CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.11)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
W kontrolce ActiveX IceWarpServer.APIObject w pliku api.dll w IceWarp Merak Mail Server 9.4.1 występuje przepełnienie bufora na stosie. Atakujący mogą wykorzystać tę podatność, dostarczając dużą wartość jako drugi argument metody Base64FileEncode, co może prowadzić do wykonania dowolnego kodu.
GDI+ w systemie Microsoft Windows XP SP3 umożliwia zdalnym atakującym spowodowanie odmowy usługi (nieskończona pętla) poprzez plik PNG zawierający określoną dużą wartość btChunkLen.
Wielokrotne podatności na przejście katalogu w KoschtIT Image Gallery 1.82 umożliwiają zdalnym atakującym dołączenie i wykonanie dowolnych lokalnych plików poprzez sekwencje przejścia katalogu w parametrze pliku do (1) ki_makepic.php i (2) ki_nojsdisplayimage.php w ki_base/.
Podatność SQL injection w pliku ajaxp_backend.php w MyioSoft AjaxPortal 3.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr page.
Podatność SQL injection w funkcji xforum_validateUser w pliku Common.php w X-Forum 0.6.2 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL, co zostało zademonstrowane za pomocą parametru cookie_username w pliku Configure.php.
W podatności CVE-2008-6787 występuje luka typu SQL injection w pliku administrator/index.php w systemie Lizardware CMS w wersji 0.6.0 i wcześniejszych. Umożliwia to zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez użytkownika.
Moduł Node Access User Reference w wersjach 5.x przed 5.x-2.0-beta4 oraz 6.x przed 6.x-2.0-beta6 dla Drupala interpretuje pusty odnośnik użytkownika CCK jako odnośnik do użytkownika anonimowego. Może to umożliwić zdalnym atakującym obejście zamierzonych ograniczeń dostępu do odczytu lub modyfikacji węzła.
Podatność w Absolute Form Processor XE 1.5 umożliwia zdalnym atakującym ominięcie uwierzytelniania i uzyskanie dostępu administracyjnego poprzez ustawienie ciasteczka xlaAFPadmin na 'lvl=1&userid=1'.
W systemie zarządzania dokumentami Tiger DMS występuje kilka podatności na wstrzykiwanie SQL w pliku login.php, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametry (1) nazwa użytkownika i (2) hasło.
Podatność na przejście katalogu w pliku plugin.php w S-Cms 1.1 Stable i 1.5.2 umożliwia zdalnym atakującym dołączanie i wykonywanie dowolnych lokalnych plików poprzez sekwencje przejścia katalogu w parametrze page.
Nieokreślona podatność w Adobe Flash Media Server (FMS) przed wersją 3.0.4 oraz 3.5.x przed wersją 3.5.2, używana w Flash Media Interactive Server i Flash Media Streaming Server, umożliwia zdalnym atakującym wykonywanie dowolnych procedur zdalnych w pliku ActionScript na serwerze za pomocą żądań RPC.
Podatność typu use-after-free w wbudowanej bibliotece GD w libwmf 0.2.8.4 pozwala atakującym, zależnie od kontekstu, na spowodowanie awarii aplikacji (denial of service) lub potencjalne wykonanie dowolnego kodu poprzez spreparowany plik WMF.
Podatność typu SQL injection w pliku directory.php w Scripts For Sites (SFS) EZ Adult Directory umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr cat_id w akcji list.
Podatność SQL injection w pliku directory.php w aplikacji Sites for Scripts (SFS) EZ Home Business Directory umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr cat_id w akcji list.
Podatność SQL injection w pliku directory.php w aplikacji Sites for Scripts (SFS) EZ Hosting Directory umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr cat_id w akcji list.
Podatność typu SQL injection w pliku directory.php w katalogu gier Sites for Scripts (SFS) umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr cat_id w akcji list.
Podatność SQL injection w pliku directory.php w Scripts for Sites (SFS) SFS EZ Affiliate umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr cat_id w akcji list.
W module Sarkilar dla PHP-Nuke występuje podatność na wstrzykiwanie SQL, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr id w akcji showcontent w pliku modules.php.
Podatność SQL injection w pliku viewfaqs.php w skryptach SFS EZ Auction umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr cat.
Podatność SQL injection w pliku viewcomments.php w Scripts For Sites (SFS) EZ Hot or Not umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru phid.