Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.18)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność typu directory traversal w komponencie TS WebProxy w systemach Microsoft Windows umożliwia zdalnym atakującym uzyskanie wyższych uprawnień poprzez odpowiednio skonstruowaną ścieżkę w pliku wykonywalnym. Może to prowadzić do eskalacji uprawnień z niskiej integralności do średniej integralności.
Podatność w Microsoft Windows Server 2003 SP2, Server 2008 SP2 i R2 SP1 oraz Server 2012 Gold i R2 umożliwia zdalnym atakującym spowodowanie odmowy usługi poprzez specjalnie przygotowane ciągi nazw użytkowników. Atak ten wpływa na Internet Authentication Service (IAS) oraz Network Policy Server (NPS).
Przepełnienie bufora w usłudze Telnet w systemach Microsoft Windows, takich jak Windows Server 2003 SP2, Windows Vista SP2, Windows Server 2008 SP2 i R2 SP1, Windows 7 SP1, Windows 8, Windows 8.1 oraz Windows Server 2012 Gold i R2, umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez odpowiednio skonstruowane pakiety.
Usługa profilu użytkownika w systemach Windows umożliwia lokalnym użytkownikom uzyskanie podwyższonych uprawnień poprzez przeprowadzenie ataku junction, co pozwala na załadowanie rejestru innego użytkownika.
Funkcja AhcVerifyAdminContext w ahcache.sys w komponentach zgodności aplikacji w systemach Windows nie weryfikuje, czy token impersonacji jest powiązany z kontem administracyjnym. Umożliwia to lokalnym użytkownikom uzyskanie uprawnień przez uruchomienie AppCompatCache.exe z przygotowanym plikiem DLL.
Podatność typu SQL injection w pliku agenda/indexdate.php w DomPHP w wersji 0.83 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr ids.
W DomPHP w wersji 0.83 i wcześniejszych występuje podatność na atak typu directory traversal, która pozwala zdalnym atakującym na uzyskanie nieokreślonego wpływu poprzez wykorzystanie sekwencji .. (kropka kropka) w parametrze url do photoalbum/index.php.
Przepełnienie bufora w usłudze IMAPd w Qualcomm Eudora WorldMail 9.0.333.0 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez długi ciąg w poleceniu UID.
W podatności CVE-2014-100035 występuje luka typu SQL injection w interfejsie administracyjnym LicensePal ArcticDesk przed wersją 1.2.5, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL.
W Ganesha Digital Library (GDL) w wersji 4.2 występuje wiele podatności na ataki typu SQL injection, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr id w plikach download.php oraz main.php.
W mTouch Quiz przed wersją 3.0.7 dla WordPress występuje podatność na wstrzykiwanie SQL w pliku question.php, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr quiz w wp-admin/edit.php.
W podatności CVE-2014-100020 występuje luka typu SQL injection w pliku ChangeEmail.php w iTechClassifieds 3.03.057, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL za pomocą parametru PreviewNum.
W podatności CVE-2014-100019 występuje luka typu SQL injection w konwerterze LTree w Pomm przed wersją 1.1.5, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL za pomocą nieokreślonych wektorów.
W programie pdmwService.exe w SolidWorks Workgroup PDM 2014 SP2 występuje wiele przepełnień bufora na stosie, które mogą być wykorzystane przez zdalnych atakujących do wykonania dowolnego kodu. Atak może być przeprowadzony poprzez wysłanie długiego ciągu znaków w określonych opcode'ach do portu 3000.
W aplikacji Sendy w wersji 1.1.8.4 występuje podatność na wstrzykiwanie SQL, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr i.
W podatności CVE-2014-100011 występuje luka typu SQL injection w module /send-to w Sendy 1.1.9.1, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL za pomocą parametru c.
W podatności CVE-2014-10029 występuje luka typu SQL injection w pliku profile.php w systemie FluxBB przed wersją 1.4.13 oraz 1.5.x przed wersją 1.5.7. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru req_new_email.
Wiele błędów związanych z podpisem liczb całkowitych w DirectShowDemuxFilter, używanym w Divx Web Player, Divx Player i innych wtyczkach Divx, umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez wprowadzenie (1) wartości ujemnej lub (2) dużej wartości w kawałku formatu strumienia (STRF) w pliku AVI, co prowadzi do przepełnienia bufora na stercie.
Wielokrotne podatności na wstrzykiwanie SQL w TopicsViewer 3.0 Beta 1 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id w plikach edit_block.php, edit_cat.php, edit_note.php lub rmv_topic.php w admincp/.
Wtyczka WP Symposium w wersji 14.11 dla WordPressa zawiera podatność na nieograniczone przesyłanie plików, co pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez przesłanie pliku z rozszerzeniem wykonywalnym.