CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.16)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Podatność SQL injection w Tribiq CMS umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id w pliku index.php.
Podatność na wstrzykiwanie SQL w wtyczce WP e-Commerce przed wersją 3.8.7.6 dla WordPressa umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory.
Wielokrotne podatności na wstrzykiwanie SQL w SpamTitan WebTitan przed wersją 3.60 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr nazwy użytkownika w pliku login-x.php. Umożliwiają również zdalnym uwierzytelnionym użytkownikom wykonywanie dowolnych poleceń SQL poprzez parametry bldomain, wldomain lub temid w pliku urls-x.php.
Podatność typu SQL injection w pliku article.php w Virtual War (VWar) w wersji 1.6.1 R2 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr ratearticleselect.
Proces Zygote w Androidzie 4.0.3 i wcześniejszych wersjach akceptuje żądania fork od procesów z dowolnymi UID, co pozwala zdalnym atakującym na spowodowanie odmowy usługi (pętla restartu) za pomocą spreparowanej aplikacji.
W DcsCliCtrl.dll w kontrolce ActiveX Camera Stream Client występuje przepełnienie bufora na stosie w metodzie SelectDirectory. Umożliwia to zdalnym atakującym spowodowanie awarii (denial of service) oraz potencjalne wykonanie dowolnego kodu poprzez długi argument ciągu.
W podatności CVE-2012-5304 występuje możliwość wstrzykiwania statycznego kodu w pliku administration/install.php w YVS Image Gallery, co pozwala zdalnym atakującym na wstrzyknięcie dowolnego kodu PHP do pliku functions/db_connect.php. Podatność ta występuje tylko wtedy, gdy administrator nie przestrzega zaleceń zawartych w dokumentacji instalacyjnej produktu.
Błąd interakcji w sterowniku JDBC PostgreSQL przed wersją 8.2, używanym z serwerem PostgreSQL z włączoną opcją 'standard_conforming_strings', nieprawidłowo ucieka nieokreślone parametry zapytań JDBC, co umożliwia zdalnym atakującym przeprowadzenie ataków typu SQL injection.
Nieokreślona podatność w ez Publish w wersjach 4.1.4, 4.2, 4.3, 4.4, 4.5 i 4.6 związana z niebezpiecznym bezpośrednim odniesieniem do obiektu. Wpływ oraz wektory ataku są nieznane.
W podatności CVE-2011-4932 występuje luka wstrzykiwania kodu w pliku actions.php w module zarządzania treścią ImpressPages CMS w wersji 1.0.12 oraz prawdopodobnie wcześniejszych wersjach przed 1.0.13. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu poprzez parametr cm_group.
W SumatraPDF przed wersją 2.1 występuje przepełnienie bufora oparte na stercie, które pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez spreparowany dokument PDF. Jest to inna podatność niż CVE-2012-4895.
W SumatraPDF przed wersją 2.1 występuje przepełnienie bufora w stercie, które pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez spreparowany dokument PDF. Jest to inna podatność niż CVE-2012-4896.
Google SketchUp w wersjach przed 8.0.14346 (znanej jako 8 Maintenance 3) umożliwia zdalnym atakującym, przy wsparciu użytkownika, wykonanie dowolnego kodu lub spowodowanie odmowy usługi (uszkodzenie pamięci) poprzez spreparowany plik SKP.
Podatność SQL injection w pliku art_catalogo.php w MyStore Xpress Tienda Virtual 2.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id.
Mavili Guestbook, wydany w listopadzie 2007 roku, pozwala zdalnym atakującym na edytowanie, usuwanie i zatwierdzanie dowolnych wiadomości poprzez bezpośrednie żądanie do plików edit.asp, delete.asp lub approve.asp.
Podatność SQL injection w pliku edit.asp w Mavili Guestbook, wydanym w listopadzie 2007 roku, umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru id.
W podatności CVE-2012-5294 występuje luka typu SQL injection w pliku art_detalle.php w MyStore Xpress Tienda Virtual, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr id.
W podatności CVE-2011-5203 występuje luka typu SQL injection w pliku WB/Default.asp w Akiva WebBoard przed wersją 8 SR 1, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr 'name'.
Wielokrotne podatności na zdalne włączenie plików PHP w SAPID CMS 1.2.3 Stable umożliwiają zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrach (1) GLOBALS[root_path] w pliku usr/extensions/get_tree.inc.php lub (2) root_path w pliku usr/extensions/get_infochannel.inc.php.
W Atar2b CMS w wersji 4.0.1 występuje wiele podatności na ataki typu SQL injection, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr id w plikach gallery_e.php, pageE.php oraz pageH.php.