Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.18)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Funkcja alterSearchQuery w wtyczce CM Downloads Manager dla WordPressa przed wersją 2.0.4 umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez parametr CMDsearch.
Routery SEIL serii, w tym PPP Access Concentrator i Dial-Up Networking, są podatne na atak typu denial of service, który może prowadzić do restartu urządzenia. Atakujący mogą wykorzystać specjalnie skonstruowane pakiety GRE lub MPPE, aby wywołać ten problem.
Routery SEIL Series od Internet Initiative Japan Inc. w wersjach SEIL/X1 2.50 do 4.62, SEIL/X2 2.50 do 4.62, SEIL/B1 2.50 do 4.62 oraz SEIL/x86 Fuji 1.70 do 3.22 są podatne na atak typu denial of service. Atakujący mogą wykorzystać dużą liczbę żądań NTP w krótkim czasie, co prowadzi do nadmiernego zużycia CPU i ruchu sieciowego.
Urządzenia FUJITSU F-12C, ARROWS Tab LTE F-01D, ARROWS Kiss F-03D oraz REGZA Phone T-01D dla systemu Android umożliwiają lokalnym użytkownikom wykonywanie dowolnych poleceń poprzez nieokreślone wektory.
W Lsyncd w wersji 2.1.5 i wcześniejszych, skrypt default-rsyncssh.lua umożliwia zdalnym atakującym wykonywanie dowolnych poleceń poprzez wykorzystanie metaznaków powłoki w nazwie pliku.
Sterownik urządzenia hx170dec w Huawei P2-6011 przed wersją V100R001C00B043 pozwala lokalnym użytkownikom na odczyt i zapis do dowolnych lokalizacji pamięci za pomocą nieokreślonych wektorów.
W funkcji CheckEmail w pliku includes/functions.class.php w PBBoard 3.0.1 przed 20141128 występuje podatność na wstrzykiwanie SQL, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr email na stronie rejestracji.
Router Technicolor TD5130 z oprogramowaniem układowym 2.05.C29GV pozwala zdalnym atakującym na wykonywanie dowolnych poleceń poprzez metaznaki powłoki w polu ping (parametr setobject_ip).
W podatności CVE-2014-3997 występuje luka typu SQL injection w serwlecie MetadataServlet w ManageEngine Password Manager Pro oraz IT360, co pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL.
Podatność typu SQL injection w serwlecie LinkViewFetchServlet w ManageEngine Desktop Central oraz innych produktach ManageEngine pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr sv.
Wielokrotne podatności typu SQL injection w ZOHO ManageEngine OpManager 11.3 i 11.4, IT360 10.3 i 10.4 oraz Social IT Plus 11.0 umożliwiają zdalnym atakującym lub zdalnym uwierzytelnionym użytkownikom wykonywanie dowolnych poleceń SQL.
Podatność SQL injection w serwlecie com.manageengine.opmanager.servlet.UpdateProbeUpgradeStatus w ZOHO ManageEngine OpManager 11.3 i 11.4, IT360 10.3 i 10.4 oraz Social IT Plus 11.0 umożliwia zdalnym atakującym lub zdalnie uwierzytelnionym użytkownikom wykonywanie dowolnych poleceń SQL poprzez parametr probeName.
Podatność na przejście do katalogu w serwlecie FileCollector w ZOHO ManageEngine OpManager 11.4, 11.3 i wcześniejszych wersjach umożliwia zdalnym atakującym zapis i wykonanie dowolnych plików poprzez wykorzystanie parametru FILENAME z sekwencją .. (kropka kropka).
W podatności CVE-2014-9242 występuje luka typu SQL injection w pliku admin/pages/modify.php w WebsiteBaker 2.8.3, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr page_id.
W MyBB (MyBulletinBoard) w wersjach 1.8.x przed 1.8.2 występuje podatność na wstrzykiwanie SQL w pliku member.php, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr question_id w akcji do_register.
Podatność typu SQL injection w usłudze IPS Connect w Invision Power Board 3.3.x i 3.4.x do wersji 3.4.7 przed 20141114 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id[].
Podatność SQL injection w Proticaret E-Commerce 3.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez element tem:Code w żądaniu SOAP.
W podatności CVE-2014-9157 występuje luka w funkcji yyerror w bibliotece Graphviz, która pozwala zdalnym atakującym na wykorzystanie specyfikatorów formatu w nieznanych wektorach, co prowadzi do nieokreślonego wpływu.
W routerze bezprzewodowym Huawei Honor Cube WS860s przed wersją V100R001C02B222 występuje podatność na nieograniczone przesyłanie plików. Atakujący mogą przesłać plik z rozszerzeniem wykonywalnym, co pozwala na zdalne wykonanie dowolnego kodu.
Canto Curses przed wersją 0.9.0 zawiera podatność, która pozwala zdalnym serwerom feedów na wykonywanie dowolnych poleceń poprzez metaznaki powłoki w URL feedu.