CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.16)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
W Apache Santuario XML Security dla C++ przed wersją 1.7.2 występuje przepełnienie bufora oparte na stercie w funkcjonalności odniesienia podpisu XML. Atakujący mogą wykorzystać źle sformułowane wyrażenia XPointer, co prowadzi do awarii systemu i potencjalnego wykonania dowolnego kodu.
Podatność na wstrzykiwanie XML w pliku account/utils.py w OpenStack Swift Folsom, Grizzly i Havana umożliwia atakującym wywołanie nieprawidłowych lub sfałszowanych odpowiedzi Swift za pomocą nazwy konta.
W Apache Santuario XML Security dla C++ przed wersją 1.7.1 występuje przepełnienie bufora oparte na stercie w funkcjonalności Exclusive Canonicalization. Umożliwia to zdalnym atakującym spowodowanie awarii usługi oraz potencjalne wykonanie dowolnego kodu poprzez spreparowany atrybut PrefixList.
W Apache Santuario XML Security dla C++ przed wersją 1.7.1 występuje przepełnienie bufora na stosie w funkcjonalności odniesienia podpisu XML. Atakujący mogą wykorzystać źle sformułowane wyrażenia XPointer, co prowadzi do awarii systemu i potencjalnego wykonania dowolnego kodu.
Podatność na wstrzykiwanie SQL w rozszerzeniu CoolURI przed wersją 1.0.30 dla TYPO3 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą nieokreślonych wektorów.
Wielokrotne podatności na wstrzykiwanie SQL w AlienVault Open Source Security Information Management (OSSIM) 4.1 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL. Atak może być przeprowadzony poprzez różne parametry w określonych plikach PHP.
Podatność SQL injection w Ginkgo CMS 5.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr rang w pliku index.php.
Puppet w wersjach 2.7.x przed 2.7.22, 3.2.x przed 3.2.2 oraz Puppet Enterprise przed 2.8.2 deserializuje niezaufany YAML, co pozwala zdalnym atakującym na instancjonowanie dowolnych klas Ruby i wykonywanie arbitralnego kodu za pomocą spreparowanego wywołania REST API.
Wielokrotne podatności na wstrzykiwanie SQL w Vastal I-Tech phpVID w wersji 1.2.3 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr 'n' w plikach browse_videos.php lub members.php. Parametr 'cat' jest już objęty CVE-2008-4157.
Nieokreślona podatność w HP Service Manager w wersjach 7.11, 9.21, 9.30 i 9.31 oraz w Service Center 6.2.8 umożliwia zdalnym atakującym uzyskanie dostępu z uprawnieniami administratora poprzez nieznane wektory.
Podatność SQL injection w rozszerzeniu DB Integration (wfqbe) przed wersją 2.0.1 dla TYPO3 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory.
Podatność na wstrzykiwanie SQL w TYPO3 bez rozszerzenia PHP (browser) przed wersją 4.5.5 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą nieokreślonych wektorów.
Podatność typu SQL injection w rozszerzeniu Store Locator (locator) przed wersją 3.1.5 dla TYPO3 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą nieokreślonych wektorów.
Nieokreślona podatność w rozszerzeniu Store Locator (locator) przed wersją 3.1.5 dla TYPO3, związana z 'Niebezpiecznym deserializowaniem'.
Podatność na wstrzykiwanie SQL w rozszerzeniu Faceted Search (ke_search) przed wersją 1.4.1 dla TYPO3 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą nieokreślonych wektorów.
Podatność na przejście katalogu w pliku help.php w Trustport Webfilter 5.5.0.2232 umożliwia zdalnym atakującym odczyt dowolnych plików poprzez użycie sekwencji .. (kropka kropka) w parametrze hf.
Apache Open For Business Project (OFBiz) w wersjach od 10.04.01 do 10.04.05, 11.04.01 do 11.04.02 oraz 12.04.01 umożliwia zdalnym atakującym wykonywanie dowolnych funkcji Unified Expression Language (UEL) poprzez metaznaki JUEL w nieokreślonych parametrach, związanych z zagnieżdżonymi wyrażeniami.
W podatności CVE-2013-5121 w PHPFox przed wersją 3.6.0 (build6) występuje luka typu SQL injection, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr search[sort_by] w ścieżce user/browse/view_.
W podatnej wersji PHPFox przed 3.6.0 (build4) występuje luka typu SQL injection, która umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr search[gender] w ścieżce user/browse/view_.
Przepełnienie bufora w kodzie korekcji ekspozycji w LibRaw przed wersją 0.15.1 umożliwia atakującym, w zależności od kontekstu, spowodowanie awarii (denial of service) oraz potencjalne wykonanie dowolnego kodu za pomocą nieokreślonych wektorów.