CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.11)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Podatność typu directory traversal w komponencie Real Estate Property (com_properties) w wersji 3.1.22-03 dla Joomla! umożliwia zdalnym atakującym odczyt dowolnych plików oraz potencjalnie inne nieokreślone skutki poprzez wykorzystanie parametru .. (kropka kropka) w kontrolerze do index.php.
Podatność typu SQL injection w komponencie Real Estate Property (com_properties) w wersji 3.1.22-03 dla Joomla! umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr aid w akcji agentlisting w pliku index.php.
Podatność SQL injection w komponencie Jvehicles (com_jvehicles) w wersjach 1.0, 2.0 i 2.1111 dla Joomla! umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr aid w akcji agentlisting w pliku index.php.
Wielokrotne podatności na wstrzykiwanie SQL w pliku globepersonnel_login.asp w Logoshows BBS 2.0 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez pola (1) nazwa użytkownika i (2) hasło.
W podatności CVE-2009-4871 występuje luka typu SQL injection w pliku globepersonnel_forum.asp w Logoshows BBS 2.0, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr forumid.
W pliku login.php w PHPCityPortal występuje wiele podatności na ataki typu SQL injection, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametry (1) req_username (nazwa użytkownika) oraz (2) req_password (hasło).
W UltraPlayer Media Player 2.112 występuje przepełnienie bufora na stosie, które pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez długi ciąg w pliku .usk.
Wielokrotne podatności na wstrzykiwanie SQL w Alwasel 1.5 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru id w plikach show.php i xml.php.
W podatności CVE-2009-4860 występuje luka typu SQL injection w pliku demo.php w Typing Pal w wersji 1.0 i wcześniejszych. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr idTableProduit.
Podatność typu SQL injection w pliku index.php w TYPO3 4.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru showUid. Zespół bezpieczeństwa TYPO3 kwestionuje ten raport, twierdząc, że 'nie ma takiej podatności'.
Funkcje sqlite_single_query i sqlite_array_query w PHP w wersjach od 5.2 do 5.2.13 oraz od 5.3 do 5.3.2 umożliwiają atakującym wykonanie dowolnego kodu poprzez wywołanie tych funkcji z pustym zapytaniem SQL, co prowadzi do dostępu do niezainicjowanej pamięci.
W podatności CVE-2010-1867 występuje luka typu SQL injection w metodzie ArticleAttachment::GetAttachmentsByArticleNumber w pliku attachments.php w wersjach Campsite 3.3.5 i wcześniejszych. Umożliwia to zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru article_id.
Wielokrotne podatności na wstrzykiwanie SQL w ClanSphere 2009.0.3 i wcześniejszych wersjach umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL. Atak może być przeprowadzony poprzez adres IP w funkcji cs_getip w pliku generate.php w module Captcha lub poprzez parametr s_email w funkcji cs_sql_select w sterowniku bazy danych MySQL (mysql.php).
W module shoutbox (modules/shoutbox.php) w ClanTiger w wersji 1.1.3 i wcześniejszych występuje podatność na wstrzykiwanie SQL, która umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru s_email.
W pliku addons/import.php w TalkBack 2.3.14 występuje podatność, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń za pomocą parametru result.
W auktion.php w systemie Pay Per Watch & Bid Auktions występuje podatność na wstrzykiwanie SQL, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL za pomocą parametru id_auk.
W funkcji find_keyring_by_name w jądrze Linuxa 2.6.34-rc5 i wcześniejszych występuje warunek wyścigu, który pozwala lokalnym użytkownikom na spowodowanie odmowy usługi poprzez uszkodzenie pamięci i awarię systemu. Może to również prowadzić do innych nieokreślonych skutków.
Funkcja sctp_process_unk_param w jądrze Linuxa w wersji 2.6.33.3 i wcześniejszych, przy włączonym SCTP, umożliwia zdalnym atakującym spowodowanie awarii systemu poprzez wysłanie pakietu SCTPChunkInit zawierającego wiele nieprawidłowych parametrów, co wymaga dużej ilości danych o błędach.
Wtyczka Awakening Winds3D Viewer w wersji 3.5.0.9 umożliwia zdalnym atakującym wykonywanie dowolnych programów poprzez wartość właściwości SceneURL, która zawiera adres URL do pliku .exe.
Nieokreślona podatność w Agencie HP LoadRunner przed wersją 9.50 oraz HP Performance Center przed wersją 9.50 umożliwia zdalnym atakującym wykonanie dowolnego kodu za pomocą nieznanych wektorów.