Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.18)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
CVE-2014-2935 dotyczy podatności w CostView w Caldera 9.20, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń poprzez wykorzystanie metacharakterów powłoki w elemencie methodCall w żądaniu PHP XMLRPC.
Wielokrotne podatności typu SQL injection w Caldera 9.20 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru tr w plikach costview2/jobs.php oraz costview2/printers.php.
Przepełnienie bufora w odtwarzaczu Cisco Advanced Recording Format (ARF) w wersjach T27 LD przed SP32 EP16, T28 przed T28.12 oraz T29 przed T29.2 umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez spreparowany plik .arf.
Przepełnienie bufora w odtwarzaczu Cisco Advanced Recording Format (ARF) w wersjach T27 LD przed SP32 EP16, T28 przed T28.12 oraz T29 przed T29.2 umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez spreparowany plik .arf.
W systemach Cisco WebEx Recording Format (WRF) player występuje przepełnienie bufora oparte na stercie, które może prowadzić do wykonania dowolnego kodu lub awarii aplikacji. Problem dotyczy wersji T27 LD przed SP32 EP16, T28 przed T28.12 oraz T29 przed T29.2.
Przepełnienie bufora w odtwarzaczu Cisco Advanced Recording Format (ARF) w wersjach T27 LD przed SP32 EP16, T28 przed T28.12 oraz T29 przed T29.2 umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez spreparowany plik .arf, który wywołuje nieprawidłową dekompresję LZW.
Odtwarzacze formatu nagrań Cisco WebEx (WRF) oraz formatu zaawansowanego nagrań (ARF) w wersjach T27 LD przed SP32 EP16, T28 przed T28.12 oraz T29 przed T29.2 są podatne na atak, który może prowadzić do awarii aplikacji. Atakujący mogą wykorzystać specjalnie przygotowane pliki .wrf lub .arf, co skutkuje nadmiernym odczytem bufora.
Funkcja Reverse Proxy w IBM Global Security Kit (GSKit) w IBM Security Access Manager (ISAM) przed wersją 7.0.0-ISS-SAM-IF0006 oraz 8.0 przed wersją 8.0.0.3-ISS-WGA-IF0002 jest podatna na atak, który może prowadzić do odmowy usługi poprzez nieskończoną pętlę wywołaną przez spreparowane wiadomości SSL.
Symantec Critical System Protection (SCSP) w wersji przed 5.2.9, zainstalowany na niezałatanej platformie Windows Server 2003 R2, umożliwia zdalnym atakującym obejście ustawień polityki za pomocą nieokreślonych wektorów.
W podatności CVE-2014-2913 w Nagios Remote Plugin Executor (NRPE) 2.15 i wcześniejszych, niekompletna lista zablokowanych znaków pozwala zdalnym atakującym na wykonywanie dowolnych poleceń poprzez wprowadzenie znaku nowej linii w opcji -a do libexec/check_nrpe. Problem ten jest kwestionowany przez różne strony.
Podatność na przejście do katalogu w pliku actionpack/lib/abstract_controller/base.rb w implementacji implicit-render w Ruby on Rails przed wersją 3.2.18, 4.0.x przed 4.0.5 oraz 4.1.x przed 4.1.1, umożliwia zdalnym atakującym odczyt dowolnych plików poprzez spreparowane żądanie, gdy włączone są określone konfiguracje globbing tras.
Amtelco miSecureMessages w wersji 6.2 nie zarządza poprawnie sesjami, co umożliwia zdalnym uwierzytelnionym użytkownikom uzyskanie wrażliwych informacji poprzez zmodyfikowane żądanie wiadomości.
Przepełnienie całkowitej liczby w api.cc w Google V8, używanym w Google Chrome przed wersją 34.0.1847.131 na Windows i OS X oraz przed wersją 34.0.1847.132 na Linux, umożliwia zdalnym atakującym spowodowanie odmowy usługi lub potencjalnie innego nieokreślonego wpływu poprzez dużą wartość długości.
W FastCGI Process Manager (FPM) w PHP przed wersją 5.4.28 oraz 5.5.x przed wersją 5.5.12, używane są uprawnienia 0666 dla gniazda UNIX, co pozwala lokalnym użytkownikom na uzyskanie przywilejów poprzez odpowiednio skonstruowanego klienta FastCGI.
F5 BIG-IQ Cloud i Security w wersjach od 4.0.0 do 4.1.0 pozwala zdalnym uwierzytelnionym użytkownikom na zmianę hasła dowolnych użytkowników poprzez parametr 'name' w żądaniu do strony użytkownika w mgmt/shared/authz/users/.
W podatności CVE-2013-7375 występuje luka typu SQL injection w pliku Authenticate.class.php w PHP-Fusion w wersjach od 7.02.01 do 7.02.05. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez identyfikator użytkownika w ciasteczku użytkownika.
Funkcja setCookieValue w pliku _lib/functions.global.inc.php w LiveZilla przed wersją 5.1.2.1 umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez zserializowany obiekt PHP w ciasteczku.
W PHP-Fusion przed wersją 7.02.06 występuje wiele podatności na wstrzykiwanie SQL, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL. Atakujący mogą wykorzystać różne parametry w plikach takich jak downloads.php, forum/postedit.php, forum/postnewthread.php oraz administration/settings_messages.php.
Funkcja reassembling TCP w module inet w systemie FreeBSD przed wersjami 8.3 p16, 8.4 p9, 9.1 p12, 9.2 p5 oraz 10.0 p2 pozwala zdalnym atakującym na wywołanie odmowy usługi (niezdefiniowany dostęp do pamięci i awaria systemu) lub potencjalne odczytanie pamięci systemowej poprzez wysyłanie wielu spreparowanych pakietów.
W bibliotece string_utf_support.rb w gemie Arabic Prawn 0.0.1 dla Ruby występuje podatność, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń za pomocą metaznaków powłoki w zmiennych downloaded_file lub url.