CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.10)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Podatność na przejście katalogu w komponencie Image Browser (com_imagebrowser) w wersji 0.1.5 dla Joomla! umożliwia zdalnym atakującym dołączanie i wykonywanie dowolnych lokalnych plików poprzez użycie sekwencji .. (kropka kropka) w parametrze folder w pliku index.php.
Podatność na przejście katalogu w pliku rss.php w ArabCMS 2.0 beta 1 pozwala zdalnym atakującym na dołączenie i wykonanie dowolnych lokalnych plików poprzez użycie sekwencji .. (kropka kropka) w parametrze rss.
Podatność typu SQL injection w PG Matchmaking umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id w plikach news_read.php oraz gifts_show.php.
W kontrolce ActiveX QvodInsert.QvodCtrl.1 (QvodInsert.dll) w odtwarzaczu QVOD przed wersją 2.1.5 build 0053 występuje przepełnienie bufora oparte na stercie, które pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez długą właściwość URL.
Podatność typu SQL injection w rozszerzeniu M1 Intern (m1_intern) w wersji 1.0.0 dla TYPO3 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory.
Podatność typu SQL injection w rozszerzeniu Mannschaftsliste (kiddog_playerlist) w wersji 1.0.3 i wcześniejszych dla TYPO3 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą nieokreślonych wektorów.
Podatność na wstrzykiwanie SQL w rozszerzeniu JobControl (dmmjobcontrol) w wersji 1.15.4 i wcześniejszych dla TYPO3 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory.
Podatność typu SQL injection w wtyczce Econda (econda) w wersji 0.0.2 i wcześniejszych dla TYPO3 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory.
Podatność typu SQL injection w rozszerzeniu Frontend Users View (feusersview) w wersji 0.1.6 i wcześniejszych dla TYPO3 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory.
Podatność na wstrzykiwanie SQL w rozszerzeniu Simple survey (simplesurvey) w wersji 1.7.0 i wcześniejszych dla TYPO3 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory.
W VLC Media Player w wersjach od 0.9.0 do 0.9.4 występuje przepełnienie bufora na stosie w funkcji parse_master wtyczki demux Ty. Atakujący zdalnie mogą wykonać dowolny kod, wykorzystując plik multimedialny TiVo TY z nagłówkiem zawierającym spreparowaną wartość rozmiaru.
W podatności CVE-2008-4653 występuje luka typu SQL injection w pliku makale.php w wersji 0.26 i prawdopodobnie innych wersjach modułu Makale dla XOOPS. Umożliwia to zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id.
Przepełnienie bufora w kontrolce ActiveX (DartFtp.dll) w Dart Communications PowerTCP FTP dla ActiveX w wersji 2.0.2 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez długą właściwość SecretKey.
Podatność SQL injection w pliku viewevent.php w myEvent 1.6 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr eventdate.
Podatność na oszustwo sesji w Elxis CMS 2008.1 w wersji 2204 umożliwia zdalnym atakującym przejęcie sesji internetowych poprzez ustawienie parametru PHPSESSID.
Podatność SQL injection w pliku index.php w sweetCMS 1.5.2 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr page.
W PhpWebGallery w wersji 1.7.2 i wcześniejszych, plik plugins/event_tracer/event_list.php pozwala zdalnym, uwierzytelnionym administratorom na wykonanie dowolnego kodu PHP poprzez sekwencje PHP w parametrze sort, który jest przetwarzany przez funkcję create_function.
W pliku hits.php w myWebland myStats występuje podatność, która pozwala zdalnym atakującym na obejście ograniczeń adresów IP poprzez zmodyfikowany nagłówek HTTP X-Forwarded-For.
W hits.php w myWebland myStats występuje podatność na wstrzykiwanie SQL, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr sortby.
Podatność SQL injection w pliku profile.php w AstroSPACES 1.1.1 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id w akcji wyświetlania.