CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
CISA KEV catalog updated: (v2026.08.03)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
TikiWiki CMS/Groupware w wersjach przed 6.7 LTS i 8.4 pozwala zdalnym atakującym na wykonanie dowolnego kodu PHP poprzez spreparowany obiekt zserializowany w określonych parametrach. W szczególności dotyczy to parametrów w plikach tiki-print_multi_pages.php, tiki-print_pages.php oraz tiki-send_objects.php.
W podatności CVE-2012-1891 występuje przepełnienie bufora w stercie w Microsoft Data Access Components (MDAC) 2.8 SP1 i SP2 oraz Windows Data Access Components (WDAC) 6.0. Atakujący zdalnie mogą wykonać dowolny kod poprzez spreparowane dane XML, które powodują dostęp do niezainicjowanego obiektu w pamięci.
Nieokreślona podatność w składniku Java Runtime Environment (JRE) w Oracle Java SE 7 aktualizacja 4 i wcześniejszych, 6 aktualizacja 32 i wcześniejszych, 5 aktualizacja 35 i wcześniejszych oraz 1.4.2_37 i wcześniejszych, umożliwia zdalnym atakującym wpływanie na poufność, integralność i dostępność poprzez nieznane wektory związane z Hotspot.
Nieokreślona podatność w komponencie Java Runtime Environment (JRE) w Oracle Java SE 7 Update 2 i wcześniejszych, 6 Update 30 i wcześniejszych oraz 5.0 Update 33 i wcześniejszych, pozwala zdalnym atakującym wpływać na poufność, integralność i dostępność poprzez nieznane wektory związane z współbieżnością. Istnieją sugestie, że problem wynika z implementacji klasy AtomicReferenceArray, która nie zapewnia, że tablica jest typu Object[].
Implementacje IPv4 i IPv6 w jądrze Linuxa przed wersją 3.1 wykorzystują zmodyfikowany algorytm MD4 do generowania numerów sekwencyjnych oraz wartości identyfikacji fragmentów. Umożliwia to zdalnym atakującym łatwiejsze przewidywanie tych wartości i wysyłanie spreparowanych pakietów.
Wersje Atlassian JIRA przed 5.0.1, Confluence przed 3.5.16, 4.0 przed 4.0.7, 4.1 przed 4.1.10, FishEye i Crucible przed 2.5.8, 2.6 przed 2.6.8, 2.7 przed 2.7.12, Bamboo przed 3.3.4 i 3.4.x przed 3.4.5 oraz Crowd przed 2.0.9, 2.1 przed 2.1.2, 2.2 przed 2.2.9, 2.3 przed 2.3.7 i 2.4 przed 2.4.1 nieprawidłowo ograniczają możliwości zewnętrznych parserów XML, co pozwala zdalnym atakującym na odczyt dowolnych plików lub spowodowanie odmowy usługi (zużycie zasobów) za pomocą nieokreślonych wektorów.
W PHP przed wersją 5.3.12 oraz 5.4.x przed wersją 5.4.2, w przypadku konfiguracji jako skrypt CGI, występuje problem z obsługą ciągów zapytań, które nie zawierają znaku =. To umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez umieszczanie opcji wiersza poleceń w ciągu zapytań.
Proces VMX w VMware ESXi 3.5 do 4.1 oraz ESX 3.5 do 4.1 nieprawidłowo obsługuje polecenia RPC, co pozwala użytkownikom systemu gościa na spowodowanie odmowy usługi (przepełnienie pamięci i awaria procesu) lub potencjalne wykonanie dowolnego kodu na systemie gospodarza za pomocą wskaźników danych.
Nieokreślona podatność w komponencie Oracle WebCenter Forms Recognition w Oracle Fusion Middleware 10.1.3.5 umożliwia zdalnym atakującym wpływanie na poufność, integralność i dostępność poprzez nieznane wektory związane z Designerem, różniące się od podatności CVE-2012-1709.
Modicon Quantum PLC firmy Schneider Electric nie wykonuje uwierzytelniania między oprogramowaniem Unity a PLC, co umożliwia zdalnym atakującym spowodowanie odmowy usługi lub potencjalne wykonanie dowolnego kodu za pomocą nieokreślonych wektorów.
Adobe Reader i Acrobat przed wersją 9.5 oraz 10.x przed wersją 10.1.2 na systemach Windows i Mac OS X umożliwiają atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi (uszkodzenie pamięci) poprzez nieokreślone wektory. Jest to inna podatność niż CVE-2011-4370 i CVE-2011-4372.
Adobe Reader i Acrobat przed wersją 9.5 oraz 10.x przed wersją 10.1.2 na systemach Windows i Mac OS X umożliwiają atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi (uszkodzenie pamięci) poprzez nieokreślone wektory. Jest to inna podatność niż CVE-2011-4370 i CVE-2011-4373.
Komponent ExceptionDelegator w Apache Struts przed wersją 2.2.3.1 interpretuje wartości parametrów jako wyrażenia OGNL podczas obsługi wyjątków związanych z niedopasowaniem typów danych właściwości. To umożliwia zdalnym atakującym wykonanie dowolnego kodu Java poprzez odpowiednio przygotowany parametr.
Nieokreślona podatność w komponencie U3D w Adobe Reader i Acrobat w wersjach 10.1.1 i wcześniejszych na systemach Windows i Mac OS X oraz w Adobe Reader 9.x do 9.4.6 na systemach UNIX, umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi (uszkodzenie pamięci) poprzez nieznane wektory. Podatność była wykorzystywana w atakach w grudniu 2011 roku.
Przepełnienie całkowitej liczby w implementacji TCP/IP w systemach Microsoft Windows Vista SP2, Windows Server 2008 SP2, R2, R2 SP1 oraz Windows 7 Gold i SP1 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez wysłanie sekwencji spreparowanych pakietów UDP do zamkniętego portu.
Nieokreślona podatność w komponencie Java Runtime Environment w Oracle Java SE JDK i JRE 7 oraz 6 Update 27 i wcześniejszych pozwala zdalnym, nieufnym aplikacjom Java Web Start oraz nieufnym apletom Java wpływać na poufność, integralność i dostępność poprzez nieznane wektory związane z skryptowaniem.
Funkcja NSPLookupServiceNext w kliencie Microsoft Forefront Threat Management Gateway (TMG) 2010 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez nieokreślone żądania, co jest znane jako 'Podatność na uszkodzenie pamięci klienta TMG Firewall'.
Podatność w DNSAPI.dll w kliencie DNS systemów Microsoft Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008 oraz Windows 7 pozwala na niewłaściwe przetwarzanie zapytań DNS. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowane zapytanie LLMNR lub aplikację.
W Exim przed wersją 4.70 występuje przepełnienie bufora oparte na stercie w funkcji string_vformat, co pozwala zdalnym atakującym na wykonanie dowolnego kodu. Atak wymaga sesji SMTP z dwoma poleceniami MAIL oraz dużą wiadomością zawierającą spreparowane nagłówki.
OpenSSH 5.6 and earlier, when J-PAKE is enabled, does not properly validate the public parameters in the J-PAKE protocol. This allows remote attackers to bypass the need for knowledge of the shared secret and successfully authenticate by sending crafted values in each round of the protocol.