CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.16)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Podatność typu use-after-free w przeglądarce Microsoft Internet Explorer 8 i 9 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez specjalnie przygotowaną stronę internetową, która wywołuje dostęp do usuniętego obiektu.
Funkcja perf_swevent_init w jądrze Linux przed wersją 3.8.9 używa nieprawidłowego typu danych całkowitych, co umożliwia lokalnym użytkownikom uzyskanie uprawnień poprzez spreparowane wywołanie systemowe perf_event_open.
W Todoo Forum 2.0 występuje kilka podatności na wstrzykiwanie SQL w pliku todooforum.php, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametry (1) id_post lub (2) pg.
W funkcji gp_LoadUserFromHash w pliku functions_hash.php w module Group Pay w wersji 1.5 i wcześniejszych dla WHMCS występuje podatność na wstrzykiwanie SQL. Umożliwia to zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru hash.
Wielokrotne podatności na wstrzykiwanie SQL w Virtual Access Monitor w wersji 3.10.17 i wcześniejszych umożliwiają atakującym wykonywanie dowolnych poleceń SQL za pomocą nieokreślonych wektorów.
Podatność SQL injection w pliku settings.php w wtyczce Web Dorado Spider Video Player w wersji 2.1 dla WordPressa umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr 'theme'.
Podatność SQL injection w pliku meneger.php w RadioCMS 2.2 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr playlist_id.
Podatność SQL injection w pliku playlist.php w wtyczce Spiffy XSPF Player w wersji 0.1 dla WordPressa umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr playlist_id.
Nieokreślona podatność w mechanizmie sprawdzania aktualizacji w Vanilla Forums przed wersją 2.0.18.8, związana z 'iniekcją obiektów'.
Wielokrotne podatności na wstrzykiwanie SQL w Vanilla Forums przed wersją 2.0.18.8 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr 'name' w tablicy Form/Email w punktach (1) entry/signin lub (2) entry/passwordrequest.
Podatność SQL injection w module Approvals w Request Tracker (RT) w wersji 4.0.10 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru ShowPending. Producent kwestionuje tę podatność, twierdząc, że nie udało się jej odtworzyć.
Podatność CVE-2013-3524 dotyczy wstrzykiwania SQL w module Pop Up News w wersji 2.0 i prawdopodobnie wcześniejszych dla phpVMS. Umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr itemid.
Podatność SQL injection w This HTML Is Simple (THIS) przed wersją 1.2.4 umożliwia zdalne wykonanie dowolnych poleceń SQL poprzez manipulację parametrami op=page&id= w URL.
Nieokreślona podatność w pliku admin/action.php w phpVMS w wersjach 2.1.x przed 2.1.935. Wpływ oraz wektory ataku są nieznane.
Przepełnienie bufora w programie kontrolnym biblioteki (LCP) w EMC AlphaStor 4.0 przed wersją 910 umożliwia zdalnym atakującym wykonanie dowolnego kodu za pomocą spreparowanych poleceń.
Oprogramowanie Cisco Unified Customer Voice Portal (CVP) przed wersją 9.0.1 ES 11 pozwala zdalnym atakującym na odczyt dowolnych plików poprzez żądanie HTTP lub HTTPS zawierające deklarację zewnętrznego bytu w połączeniu z odniesieniem do bytu, co jest związane z problemem XML External Entity (XXE).
Podatność na przejście do katalogu w menedżerze zasobów oprogramowania Cisco Unified Customer Voice Portal (CVP) przed wersją 9.0.1 ES 11 umożliwia zdalnym atakującym nadpisywanie dowolnych plików poprzez spreparowane żądanie HTTP lub HTTPS, które wywołuje nieprawidłową walidację parametrów.
Podatność w przeglądarce logów oprogramowania Cisco Unified Customer Voice Portal (CVP) przed wersją 9.0.1 ES 11 polega na niewłaściwej walidacji nieokreślonego parametru. Umożliwia to zdalnym atakującym odczyt dowolnych plików za pomocą spreparowanego żądania HTTP lub HTTPS.
Funkcja zarządzania siecią Tomcat w oprogramowaniu Cisco Unified Customer Voice Portal (CVP) przed wersją 9.0.1 ES 11 nieprawidłowo konfiguruje komponenty Tomcat, co umożliwia zdalnym atakującym uruchamianie dowolnych niestandardowych aplikacji webowych za pomocą spreparowanego żądania HTTP lub HTTPS.
Funkcja zarządzania siecią Tomcat w oprogramowaniu Cisco Unified Customer Voice Portal (CVP) przed wersją 9.0.1 ES 11 nieprawidłowo konfiguruje komponenty Tomcat, co umożliwia zdalnym atakującym wykonanie dowolnego kodu za pomocą spreparowanego żądania HTTP lub HTTPS.