CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.11)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
CodeAvalanche FreeForAll przechowuje wrażliwe informacje pod katalogiem webowym z niewystarczającą kontrolą dostępu, co pozwala zdalnym atakującym na pobranie pliku bazy danych zawierającego hasło administratora poprzez bezpośrednie żądanie do _private/CAFFAPage.mdb.
CodeAvalanche Directory przechowuje wrażliwe informacje pod katalogiem webowym z niewystarczającą kontrolą dostępu, co pozwala zdalnym atakującym na pobranie pliku bazy danych zawierającego hasło administratora poprzez bezpośrednie żądanie do _private/CADirectory.mdb.
CodeAvalanche FreeWallpaper przechowuje wrażliwe informacje pod katalogiem webowym bez odpowiedniej kontroli dostępu, co umożliwia zdalnym atakującym pobranie pliku bazy danych zawierającego hasło administratora poprzez bezpośrednie żądanie do _private/CAFreeWallpaper.mdb.
CodeAvalanche RateMySite przechowuje wrażliwe informacje pod katalogiem webowym bez odpowiedniej kontroli dostępu, co umożliwia zdalnym atakującym pobranie pliku bazy danych zawierającego hasło administratora poprzez bezpośrednie żądanie do _private/CARateMySite.mdb.
W podatności CVE-2008-5895 występuje luka typu SQL injection w pliku connection.php w Mediatheka w wersji 4.2 i wcześniejszych. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr użytkownika.
Wielokrotne podatności na wstrzykiwanie SQL w ClickAndEmail umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry ID w admin_dblayers.asp, adminid w admin_loginCheck.asp oraz PassWord w admin_loginCheck.asp.
W feeds.php w Injader przed wersją 2.1.2 występuje podatność na atak typu SQL injection, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr id.
W systemie Click&Rank występuje wiele podatności na ataki typu SQL injection, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametry id, userid oraz PassWord w odpowiednich skryptach. Ataki te mogą prowadzić do nieautoryzowanego dostępu do bazy danych.
W mini-pub w wersji 0.3 i wcześniejszych występuje podatność na przejście ścieżki absolutnej w pliku front-end/dir.php, która pozwala zdalnym atakującym na wylistowanie dowolnych katalogów poprzez pełną ścieżkę w parametrze sDir.
W podatności CVE-2009-0111 występuje luka typu SQL injection w pliku frontpage.php w Goople CMS w wersji 1.8.2 i wcześniejszych. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr nazwy użytkownika.
Podatność typu SQL injection w pliku read.php w RiotPix w wersji 0.61 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr forumid.
W podatności CVE-2009-0109 występuje luka typu SQL injection w pliku index.php w wersji 0.61 i wcześniejszych RiotPix, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr 'username'.
PHPAuctions (znany również jako PHPAuctionSystem) umożliwia zdalnym atakującym ominięcie uwierzytelnienia i uzyskanie dostępu administracyjnego poprzez zmodyfikowane ciasteczka (1) PHPAUCTION_RM_ID, (2) PHPAUCTION_RM_NAME, (3) PHPAUCTION_RM_USERNAME oraz (4) PHPAUCTION_RM_EMAIL.
Podatność SQL injection w pliku profile.php w systemie PHPAuctions umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru user_id.
W podatności CVE-2009-0104 występuje luka typu SQL injection w pliku index.php w EZpack 4.2b2, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr qType w akcji prog webboard.
Wielokrotne podatności na zdalne włączenie plików PHP w playSMS 0.9.3 umożliwiają zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrach apps_path[plug], apps_path[themes] oraz apps_path[libs].
W podatności CVE-2008-5882 występuje luka typu SQL injection w pliku login.asp w Citrix Application Gateway - Broadcast Server (BCS) przed wersją 6.1, co pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr txtUID.
Wielokrotne podatności na przejście katalogu w playSMS 0.9.3 umożliwiają zdalnym atakującym dołączenie i wykonanie dowolnych lokalnych plików poprzez sekwencje przejścia katalogu w parametrach (1) gateway_module do plugin/gateway/gnokii/init.php oraz (2) themes_module do plugin/themes/default/init.php.
Błąd związany z podpisem liczb całkowitych w przeglądarce Apple Safari umożliwia zdalnym atakującym odczyt zawartości dowolnych lokalizacji pamięci oraz powodowanie awarii aplikacji. Może to również prowadzić do innych nieokreślonych skutków związanych z indeksem tablicy argumentów w funkcji JavaScript.
Usługa smmsnmpd w CA Service Metric Analysis w wersjach od r11.0 do r11.1 SP1 oraz w Service Level Management 3.5 nie ogranicza prawidłowo dostępu, co umożliwia zdalnym atakującym wykonywanie dowolnych poleceń za pomocą nieokreślonych wektorów.