CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.04)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Microsoft Visual Studio 6.0 umożliwia zdalnym atakującym spowodowanie odmowy usługi (uszkodzenie pamięci) oraz potencjalne wykonanie dowolnego kodu poprzez instancjonowanie określonych obiektów ActiveX COM Visual Studio 6.0 w przeglądarce Internet Explorer, w tym tcprops.dll, fp30wec.dll, mdt2db.dll, mdt2qd.dll oraz vi30aut.dll.
W PhpAlbum w wersji 2.15 dla PortailPHP występuje podatność na zdalne dołączanie plików w pliku sommaire_admin.php. Atakujący mogą wykonać dowolny kod PHP, wykorzystując parametr chemin w URL.
Podatność SQL injection w pliku comments.php w IwebNegar 1.1 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru id.
Podatność typu SQL injection w pliku index.php w systemie zarządzania treścią ezPortal/ztml CMS 1.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez różne parametry, takie jak about, album, id, use, desc, doc, mname, max oraz inne.
Podatność na wstrzykiwanie CRLF w pliku links.php w NX5Linx 1.0 umożliwia zdalnym atakującym wstrzykiwanie dowolnych nagłówków HTTP oraz przeprowadzanie ataków na rozdzielanie odpowiedzi HTTP poprzez sekwencję CRLF w parametrze url.
Podatność SQL injection w NX5Linx 1.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) c i (2) l.
Funkcje file_exists i imap_reopen w PHP przed wersją 5.1.5 nie sprawdzają ustawień safe_mode i open_basedir, co pozwala lokalnym użytkownikom na ich obejście.
Wielokrotne podatności na zdalne włączenie pliku w PHP w Visual Shapers ezContents 2.0.3 pozwalają zdalnym atakującym na wykonanie dowolnego kodu PHP poprzez pusty parametr GLOBALS[rootdp] oraz adres URL ftps w parametrach GLOBALS[admin_home] i GLOBALS[language_home]. Dotyczy to kilku plików, w tym diary/event_list.php oraz calendar/calendar.php.
W podatności CVE-2006-4478 występuje luka typu SQL injection w pliku headeruserdata.php w Visual Shapers ezContents 2.0.3, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr groupname.
W PHP przed wersją 5.1.5 występują wielokrotne przepełnienia bufora w stercie w funkcjach str_repeat i wordwrap, gdy są używane na systemach 64-bitowych. Wpływ i wektory ataku nie zostały określone.
Wersje PHP przed 5.1.5 zawierają podatność w rozszerzeniu cURL, która pozwala na użycie opcji CURLOPT_FOLLOWLOCATION, gdy włączone są open_basedir lub safe_mode. To może umożliwić atakującym wykonywanie nieautoryzowanych działań, potencjalnie związanych z pamięcią podręczną realpath.
Funkcja stripos w PHP przed wersją 5.1.5 ma nieznany wpływ oraz wektory ataku związane z odczytem poza granicami pamięci.
Błąd indeksu tablicy w pliku tetrinet.c w wersji 0.7.8 i wcześniejszych pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez pakiet określający ujemną liczbę graczy, która jest używana jako indeks tablicy.
Gonafish.com LinksCaffe w wersjach 2.0 i 3.0 nie ogranicza prawidłowo dostępu do funkcji administracyjnych, co pozwala zdalnym atakującym na uzyskanie pełnych praw administracyjnych poprzez bezpośrednie żądanie do pliku Admin/admin1953.php.
Paessler IPCheck Server Monitor w wersjach przed 5.3.3.639/640 nieprawidłowo implementuje 'listę akceptowalnych adresów IP hostów w ustawieniach sondy', co może prowadzić do nieznanego wpływu i wektorów ataku.
Wiele nieokreślonych podatności w Joomla! przed wersją 1.0.11 umożliwia atakującym ominięcie uwierzytelniania użytkowników poprzez nieznane wektory związane z komendą (1) do_pdf oraz zadaniem (2) emailform com_content.
W podatności CVE-2006-4463 występuje luka typu SQL injection w panelu administracyjnym menedżera FAQ Jetstat.com JS ASP w wersji 1.10. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr pwd (pole hasła).
Joomla! w wersjach przed 1.0.11 pomija niektóre kontrole dotyczące tego, czy _VALID_MOS jest zdefiniowane, co umożliwia atakującym potencjalne zdalne dołączenie plików PHP.
Nieokreślona podatność w pliku PEAR.php w Joomla! przed wersją 1.0.11 umożliwia zdalnym atakującym przeprowadzenie 'zdalnego wykonania', związana z 'błędami wstrzykiwania'.
Microsoft Terminal Server, podczas uruchamiania sesji aplikacji z włączonymi opcjami 'Uruchom program przy logowaniu' oraz 'Zastąp ustawienia z profilu użytkownika i kreatora połączenia klienta', pozwala lokalnym użytkownikom na wykonanie dowolnego kodu poprzez wymuszenie błędu Eksploratora. Opcje te miały na celu ułatwienie użytkownikom, a nie ograniczenie wykonania dowolnego kodu.