CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.04)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
MitiSoft przechowuje wrażliwe informacje pod katalogiem głównym serwisu internetowego bez odpowiedniej kontroli dostępu, co umożliwia zdalnym atakującym pobranie bazy danych zawierającej hasła poprzez bezpośrednie żądanie dostępu do pliku access_MS/MitiSoft.mdb.
OhhASP przechowuje wrażliwe informacje pod katalogiem głównym serwisu internetowego bez odpowiedniej kontroli dostępu, co umożliwia zdalnym atakującym pobranie bazy danych zawierającej hasła poprzez bezpośrednie żądanie do pliku db/OhhASP.mdb.
Podatność SQL injection w pliku down.asp w Kolayindir Download (Yenionline) umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id.
Podatność SQL injection w pliku orange.asp w systemie ShopStoreNow E-commerce Shopping Cart umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr CatID.
HarikaOnline 2.0 przechowuje wrażliwe informacje pod katalogiem webowym bez odpowiedniej kontroli dostępu, co umożliwia zdalnym atakującym pobranie bazy danych zawierającej hasła poprzez bezpośrednie żądanie do pliku harikaonline.mdb.
M-Core przechowuje bazę danych w katalogu głównym dokumentów sieciowych, co umożliwia zdalnym atakującym uzyskanie poufnych informacji poprzez bezpośrednie żądanie do pliku db/uyelik.mdb.
W podatności CVE-2007-0132 występuje luka typu SQL injection w pliku compare_product.php w iGeneric iG Shop w wersji 1.4, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr id.
Nieokreślona podatność w funkcji DECnet-Plus 7.3-2 w DECnet/OSI 7.3 dla OpenVMS ALPHA oraz w DECnet-Plus 7.3 w DECnet/OSI 7.3 dla OpenVMS VAX, umożliwia atakującym uzyskanie 'niezamierzonego dostępu z uprawnieniami do danych i zasobów systemowych' poprzez nieokreślone wektory, związane z określonymi plikami.
Podatność SQL injection w pliku user.php w iGeneric iG Calendar 1.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id.
Wielokrotne podatności na wstrzykiwanie SQL w pliku display_review.php w iGeneric iG Shop w wersji 1.4 i wcześniejszych umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) id lub (2) user_login_cookie.
Wielokrotne podatności na wstrzykiwanie kodu w iGeneric iG Shop 1.0 umożliwiają zdalnym atakującym wykonanie dowolnego kodu poprzez parametr action, który jest przekazywany do funkcji eval w plikach cart.php i page.php. Późniejsze analizy wskazują, że podatność ta występuje również w wersji 1.4.
Podatność typu SQL injection w pliku main.asp w LocazoList 2.01a beta5 i wcześniejszych wersjach umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru subcatID.
Podatność na wstrzykiwanie SQL w pliku info_book.asp w Digirez 3.4 i wcześniejszych wersjach umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr book_id.
JAMWiki przed wersją 0.5.0 nie sprawdza poprawnie uprawnień podczas przenoszenia 'tematów tylko do odczytu lub tylko dla administratorów', co pozwala zdalnym atakującym na dokonywanie nieautoryzowanych zmian w wiki.
Wsparcie dla SVG w JavaScript w przeglądarce Opera przed wersją 9.10 nieprawidłowo waliduje typy obiektów w żądaniu createSVGTransformFromMatrix. To umożliwia zdalnym atakującym wykonanie dowolnego kodu za pomocą kodu JavaScript, który wykorzystuje nieprawidłowy obiekt w tym żądaniu.
W Opera 9.02 występuje przepełnienie bufora na stercie, które pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez plik JPEG z nieprawidłową liczbą bajtów indeksu w znaczniku Define Huffman Table (DHT).
Digger Solutions Intranet Open Source (IOS) przechowuje wrażliwe informacje w katalogu głównym serwisu internetowego bez odpowiedniej kontroli dostępu. Umożliwia to zdalnym atakującym pobranie bazy danych zawierającej hasła poprzez bezpośrednie żądanie do pliku data/intranet.mdb.
Narzędzie DiskManagementTool w frameworku DiskManagement w wersji 92.29 na Mac OS X 10.4.8 nieprawidłowo weryfikuje pliki Bill of Materials (BOM). To umożliwia atakującym uzyskanie uprawnień poprzez plik BOM w katalogu /Library/Receipts/, co prowadzi do dowolnych zmian uprawnień plików podczas wykonywania operacji naprawy uprawnień diskutil.
Podatność SQL injection w pliku cats.asp w funkcji createauction umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr catid.
W usłudze CSAdmin w Cisco Secure Access Control Server (ACS) dla systemu Windows przed wersją 4.1 oraz w ACS Solution Engine przed wersją 4.1 występuje przepełnienie bufora na stosie. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowane żądanie HTTP GET.