Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.11)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność na przejście katalogu w komponencie Roland Breedveld Album (com_album) w wersji 1.14 dla Joomla! umożliwia zdalnym atakującym dostęp do dowolnych katalogów oraz wywołanie nieokreślonych innych skutków poprzez użycie sekwencji .. (kropka kropka) w parametrze target w pliku index.php.
Podatność CVE-2009-3317 dotyczy zdalnego włączenia pliku w PHP w pliku pages/pageHeader.php w OpenSiteAdmin 0.9.7 BETA. Umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez podanie URL w parametrze ścieżki.
Podatność SQL injection w komponencie JReservation (com_jreservation) w wersjach 1.0 i 1.5 dla Joomla! umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr pid w akcji propertycpanel do index.php.
W podatności CVE-2009-3315 występuje luka typu SQL injection w pliku admin/index.php w NeLogic Nephp Publisher Enterprise w wersjach 3.5.9 i 4.5. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez pole 'Nazwa użytkownika'.
Podatność SQL injection w pliku ladders.php w Elite Gaming Ladders 3.2 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr platform.
Podatność SQL injection w pliku index.php w Zainu 1.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr album_id w akcji AlbumSongs.
Podatność SQL injection w pliku index.cfm w CF ShopKart 5.4 beta umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr itemid w akcji ViewDetails. Jest to inny wektor niż CVE-2008-6320.
Podatność SQL injection w pliku show-cat.php w FanUpdate 2.2.1 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr listingid.
Wielokrotne podatności na zdalne dołączanie plików w PHP w FSphp 0.2.1 umożliwiają zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrze FSPHP_LIB w plikach (1) FSphp.php, (2) navigation.php oraz (3) pathwrite.php w katalogu lib/.
Podatność CVE-2009-3306 dotyczy zdalnego włączenia pliku w PHP w pliku include/header.php w ClearSite 4.50. Umożliwia ona zdalnym atakującym wykonanie dowolnego kodu PHP poprzez podanie złośliwego URL w parametrze cs_base_path.
Nieokreślona podatność w funkcji imagecolortransparent w PHP przed wersją 5.2.11, związana z nieprawidłowym sprawdzeniem poprawności indeksu koloru.
Nieokreślona podatność w PHP przed wersją 5.2.11 oraz w wersjach 5.3.x przed 5.3.1, związana z brakiem odpowiednich kontroli poprawności w przetwarzaniu danych EXIF.
Funkcja php_openssl_apply_verification_policy w PHP przed wersją 5.2.11 nieprawidłowo wykonuje walidację certyfikatów, co może prowadzić do problemów związanych z fałszowaniem certyfikatów.
Funkcja kvm_emulate_hypercall w KVM w jądrze Linuxa w wersjach przed 2.6.31 nie blokuje dostępu do hypercalli MMU z poziomu ring 0. To umożliwia lokalnym użytkownikom systemu gościa wywołanie awarii jądra gościa oraz odczyt lub zapis pamięci jądra gościa przez nieokreślone 'losowe adresy'.
Funkcja g_file_copy w glib 2.0 ustawia uprawnienia pliku docelowego na uprawnienia dowiązania symbolicznego (777), co pozwala lokalnym użytkownikom, przy wsparciu innych użytkowników, na modyfikację plików innych użytkowników. Przykładem jest użycie Nautilusa do zmiany uprawnień katalogu domowego użytkownika.
W serwerze WWW Thin przed wersją 1.2.4, plik lib/thin/connection.rb polega na nagłówku X-Forwarded-For do określenia adresu IP klienta. Umożliwia to zdalnym atakującym fałszowanie adresu IP i ukrywanie swoich działań za pomocą zmodyfikowanego nagłówka X-Forwarded-For.
Błąd związany z podpisem liczby całkowitej w funkcji find_ie w podsystemie cfg80211 w jądrze Linux przed wersją 2.6.31.1-rc1 umożliwia zdalnym atakującym spowodowanie odmowy usługi (soft lockup) poprzez wysyłanie źle sformatowanych pakietów.
Podatność CVE-2009-3273 dotyczy aplikacji Mail w systemie iPhone OS, która nie weryfikuje certyfikatów X.509. To umożliwia atakującym typu man-in-the-middle podszywanie się pod dowolne serwery e-mail SSL za pomocą spreparowanego certyfikatu.
Nieokreślona podatność w IBM WebSphere Application Server (WAS) 6.1 przed wersją 6.1.0.27 umożliwia zdalnym atakującym spowodowanie odmowy usługi poprzez nieznane wektory, związane z błędem w poprawkach 6.1.0.23 i 6.1.0.25.
W Go-oo w wersjach 2.x i 3.x przed 3.0.1 występują wielokrotne przepełnienia bufora w stercie w pliku cppcanvas/source/mtfrenderer/emfplus.cxx. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany plik EMF+.