CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.09)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Silnik JavaScript w Mozilla Firefox przed wersją 2.0.0.14, Thunderbird przed wersją 2.0.0.14 oraz SeaMonkey przed wersją 1.1.10 umożliwia zdalnym atakującym spowodowanie odmowy usługi (awaria zbieracza śmieci) oraz potencjalnie inne skutki poprzez spreparowaną stronę internetową. Problem ten wynika z niepoprawnej poprawki dla CVE-2008-1237.
Plik admin/modif_config.php w Blog Pixel Motion nie wymaga uwierzytelnienia administratora, co pozwala zdalnym, uwierzytelnionym użytkownikom na przesyłanie dowolnych skryptów PHP w archiwum ZIP. Skrypty te są zapisywane w katalogu templateZip/ i automatycznie rozpakowywane w katalogu templates/ do wykonania poprzez bezpośrednie żądanie.
Podatność na wstrzykiwanie SQL w pliku project.php w Prozilla Freelancers umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr project.
Podatność SQL injection w pliku view_reviews.php w Prozilla Cheat Script (znanym również jako Cheats) w wersji 2.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id.
Podatność SQL injection w pliku index.php w Terong PHP Photo Gallery (znanym również jako Advanced Web Photo Gallery) w wersji 1.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr photo_id.
Podatność typu SQL injection w pliku home.news.php w Comdev News Publisher 4.1.2 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru arcmonth.
W OpenOffice.org przed wersją 2.4 występuje przepełnienie bufora w sterowniku OLE, które może być wykorzystane przez zdalnych atakujących do spowodowania awarii aplikacji oraz potencjalnego wykonania dowolnego kodu poprzez plik OLE z odpowiednio skonstruowanym strumieniem DocumentSummaryInformation.
Podatność SQL injection w Blog Pixel Motion umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr categorie w pliku index.php, co może być związane z include/requetesIndex.php.
W podatności CVE-2008-1870 występuje luka typu SQL injection w pliku getdata.php w wersjach PIGMy-SQL 1.4.1 i wcześniejszych. Umożliwia to zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id.
Podatność typu SQL injection w Site Sift Listings umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id w akcji detail w pliku index.php. Problem ten może być specyficzny dla danej witryny.
W podatności CVE-2008-1860 w pliku admin.php w LokiCMS w wersji 0.3.3 i wcześniejszych, zdalni atakujący mogą wstrzykiwać dowolny kod PHP do pliku includes/Config.php poprzez domyślny parametr.
Plik admin/sauvBase.php w Blog Pixel Motion nie wymaga uwierzytelnienia, co pozwala zdalnym atakującym na wywołanie zrzutu kopii zapasowej bazy danych oraz uzyskanie pliku blogPM.sql, który zawiera wrażliwe informacje.
Nieokreślona podatność w Flip4Mac WMV przed wersją 2.2.0.49, związana z nieprawidłowo sformatowanymi plikami WMV. Wpływ oraz wektory ataku są nieznane.
Podatność na wstrzykiwanie SQL w pliku index.php w 724Networks 724CMS w wersji 4.01 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr ID.
Podatność typu SQL injection w pliku events.php w iScripts SocialWare umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id w akcji show.
Skrypt CGI monitorujący replikację (repl-monitor-cgi.pl) w Red Hat Administration Server, używanym przez Red Hat Directory Server 8.0 EL4 i EL5, umożliwia zdalnym atakującym wykonywanie dowolnych poleceń.
Podatność CVE-2008-1852 dotyczy usługi o nazwie ovalarmsrv w HP OpenView Network Node Manager (OV NNM) w wersjach 7.51, 7.53 oraz prawdopodobnie innych. Umożliwia zdalnym atakującym spowodowanie awarii usługi poprzez wysłanie określonych żądań z dużą liczbą podargumentów, co prowadzi do dereferencji wskaźnika NULL z powodu błędu alokacji pamięci.
Serwer administracyjny Red Hat, używany przez Red Hat Directory Server 8.0 EL4 i EL5, nieprawidłowo ogranicza dostęp do skryptów CGI, co umożliwia zdalnym atakującym wykonywanie działań administracyjnych.
Podatność SQL injection w systemie BosClassifieds Classified Ads 3.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr cat w pliku index.php.
Powłoka Korn (mksh) przed wersją R33d na MirOS (MirBSD) nie opróżnia I/O tty przy uruchamianiu mksh w nowym terminalu. Umożliwia to lokalnym użytkownikom uzyskanie uprawnień poprzez otwarcie wirtualnego terminala i wprowadzenie sekwencji poleceń, które mogą być później wykonane przez innego użytkownika uruchamiającego mksh z opcją -T.