache Airflow - natychmiastowa aktualizacja wymagana
Autorzy DAG-ów, którzy normalnie nie powinni mieć możliwości wykonywania kodu w kontekście serwera webowego, mogą skonstruować payload XCom powodujący, że serwer webowy wykonuje arbitralny kod. Poniew...
CVE-2026-34197: Wysoka podatność w ActiveMQ (Apache)
Apache ActiveMQ contains an improper input validation vulnerability that allows for code injection....
CVE-2025-41118: Podatność w Grafana Pyroscope — natychmiastowa aktualizacja wymagana
Pyroscope is an open-source continuous profiling database. The database supports various storage backends, including Tencent Cloud Object Storage (COS). If the database is configured to use Tencent C...
CVE-2026-20147: Podatność w Cisco ISE — natychmiastowa aktualizacja wymagana
A vulnerability in Cisco ISE and Cisco ISE-PIC could allow an authenticated, remote attacker to execute arbitrary commands on the underlying operating system of an affected device. To exploit this vul...
CVE-2026-20180: Podatność w Cisco Identity Services Engine — natychmiastowa aktualizacja wymagana
A vulnerability in Cisco Identity Services Engine (ISE) could allow an authenticated, remote attacker to execute arbitrary commands on the underlying operating system of an affected device. To exploit...
CVE-2026-20184: Podatność w Cisco Webex Services — natychmiastowa aktualizacja wymagana
A vulnerability in the integration of single sign-on (SSO) with Control Hub in Cisco Webex Services could have allowed an unauthenticated, remote attacker to impersonate any user within the service. ...
CVE-2026-20186: Podatność w Cisco Identity Services Engine — natychmiastowa aktualizacja wymagana
A vulnerability in Cisco Identity Services Engine (ISE) could allow an authenticated, remote attacker to execute arbitrary commands on the underlying operating system of an affected device. To exploit...
CVE-2026-27304: Podatność w Adobe Coldfusion — natychmiastowa aktualizacja wymagana
ColdFusion versions 2023.18, 2025.6 and earlier are affected by an Improper Input Validation vulnerability that could result in arbitrary code execution in the context of the current user. Exploitatio...
CVE-2026-6296: Podatność w Google Chrome — natychmiastowa aktualizacja wymagana
Heap buffer overflow in ANGLE in Google Chrome prior to 147.0.7727.101 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical)...
Krytyczne podatności w produktach Fortinet – FortiSandbox, FortiDDoS-F i FortiAnalyzer Cloud (kwiecień 2026)
Fortinet opublikował alerty PSIRT dotyczące czterech podatności w swoich produktach. Dwie krytyczne luki w FortiSandbox umożliwiają nieuwierzytelnionym atakującym zdalne wykonanie kodu oraz obejście uwierzytelniania z eskalacją uprawnień...
CVE-2009-0238: Podatność z 2009 roku ponownie aktywnie eksploatowana (Microsoft)
Microsoft Office Excel contains a remote code execution vulnerability that could allow an attacker to take complete control of an affected system if a user opens a specially crafted Excel file that in...
CVE-2026-26149: Krytyczna podatność w Microsoft Power Apps - natychmiastowa aktualizacja wymagana
Improper neutralization of escape, meta, or control sequences in Microsoft Power Apps allows an authorized attacker to bypass a security feature over a network....
CVE-2026-27681: Krytyczna podatność SQL Injection w SAP Business Planning and Consolidation oraz SAP Business Warehouse
Krytyczna podatność SQL Injection w SAP Business Planning and Consolidation oraz SAP Business Warehouse pozwala na manipulację danymi, zakłócenie usług i potencjalne przejęcie systemu. Dotyczy wersji HANABPC 810, BPC4HANA 300, SAP_BW 750-758, 816.
CVE-2026-32201: Nieznana podatność w SharePoint Server (Microsoft)
Microsoft SharePoint Server contains an improper input validation vulnerability that allows an unauthorized attacker to perform spoofing over a network....
CVE-2026-33824: Krytyczna podatność w Windows IKE Extension - natychmiastowa aktualizacja wymagana
Double free in Windows IKE Extension allows an unauthorized attacker to execute code over a network....
CVE-2026-34256: Brak kontroli autoryzacji w SAP ERP i SAP S/4HANA
Podatność typu Missing Authorization Check w SAP ERP oraz SAP S/4HANA (Private Cloud i On-Premise) pozwala na manipulację danymi i zakłócenie działania usług. Dotyczy wersji SAP_FIN 618-730, EA-FIN 617-700, S4CORE 102-109.
CVE-2026-38526: Podatność w Krayin Krayin CRM — natychmiastowa aktualizacja wymagana
An authenticated arbitrary file upload vulnerability in the /admin/tinymce/upload endpoint of Webkul Krayin CRM v2.2.x allows attackers to execute arbitrary code via uploading a crafted PHP file....
CVE-2026-39808: Podatność w Fortinet Fortisandbox — natychmiastowa aktualizacja wymagana
A improper neutralization of special elements used in an os command ('os command injection') vulnerability in Fortinet FortiSandbox 4.4.0 through 4.4.8 may allow attacker to execute unauthorized code ...
CVE-2026-39813: Podatność w Fortinet Fortisandbox — natychmiastowa aktualizacja wymagana
A path traversal: '../filedir' vulnerability in Fortinet FortiSandbox 5.0.0 through 5.0.5, FortiSandbox 4.4.0 through 4.4.8 may allow attacker to escalation of privilege via <insert attack vector here...
CVE-2026-5752: Krytyczna podatność w Terrarium - natychmiastowa aktualizacja wymagana
Podatliwość Sandbox Escape w Terrarium umożliwia wykonanie dowolnego kodu z uprawnieniami root w procesie hosta poprzez traversowanie łańcucha prototypów JavaScript....
CVE-2012-1854: Podatność z 2012 roku ponownie aktywnie eksploatowana (Microsoft)
Microsoft Visual Basic for Applications (VBA) contains an insecure library loading vulnerability that could allow for remote code execution....
CVE-2020-9715: Podatność z 2020 roku ponownie aktywnie eksploatowana (Adobe)
Adobe Acrobat contains a use-after-free vulnerability that allows for code execution...
CVE-2023-21529: Podatność z 2023 roku ponownie aktywnie eksploatowana (Microsoft)
Microsoft Exchange Server contains a deserialization of untrusted data that allows an authenticated attacker to achieve remote code execution....
CVE-2023-36424: Podatność z 2023 roku ponownie aktywnie eksploatowana (Microsoft)
Microsoft Windows Common Log File System Driver contains an out-of-bounds read vulnerability that could allow a threat actor for privileges escalation...
CVE-2025-60710: Wysoka podatność w Windows (Microsoft)
Microsoft Windows contains a link following vulnerability that allows for privilege escalation...
CVE-2026-21643: Krytyczna podatność SQL injection w Fortinet FortiClient EMS - natychmiastowa aktualizacja wymagana
Fortinet FortiClient EMS contains a SQL injection vulnerability that may allow an unauthenticated attacker to execute unauthorized code or commands via specifically crafted HTTP requests....
CVE-2026-34621: Podatność w Adobe Acrobat Dc — natychmiastowa aktualizacja wymagana
Acrobat Reader versions 24.001.30356, 26.001.21367 and earlier are affected by an Improperly Controlled Modification of Object Prototype Attributes ('Prototype Pollution') vulnerability that could res...
CVE-2026-33784: Krytyczna podatność w Juniper Networks Support Insights — natychmiastowa aktualizacja wymagana
Podatność Use of Default Password w Juniper Networks Support Insights (JSI) Virtual Lightweight Collector (vLWC) pozwala nieuwierzytelnionemu atakującemu z sieci przejąć pełną kontrolę nad urządzeniem...
CVE-2026-34424: Podatność w WordPress WordPress — natychmiastowa aktualizacja wymagana
Smart Slider 3 Pro version 3.5.1.35 for WordPress and Joomla contains a multi-stage remote access toolkit injected through a compromised update system that allows unauthenticated attackers to execute ...
CVE-2026-6057: Podatność w FalkorDB Browser — natychmiastowa aktualizacja wymagana
FalkorDB Browser 1.9.3 contains an unauthenticated path traversal vulnerability in the file upload API that allows remote attackers to write arbitrary files and achieve remote code execution....
CVE-2025-57735: Podatność w Apache Airflow — natychmiastowa aktualizacja wymagana
When user logged out, the JWT token the user had authtenticated with was not invalidated, which could lead to reuse of that token in case it was intercepted. In Airflow 3.2 we implemented the mechanis...
CVE-2026-0233 i CVE-2026-0234: Krytyczne podatności w Palo Alto Networks Cortex XSOAR, XSIAM i ADEM - natychmiastowa aktualizacja wymagana
Zidentyfikowano dwie podatności wysokiej ważności w Palo Alto Networks Cortex XSOAR, Cortex XSIAM oraz ADEM. CVE-2026-0233 i CVE-2026-0234 umożliwiają nieuwierzytelnionemu atakującemu obejście mechanizmów bezpieczeństwa i zdalne wykonanie dowolnego kodu.
CVE-2026-4112: Krytyczna podatność eskalacji uprawnień w SonicWall SMA 1000 - natychmiastowa aktualizacja wymagana
Zidentyfikowano podatność eskalacji uprawnień w urządzeniach SonicWall Secure Mobile Access (SMA) 1000. CVE-2026-4112 umożliwia zdalnemu atakującemu uzyskanie podwyższonych uprawnień, co może prowadzić do kompromitacji systemu i nieautoryzowanego dostępu do zasobów sieciowych.
CVE-2026-1340: Krytyczna podatność wstrzykiwania kodu w Ivanti Endpoint Manager Mobile (EPMM) - natychmiastowa aktualizacja wymagana
Ivanti Endpoint Manager Mobile (EPMM) contains a code injection vulnerability that could allow attackers to achieve unauthenticated remote code execution....
CVE-2026-1346: Podatność w IBM Security Verify Access — natychmiastowa aktualizacja wymagana
IBM Verify Identity Access Container 11.0 through 11.0.2 and IBM Security Verify Access Container 10.0 through 10.0.9.1 and IBM Verify Identity Access 11.0 through 11.0.2 and IBM Security Verify Acces...
CVE-2026-25776: Podatność w Six Apart Movable Type — natychmiastowa aktualizacja wymagana
Movable Type provided by Six Apart Ltd. contains a code injection vulnerability which may allow an attacker to execute arbitrary Perl script....
CVE-2026-3535: Podatność w WordPress WordPress — natychmiastowa aktualizacja wymagana
The DSGVO Google Web Fonts GDPR plugin for WordPress is vulnerable to arbitrary file upload due to missing file type validation in the `DSGVOGWPdownloadGoogleFonts()` function in all versions up to, a...
CVE-2021-4473: Podatność w Internet Behavior — natychmiastowa aktualizacja wymagana
Tianxin Internet Behavior Management System contains a command injection vulnerability in the Reporter component endpoint that allows unauthenticated attackers to execute arbitrary commands by supplyi...
CVE-2026-0740: Podatność w WordPress WordPress — natychmiastowa aktualizacja wymagana
The Ninja Forms - File Uploads plugin for WordPress is vulnerable to arbitrary file uploads due to missing file type validation in the 'NF_FU_AJAX_Controllers_Uploads::handle_upload' function in all v...
CVE-2026-22679: Podatność w Weaver E-cology — natychmiastowa aktualizacja wymagana
Weaver (Fanwei) E-cology 10.0 versions prior to 20260312 contain an unauthenticated remote code execution vulnerability in the /papi/esearch/data/devops/dubboApi/debug/method endpoint that allows atta...
CVE-2026-23696: Podatność w Windmill Windmill — natychmiastowa aktualizacja wymagana
Windmill CE and EE versions 1.276.0 through 1.603.2 contain an SQL injection vulnerability in the folder ownership management functionality that allows authenticated attackers to inject SQL through th...
CVE-2026-4631: Podatność w Cockpit Project Cockpit — natychmiastowa aktualizacja wymagana
Cockpit's remote login feature passes user-supplied hostnames and usernames from the web interface to the SSH client without validation or sanitization. An attacker with network access to the Cockpit ...
CVE-2018-25236: Podatność w Hirschmann HiOS — natychmiastowa aktualizacja wymagana
Hirschmann HiOS and HiSecOS products RSP, RSPE, RSPS, RSPL, MSP, EES, EESX, GRS, OS, RED, EAGLE contain an authentication bypass vulnerability in the HTTP(S) management module that allows unauthentica...
CVE-2018-25237: Podatność w Hirschmann HiSecOS — natychmiastowa aktualizacja wymagana
Hirschmann HiSecOS devices versions prior to 05.3.03 contain a buffer overflow vulnerability in the HTTPS login interface when RADIUS authentication is enabled that allows remote attackers to crash th...
CVE-2021-4477: Podatność w IPv6 IPsec — natychmiastowa aktualizacja wymagana
Hirschmann HiLCOS OpenBAT and BAT450 products contain a firewall bypass vulnerability in IPv6 IPsec deployments that allows traffic from VPN connections to bypass configured firewall rules. Attackers ...
CVE-2026-35616: Podatność w Fortinet Forticlientems — natychmiastowa aktualizacja wymagana
A improper access control vulnerability in Fortinet FortiClientEMS 7.4.5 through 7.4.6 may allow an unauthenticated attacker to execute unauthorized code or commands via crafted requests....
CVE-2017-20237: Podatność w Hirschmann Industrial HiVision — natychmiastowa aktualizacja wymagana
Hirschmann Industrial HiVision versions prior to 06.0.07 and 07.0.03 contains an authentication bypass vulnerability in the master service that allows unauthenticated remote attackers to execute arbit...
CVE-2026-0545: Podatność w MLflow MLflow — natychmiastowa aktualizacja wymagana
In mlflow/mlflow, the FastAPI job endpoints under `/ajax-api/3.0/jobs/*` are not protected by authentication or authorization when the `basic-auth` app is enabled. This vulnerability affects the lates...
CVE-2026-26135: Podatność w Microsoft Azure Custom Locations Resource Provider — natychmiastowa aktualizacja wymagana
Server-side request forgery (ssrf) in Azure Custom Locations Resource Provider (RP) allows an authorized attacker to elevate privileges over a network....
CVE-2026-32211: Krytyczna podatność w Azure MCP Server - natychmiastowa aktualizacja wymagana
Missing authentication for critical function in Azure MCP Server allows an unauthorized attacker to disclose information over a network....
CVE-2026-32213: Krytyczna podatność w Azure AI Foundry - natychmiastowa aktualizacja wymagana
Improper authorization in Azure AI Foundry allows an unauthorized attacker to elevate privileges over a network....
CVE-2026-33105: Krytyczna podatność w Microsoft Azure Kubernetes Service - natychmiastowa aktualizacja wymagana
Improper authorization in Microsoft Azure Kubernetes Service allows an unauthorized attacker to elevate privileges over a network....
CVE-2026-33107: Krytyczna podatność SSRF w Azure Databricks - natychmiastowa aktualizacja wymagana
Server-side request forgery (ssrf) in Azure Databricks allows an unauthorized attacker to elevate privileges over a network....
CVE-2026-2699: Podatność w Citrix ShareFile Storage Zones Controller — natychmiastowa aktualizacja wymagana
Customer Managed ShareFile Storage Zones Controller (SZC) allows an unauthenticated attacker to access restricted configuration pages. This leads to changing system configuration and potential remote ...
CVE-2026-2701: Podatność w Citrix ShareFile Storage Zones Controller — natychmiastowa aktualizacja wymagana
Authenticated user can upload a malicious file to the server and execute it, which leads to remote code execution....
CVE-2026-3502: Wysoka podatność w Client (TrueConf)
TrueConf Client contains a download of code without integrity check vulnerability. An attacker who is able to influence the update delivery path can substitute a tampered update payload. If the payloa...
CVE-2026-20093: Podatność w Cisco Integrated Management Controller — natychmiastowa aktualizacja wymagana
A vulnerability in the change password functionality of Cisco Integrated Management Controller (IMC) could allow an unauthenticated, remote attacker to bypass authentication and gain access to the sys...
CVE-2026-20160: Podatność w Cisco Smart Software Manager On-Prem — natychmiastowa aktualizacja wymagana
A vulnerability in Cisco Smart Software Manager On-Prem (SSM On-Prem) could allow an unauthenticated, remote attacker to execute arbitrary commands on the underlying operating system of an affected SS...
CVE-2026-29014: Podatność w Metinfo Metinfo — natychmiastowa aktualizacja wymagana
MetInfo CMS versions 7.9, 8.0, and 8.1 contain an unauthenticated PHP code injection vulnerability that allows remote attackers to execute arbitrary code by sending crafted requests with malicious PHP...
CVE-2026-5281: Wysoka podatność w Dawn (Google)
Google Dawn contains an use-after-free vulnerability that could allow a remote attacker who had compromised the renderer process to execute arbitrary code via a crafted HTML page. This vulnerability c...
CVE-2026-5290: Podatność w Google Chrome — natychmiastowa aktualizacja wymagana
Use after free in Compositing in Google Chrome prior to 146.0.7680.178 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML pag...
CVE-2026-1579: Podatność w Px4 Autopilot — natychmiastowa aktualizacja wymagana
The MAVLink communication protocol does not require cryptographic authentication by default. When MAVLink 2.0 message signing is not enabled, any message -- including SERIAL_CONTROL, which provides ...
CVE-2026-33579: Podatność w Openclaw Openclaw — natychmiastowa aktualizacja wymagana
OpenClaw before 2026.3.28 contains a privilege escalation vulnerability in the /pair approve command path that fails to forward caller scopes into the core approval check. A caller with pairing privil...
CVE-2026-3300: Krytyczna podatność RCE przez PHP code injection w Everest Forms Pro (wtyczka WordPress) — natychmiastowa aktualizacja wymagana
The Everest Forms Pro plugin for WordPress is vulnerable to Remote Code Execution via PHP Code Injection in all versions up to, and including, 1.9.12. This is due to the Calculation Addon's process_fi...
CVE-2026-4257: Podatność w WordPress WordPress — natychmiastowa aktualizacja wymagana
The Contact Form by Supsystic plugin for WordPress is vulnerable to Server-Side Template Injection (SSTI) leading to Remote Code Execution (RCE) in all versions up to, and including, 1.7.36. This is d...
CVE-2026-3055: Nieznana podatność w NetScaler (Citrix)
Citrix NetScaler ADC (formerly Citrix ADC), NetScaler Gateway (formerly Citrix Gateway) and NetScaler ADC FIPS and NDcPP contain an out-of-bounds reads vulnerability when configured as a SAML IDP lead...
CVE-2026-34714: Podatność w Vim Vim — natychmiastowa aktualizacja wymagana
Vim before 9.2.0272 allows code execution that happens immediately upon opening a crafted file in the default configuration, because %{expr} injection occurs with tabpanel lacking P_MLE....
CVE-2026-22738: Podatność w VMware Spring AI — natychmiastowa aktualizacja wymagana
In Spring AI, a SpEL injection vulnerability exists in SimpleVectorStore when a user-supplied value is used as a filter expression key. A malicious actor could exploit this to execute arbitrary code. ...
CVE-2026-27876: Podatność w Grafana Grafana — natychmiastowa aktualizacja wymagana
A chained attack via SQL Expressions and a Grafana Enterprise plugin can lead to a remote arbitrary code execution impact (RCE). This is enabled by a feature in Grafana (OSS), so all users are always ...
CVE-2026-33634: Nieznana podatność w Trivy (Aquasecurity)
Aquasecurity Trivy contains an embedded malicious code vulnerability that could allow an attacker to gain access to everything in the CI/CD environment, including all tokens, SSH keys, cloud credentia...
CVE-2026-4809: Podatność w Laravel Laravel — natychmiastowa aktualizacja wymagana
plank/laravel-mediable through version 6.4.0 can allow upload of a dangerous file type when an application using the package accepts or prefers a client-supplied MIME type during file upload handling....
CVE-2026-20688: Podatność w Apple Ipados — natychmiastowa aktualizacja wymagana
Problem z obsługą ścieżki został rozwiązany dzięki ulepszeniu walidacji. Błąd naprawiono w iOS 26.4 i iPadOS 26.4, macOS Sequoia 15.7.5, macOS Sonoma 14.8.5, macOS Tahoe 26.4, visionOS 26.4. Aplikacja...
CVE-2026-28827: Podatność w Apple Macos — natychmiastowa aktualizacja wymagana
Problem podczas parsowania ścieżek katalogów został rozwiązany dzięki ulepszonej walidacji ścieżek. Problem został naprawiony w macOS Sequoia 15.7.5, macOS Sonoma 14.8.5, macOS Tahoe 26.4. Aplikacja m...
CVE-2026-28858: Krytyczna podatność w Apple iOS - natychmiastowa aktualizacja wymagana
A buffer overflow was addressed with improved bounds checking. This issue is fixed in iOS 26.4 and iPadOS 26.4. A remote user may be able to cause unexpected system termination or corrupt kernel memor...
CVE-2026-33017: Krytyczna podatność wstrzykiwania kodu w Langflow Langflow - natychmiastowa aktualizacja wymagana
Langflow contains a code injection vulnerability that could allow building public flows without requiring authentication....
CVE-2026-4001: Krytyczna podatność w WordPress Woocommerce Custom Product Addons Pro - natychmiastowa aktualizacja wymagana
The Woocommerce Custom Product Addons Pro plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 5.4.1 via the custom pricing formula eval() in the process_c...
CVE-2026-3587: Krytyczna podatność w Embedded Device CLI - natychmiastowa aktualizacja wymagana
Nieuwierzytelniony zdalny atakujący może wykorzystać ukrytą funkcję w wierszu poleceń CLI, aby wyjść z ograniczonego interfejsu i uzyskać dostęp root do bazowego systemu Linux, prowadząc do pełnego przejęcia urządzenia...
CVE-2026-21992: Krytyczna podatność w Oracle Oracle Identity Manager - natychmiastowa aktualizacja wymagana
Vulnerability in the Oracle Identity Manager product of Oracle Fusion Middleware (component: REST WebServices) and Oracle Web Services Manager product of Oracle Fusion Middleware (component: Web Servi...
CVE-2026-22732: Krytyczna podatność w VMware Spring Security - natychmiastowa aktualizacja wymagana
When applications specify HTTP response headers for servlet applications using Spring Security, there is the possibility that the HTTP Headers will not be written. This issue affects Spring Security:...
CVE-2026-32194: Krytyczna podatność w Microsoft Bing Images - natychmiastowa aktualizacja wymagana
Improper neutralization of special elements used in a command ('command injection') in Microsoft Bing Images allows an unauthorized attacker to execute code over a network....
CVE-2026-20131: nieuwierzytelnione RCE jako root w Cisco Secure Firewall Management Center (CVSS 10.0)
Cisco Secure Firewall Management Center i Security Cloud Control zawierają podatność deserializacji w interfejsie webowym, pozwalającą zdalnie wykonać dowolny kod Java jako root...
CVE-2026-22557: Krytyczna podatność Path Traversal w Ubiquiti UniFi Network (CVSS 10.0)
Krytyczna podatność Path Traversal w Ubiquiti UniFi Network Application (CVSS 10.0) pozwala nieuwierzytelnionemu atakującemu na dostęp do plików systemu operacyjnego i przejęcie konta. Dotyczy urządzeń Dream Machine i wszystkich instalacji UniFi Network Application <= 10.1.85.
CVE-2026-22558: Podatność NoSQL Injection w Ubiquiti UniFi Network (CVSS 7.7)
Podatność NoSQL Injection w Ubiquiti UniFi Network Application (CVSS 7.7) umożliwia uwierzytelnionemu atakującemu eskalację uprawnień. W połączeniu z CVE-2026-22557 (CVSS 10.0) tworzy łańcuch ataku prowadzący do pełnej kompromitacji systemu.
CVE-2026-23554: Krytyczna podatność w Citrix XenServer - wyciek pamięci hosta z maszyny wirtualnej
Podatność CVE-2026-23554 w Citrix XenServer 8.4 i wcześniejszych umożliwia uprzywilejowanemu użytkownikowi maszyny wirtualnej dostęp do fragmentów pamięci hosta, co może prowadzić do eskalacji uprawnień, wycieku informacji lub zakłócenia dostępności systemu.
CVE-2026-27542: Krytyczna podatność w Woocommerce Wholesale Lead Capture - natychmiastowa aktualizacja wymagana
Incorrect Privilege Assignment vulnerability in Rymera Web Co Pty Ltd. Woocommerce Wholesale Lead Capture allows Privilege Escalation.This issue affects Woocommerce Wholesale Lead Capture: from n/a th...
CVE-2026-20963: Wysoka podatność w SharePoint (Microsoft)
Microsoft SharePoint contains a deserialization of untrusted data vulnerability that allows an unauthorized attacker to execute code over a network....
CVE-2026-3909: Nieznana podatność w Skia (Google)
Google Skia contains an out-of-bounds write vulnerability that could allow a remote attacker to perform out of bounds memory access via a crafted HTML page. This vulnerability affects Google Chrome an...
CVE-2026-3910: Nieznana podatność w Chromium V8 (Google)
Google Chromium V8 contains an improper restriction of operations within the bounds of a memory buffer vulnerability that could allow a remote attacker to execute arbitrary code inside a sandbox via a...
CVE-2026-1603: Wysoka podatność w Endpoint Manager (EPM) (Ivanti)
Ivanti Endpoint Manager (EPM) zawiera authentication bypass using an alternate path or channel vulnerability that could allow zdalny nieuwierzytelniony atakujący to leak specific stored credential dat...
CVE-2026-21385: Wysoka podatność w Multiple Chipsets (Qualcomm)
Multiple Qualcomm chipsets zawierają podatność uszkodzenia pamięci while using alignments for memory allocation. ...
CVE-2026-28363: Krytyczna podatność w Openclaw Openclaw - natychmiastowa aktualizacja wymagana
In OpenClaw before 2026.2.23, tools.exec.safeBins validation for sort could be bypassed via GNU long-option abbreviations (such as --compress-prog) in allowlist mode, prowadząc do approval-free execut...
CVE-2026-20127: Krytyczna podatność ominięcia uwierzytelniania w Cisco Catalyst SD-WAN Controller and Manager - natychmiastowa aktualizacja wymagana
Cisco Catalyst SD-WAN Controller, formerly SD-WAN vSmart, and Cisco Catalyst SD-WAN Manager, formerly SD-WAN vManage, zawierają podatność umożliwiającą ominięcie uwierzytelniania could allow nieuwierz...
CVE-2026-25108: Wysoka podatność w FileZen (Soliton Systems K.K)
Soliton Systems K.K FileZen zawiera podatność umożliwiającą wstrzykiwanie poleceń systemu operacyjnego (OS Command Injection) when an user logs-in to the affected product and sends a specially crafted...
CVE-2026-26980: Krytyczna podatność w Ghost Ghost - natychmiastowa aktualizacja wymagana
Ghost is a Node.js content management system. Versions 3.24.0 through 6.19.0 allow unauthenticated attackers to perform arbitrary reads from the database. This issue has been fixed in version 6.19.1....
CVE-2026-22769: Krytyczna podatność w Dell RecoverPoint for Virtual Machines (RP4VMs) - natychmiastowa aktualizacja wymagana
Dell RecoverPoint for Virtual Machines (RP4VMs) zawiera use of hard-coded credentials vulnerability that could allow nieuwierzytelniony zdalny atakujący to uzyskanie nieautoryzowanego dostępu to the u...
CVE-2026-2441: Wysoka podatność w Chromium (Google)
Google Chromium CSS zawiera podatność użycia po zwolnieniu pamięci (use-after-free) która może pozwolić zdalnemu atakującemu na potentially exploit heap corruption za pomocą spreparowanego HTML page. ...
CVE-2026-1731: Krytyczna podatność wstrzykiwania poleceń OS w BeyondTrust Remote Support i Privileged Remote Access - natychmiastowa aktualizacja wymagana
Produkty BeyondTrust Remote Support (RS) i Privileged Remote Access (PRA) zawierają podatność umożliwiającą wstrzykiwanie poleceń systemu operacyjnego. Udana eksploatacja może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na...
CVE-2026-20700: Wysoka podatność w Multiple Products (Apple)
Apple iOS, macOS, tvOS, watchOS i visionOS zawierają podatność nieprawidłowego ograniczenia operacji w granicach bufora pamięci, która może pozwolić atakującemu z możliwością zapisu do pamięci na...
CVE-2026-21510: Wysoka podatność w Windows (Microsoft)
Powłoka Microsoft Windows (Windows Shell) zawiera podatność w mechanizmie ochrony, która może pozwolić nieautoryzowanemu atakującemu na obejście zabezpieczeń przez sieć.
CVE-2026-21513: Wysoka podatność w Windows (Microsoft)
Microsoft Internet Explorer zawiera podatność w mechanizmie ochrony, która może pozwolić nieautoryzowanemu atakującemu na obejście funkcji zabezpieczeń przez sieć.
CVE-2026-21514: Wysoka podatność w Office (Microsoft)
Microsoft Office Word zawiera podatność polegającą na poleganiu na niezaufanych danych wejściowych przy podejmowaniu decyzji dotyczących bezpieczeństwa, co może pozwolić autoryzowanemu atakującemu na eskalację uprawnień lokalnie.
CVE-2026-21519: Wysoka podatność w Windows (Microsoft)
Microsoft Desktop Windows Manager zawiera podatność typu pomylenie typów (type confusion), która może pozwolić autoryzowanemu atakującemu na eskalację uprawnień lokalnie.
CVE-2026-21533: Wysoka podatność w Windows (Microsoft)
Usługi pulpitu zdalnego Microsoft Windows (Remote Desktop Services) zawierają podatność w nieprawidłowym zarządzaniu uprawnieniami, która może pozwolić autoryzowanemu atakującemu na eskalację uprawnień lokalnie.
CVE-2026-24423: Krytyczna podatność w SmarterMail - natychmiastowa aktualizacja wymagana
SmarterTools SmarterMail zawiera podatność braku uwierzytelniania dla krytycznej funkcji w metodzie API ConnectToHub. Może to pozwolić atakującemu na przekierowanie instancji SmarterMail na złośliwy serwer HTTP...
CVE-2026-1281: Krytyczna podatność w Ivanti Endpoint Manager Mobile (EPMM) - natychmiastowa aktualizacja wymagana
Ivanti Endpoint Manager Mobile (EPMM) zawiera podatność wstrzykiwania kodu, która może pozwolić atakującym na nieuwierzytelnione zdalne wykonanie kodu....
CVE-2026-24858: Krytyczna podatność w wiele produktów - natychmiastowa aktualizacja wymagana
Fortinet FortiAnalyzer, FortiManager, FortiOS i FortiProxy zawierają podatność ominięcia uwierzytelniania poprzez alternatywną ścieżkę lub kanał, która może pozwolić atakującemu z kontem FortiCloud...
CVE-2026-21509: Podatność obejścia funkcji bezpieczeństwa w Microsoft Office
Microsoft Office zawiera podatność umożliwiającą obejście funkcji bezpieczeństwa, w której poleganie na niezaufanych danych wejściowych przy podejmowaniu decyzji bezpieczeństwa może pozwolić na obejście...
CVE-2026-23760: Krytyczna podatność w SmarterMail - natychmiastowa aktualizacja wymagana
SmarterTools SmarterMail zawiera podatność ominięcia uwierzytelniania w API resetowania hasła. Endpoint force-reset-password pozwala na anonimowe żądania i nie weryfikuje hasła ani tokenu resetowania...
CVE-2026-24061: Krytyczna podatność w InetUtils - natychmiastowa aktualizacja wymagana
GNU InetUtils zawiera podatność typu argument injection w telnetd, która może umożliwić zdalne ominięcie uwierzytelniania poprzez wartość "-f root" dla zmiennej środowiskowej USER...
CVE-2025-15036: Podatność w MLflow MLflow — natychmiastowa aktualizacja wymagana
A path traversal vulnerability exists in the `extract_archive_to_dir` function within the `mlflow/pyfunc/dbconnect_artifact_cache.py` file of the mlflow/mlflow repository. This vulnerability, present ...
CVE-2025-15379: Podatność w MLflow MLflow — natychmiastowa aktualizacja wymagana
A command injection vulnerability exists in MLflow's model serving container initialization code, specifically in the `_install_model_dependencies_to_env()` function. When deploying a model with `env_...
CVE-2025-53521: Krytyczna podatność w F5 BIG-IP - natychmiastowa aktualizacja wymagana
F5 BIG-IP AMP contains an unspecified vulnerability that could allow a threat actor to achieve remote code execution....
CVE-2025-71275: Krytyczna podatność w Zimbra Zimbra Collaboration Suite - natychmiastowa aktualizacja wymagana
Zimbra Collaboration Suite (ZCS) PostJournal service version 8.8.15 contains a command injection vulnerability that allows unauthenticated attackers to execute arbitrary system commands by exploiting ...
CVE-2025-31277: Wysoka podatność w Multiple Products (Apple)
Apple Safari, iOS, watchOS, visionOS, iPadOS, macOS, and tvOS contain a buffer overflow vulnerability that could allow the processing of maliciously crafted web content which may lead to memory corrup...
CVE-2025-32432: Krytyczna podatność wstrzykiwania kodu w Craft CMS Craft CMS - natychmiastowa aktualizacja wymagana
Craft CMS contains a code injection vulnerability that allows a remote attacker to execute arbitrary code....
CVE-2025-43510: Wysoka podatność w Multiple Products (Apple)
Apple watchOS, iOS, iPadOS, macOS, visionOS, and tvOS contain an improper locking vulnerability that could allow a malicious application to cause unexpected changes in memory shared between processes....
CVE-2025-43520: Wysoka podatność w Multiple Products (Apple)
Apple watchOS, iOS, iPadOS, macOS, visionOS, tvOS, and iPadOS contain a classic buffer overflow vulnerability which could allow a malicious application to cause unexpected system termination or write ...
CVE-2025-54068: Krytyczna podatność wstrzykiwania kodu w Laravel Livewire - natychmiastowa aktualizacja wymagana
Laravel Livewire contain a code injection vulnerability that could allow unauthenticated attackers to achieve remote command execution in specific scenarios....
CVE-2025-66376: Wysoka podatność w Zimbra Collaboration Suite (ZCS) (Synacor)
Synacor Zimbra Collaboration Suite (ZCS) contains a cross-site scripting vulnerability in the Classic UI where attackers could abuse Cascading Style Sheets (CSS) @import directives in email HTML....
CVE-2025-68613: Krytyczna podatność w n8n n8n - natychmiastowa aktualizacja wymagana
n8n zawiera improper control of dynamically managed code resources vulnerability in its workflow expression evaluation system która umożliwia for remote code execution....
CVE-2025-26399: Krytyczna podatność deserializacji w SolarWinds Web Help Desk - natychmiastowa aktualizacja wymagana
SolarWinds Web Help Desk zawierają podatność deserializacji niezaufanych danych in AjaxProxy która może pozwolić atakującemu na run commands on the host machine....
CVE-2025-40538: Krytyczna podatność w Solarwinds Serv-U - natychmiastowa aktualizacja wymagana
A podatność złamanej kontroli dostępu exists in Serv-U which when exploited, gives a malicious actor the ability to create a system admin user and wykonanie dowolnego kodu as a privileged account via ...
CVE-2025-40539: Krytyczna podatność pomylenia typów w Solarwinds Serv-U - natychmiastowa aktualizacja wymagana
Alert bezpieczeństwa - CVE-2025-40539 (Solarwinds Serv-U). CVSS: 9.1 (Krytyczny). EPSS: 0%.
CVE-2025-40540: Krytyczna podatność pomylenia typów w Solarwinds Serv-U - natychmiastowa aktualizacja wymagana
Alert bezpieczeństwa - CVE-2025-40540 (Solarwinds Serv-U). CVSS: 9.1 (Krytyczny). EPSS: 0%.
CVE-2025-40541: Krytyczna podatność w Solarwinds Serv-U - natychmiastowa aktualizacja wymagana
Alert bezpieczeństwa - CVE-2025-40541 (Solarwinds Serv-U). CVSS: 9.1 (Krytyczny). EPSS: 0%.
CVE-2025-49113: Krytyczna podatność deserializacji w Roundcube Webmail - natychmiastowa aktualizacja wymagana
RoundCube Webmail zawiera podatność deserializacji niezaufanych danych, która umożliwia zdalne wykonanie kodu przez uwierzytelnionych użytkowników, ponieważ parametr _from w URL nie jest walidowany.
CVE-2025-68461: Wysoka podatność w Webmail (Roundcube)
RoundCube Webmail zawiera podatność Cross-Site Scripting (XSS) poprzez znacznik animate w dokumencie SVG.
CVE-2025-13590: Krytyczna podatność w Wso2 Api Control Plane - natychmiastowa aktualizacja wymagana
A malicious actor with administrative privileges can upload an arbitrary file to a user-controlled location within the deployment via a system REST API. Successful uploads może prowadzić do remote cod...
CVE-2025-15556: Podatność w Notepad++ (Notepad++)
Notepad++ przy korzystaniu z aktualizatora WinGUp zawiera podatność pobierania kodu bez weryfikacji integralności, która może pozwolić atakującemu na przechwycenie lub przekierowanie ruchu aktualizacji w celu pobrania i wykonania...
CVE-2025-40536: Wysoka podatność w Web Help Desk (SolarWinds)
SolarWinds Web Help Desk zawiera podatność obejścia kontroli bezpieczeństwa, która może pozwolić nieuwierzytelnionemu atakującemu na uzyskanie dostępu do określonych zastrzeżonych funkcji....
CVE-2025-11953: Krytyczna podatność w CLI - natychmiastowa aktualizacja wymagana
Krytyczna podatność OS Command Injection w React Native Community CLI umożliwia nieuwierzytelnionym atakującym wysyłanie żądań POST do serwera Metro Development i uruchamianie dowolnych plików wykonywalnych.
CVE-2025-40551: Krytyczna podatność w Web Help Desk - natychmiastowa aktualizacja wymagana
Krytyczna podatność deserializacji niezaufanych danych w SolarWinds Web Help Desk umożliwia zdalne wykonanie kodu i uruchamianie poleceń na maszynie hosta bez uwierzytelnienia.
CVE-2025-64328: Podatność wysokiego ryzyka w FreePBX (Sangoma)
Sangoma FreePBX Endpoint Manager zawiera podatność wstrzykiwania poleceń systemu operacyjnego, która może pozwolić uwierzytelnionemu użytkownikowi na wstrzyknięcie polecenia po uwierzytelnieniu poprzez funkcję testconnection -> ch...
CVE-2025-52691: Krytyczna podatność w SmarterMail - natychmiastowa aktualizacja wymagana
SmarterTools SmarterMail zawiera podatność nieograniczonego przesyłania plików niebezpiecznego typu, która może pozwolić nieuwierzytelnionemu atakującemu na przesłanie dowolnych plików do dowolnej lokalizacji na serwerze pocztowym...
CVE-2017-20229: Podatność w Invisible Island Mawk — natychmiastowa aktualizacja wymagana
MAWK 1.3.3-17 and prior contains a stack-based buffer overflow vulnerability that allows attackers to execute arbitrary code by exploiting inadequate boundary checks on user-supplied input. Attackers ...
CVE-2018-25223: Podatność w Ftnapps Crashmail Ii — natychmiastowa aktualizacja wymagana
Crashmail 1.6 contains a stack-based buffer overflow vulnerability that allows remote attackers to execute arbitrary code by sending malicious input to the application. Attackers can craft payloads wi...
CVE-2006-10003: Krytyczna podatność w Perl XML::Parser - natychmiastowa aktualizacja wymagana
XML::Parser versions through 2.47 for Perl has an off-by-one heap buffer overflow in st_serial_stack. In the case (stackptr == stacksize - 1), the stack will NOT be expanded. Then the new value will ...
CVE-2021-22054: Podatność z 2021 roku ponownie aktywnie eksploatowana (Omnissa)
Omnissa Workspace One UEM zawiera podatność server-side request forgery (SSRF), która mogłaby umożliwić złośliwemu aktorowi posiadającemu dostęp sieciowy ...
CVE-2017-7921: Podatność z 2017 roku ponownie aktywnie eksploatowana (Hikvision)
Multiple Hikvision products zawierają podatność nieprawidłowego uwierzytelniania that could allow a malicious user to escalate privileges on the system and gain access to sensitive information....
CVE-2021-22681: Podatność z 2021 roku ponownie aktywnie eksploatowana (Rockwell)
Multiple Rockwell products zawierają insufficient protected credentials vulnerability. Studio 5000 Logix Designer software may allow a key to be discovered. This key is used to verify Logix controller...
CVE-2021-30952: Podatność z 2021 roku ponownie aktywnie eksploatowana (Apple)
Apple tvOS, macOS, Safari, iPadOS and watchOS zawierają integer overflow or wraparound vulnerability z powodu the processing of maliciously crafted web content that może prowadzić do arbitrary code ex...
CVE-2023-41974: Podatność z 2023 roku ponownie aktywnie eksploatowana (Apple)
Apple iOS and iPadOS zawierają podatność użycia po zwolnieniu pamięci (use-after-free). An app may be able to wykonanie dowolnego kodu with kernel privileges....
CVE-2023-43000: Podatność z 2023 roku ponownie aktywnie eksploatowana (Apple)
Apple macOS, iOS, iPadOS, and Safari 16.6 zawierają podatność użycia po zwolnieniu pamięci (use-after-free) z powodu the processing of maliciously crafted web content that może prowadzić do memory cor...
CVE-2022-20775: Podatność z 2022 roku ponownie aktywnie eksploatowana (Cisco)
Cisco SD-WAN CLI zawiera podatność traversal ścieżki that could allow an authenticated local attacker to uzyskanie podwyższonych uprawnień via improper access controls on commands within the applicati...
CVE-2008-0015: Podatność z 2008 roku ponownie aktywnie eksploatowana (Microsoft)
Microsoft Windows Video ActiveX Control zawiera podatność umożliwiającą zdalne wykonanie kodu. atakujący could exploit the vulnerability by constructing a specially crafted Web page. When a user views...
CVE-2020-7796: Podatność z 2020 roku ponownie aktywnie eksploatowana (Synacor)
Synacor Zimbra Collaboration Suite (ZCS) zawiera server-side request forgery vulnerability if WebEx zimlet installed and zimlet JSP is enabled....
CVE-2024-7694: Podatność z 2024 roku ponownie aktywnie eksploatowana (TeamT5)
TeamT5 ThreatSonar Anti-Ransomware zawiera unrestricted upload of file with dangerous type vulnerability. ThreatSonar Anti-Ransomware does not properly validate the content of uploaded files. Remote a...
CVE-2024-43468: Podatność z 2024 roku ponownie aktywnie eksploatowana (Microsoft)
Microsoft Configuration Manager zawiera podatność wstrzykiwania SQL. Nieuwierzytelniony atakujący może wykorzystać tę podatność wysyłając specjalnie spreparowane żądania do docelowego środowiska...
CVE-2019-19006: Podatność z 2019 roku ponownie aktywnie eksploatowana (Sangoma)
Sangoma FreePBX zawiera podatność nieprawidłowego uwierzytelniania, która umożliwia nieautoryzowanym użytkownikom obejście uwierzytelniania hasłem i dostęp do usług panelu administracyjnego FreePBX.
CVE-2018-14634: Podatność z 2018 roku ponownie aktywnie eksploatowana (Linux)
Jądro systemu Linux zawiera podatność typu przepełnienie liczby całkowitej w funkcji create_elf_tables(), która może pozwolić nieuprzywilejowanemu lokalnemu użytkownikowi z dostępem do binarki SUID na eskalację uprawnień...