CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.09)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Podatność na przejście katalogu w pliku index.php w Simple PHP Agenda 2.2.4 i wcześniejszych wersjach umożliwia zdalnym atakującym dołączenie i wykonanie dowolnych lokalnych plików poprzez użycie sekwencji .. (kropka kropka) w parametrze page.
Podatność SQL injection w pliku default.asp w EfesTECH Shop 2.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr cat_id w akcji urunler.
W podatności CVE-2008-3047 występuje niekompletna lista zablokowanych elementów w rozszerzeniu KB Unpack (kb_unpack) w wersji 0.1.0 i wcześniejszych dla TYPO3. Wpływ oraz wektory ataku są nieznane.
W nieokreślonej podatności w rozszerzeniu PDF Generator 2 (pdf_generator2) w wersji 0.5.0 i wcześniejszych dla TYPO3 występują nieznane wektory ataku związane z 'niechronioną funkcjonalnością testową'.
Podatność na wstrzykiwanie SQL w rozszerzeniu Pinboard w wersji 0.0.6 i wcześniejszych dla TYPO3 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory.
Podatność typu SQL injection w rozszerzeniu Support view (ext_tbl) w wersji 0.0.102 i wcześniejszych dla TYPO3 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory.
Podatność na wstrzykiwanie SQL w rozszerzeniu SQL Frontend (mh_omsqlio) w wersji 1.0.11 i wcześniejszych dla TYPO3 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą nieokreślonych wektorów.
Nieokreślona podatność w rozszerzeniu DAM Frontend (dam_frontend) w wersji 0.1.0 i wcześniejszych dla TYPO3, związana z 'Niewłaściwym zarządzaniem błędami'.
W PHPortal 1.2 Beta występuje wiele podatności na zdalne włączenie plików PHP w pliku sablonlar/gunaysoft/gunaysoft.php, które umożliwiają zdalnym atakującym wykonanie dowolnego kodu PHP poprzez odpowiednie parametry URL: icerikyolu, sayfaid i uzanti.
W phgrafx w QNX Momentics (RTOS) w wersji 6.3.2 i wcześniejszych występuje przepełnienie bufora na stosie, które pozwala lokalnym użytkownikom na uzyskanie podwyższonych uprawnień poprzez długą nazwę pliku .pal w katalogu palette/.
Wielokrotne podatności na wstrzykiwanie SQL w PHPEasyData 1.5.4 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr annuaire w pliku annuaire.php lub pole username w pliku admin/login.php.
Moduł Aggregation w wersji 5.x przed 5.x-4.4 dla Drupala umożliwia zdalnym atakującym przesyłanie plików z dowolnymi rozszerzeniami, co może prowadzić do wykonania dowolnego kodu poprzez odpowiednio przygotowany feed.
Wielokrotne podatności na przejście do katalogu w pliku index.php w FOG Forum 0.8.1 umożliwiają zdalnym atakującym dołączanie i wykonywanie dowolnych lokalnych plików poprzez wykorzystanie sekwencji .. (kropka kropka) w parametrach fog_lang i fog_skin, a także potencjalnie w parametrach fog_pseudo, fog_posted, fog_password i fog_cook.
Wiele podatności typu SQL injection w module Agregacji 5.x przed wersją 5.x-4.4 dla Drupala umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą nieokreślonych wektorów.
Podatność na przejście katalogu w pliku viewprofile.php w JaxUltraBB 2.0 i wcześniejszych wersjach umożliwia zdalnym atakującym odczyt dowolnych lokalnych plików poprzez wykorzystanie sekwencji .. (kropka kropka) w parametrze użytkownika.
Podatność SQL injection w pliku links-extern.php w CiBlog 3.1 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id.
W podatności CVE-2008-2968 występuje luka typu SQL injection w pliku rating.php w Academic Web Tools (AWT YEKTA) w wersjach 1.4.3.1 oraz 1.4.2.8 i wcześniejszych. Umożliwia to zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr book_id.
Przepełnienie bufora w kontrolce ActiveX (vb6skit.dll) w Microsoft Visual Basic Enterprise Edition 6.0 SP6 może umożliwić zdalnym atakującym wykonanie dowolnego kodu poprzez długi argument lpstrLinkPath w funkcji fCreateShellLink.
Podatność SQL injection w pliku guide.php w ResearchGuide 0.5 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id.
Podatność SQL injection w pliku index.php w KbLance umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr cat_id w akcji komentarza.