Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.11)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Sterownik jądra OAmon.sys w wersji 3.1.0.0 i wcześniejszych w programach Tall Emu Online Armor Personal Firewall AV+ przed 3.5.0.12 oraz Personal Firewall 3.5 przed 3.5.0.14 umożliwia lokalnym użytkownikom podniesienie uprawnień poprzez spreparowane żądania IOCTL typu METHOD_NEITHER do urządzenia \Device\OAmon, zawierające dowolne adresy jądra, co zademonstrowano przy użyciu IOCTL 0x830020C3.
Podatność na przejście do katalogu w pliku change_config.php w ADbNewsSender przed wersją 1.5.6 umożliwia zdalnym atakującym dołączenie i wykonanie dowolnych lokalnych plików poprzez wykorzystanie sekwencji .. (kropka kropka) w parametrze path_to_lang.
Wielokrotne podatności związane z formatowaniem ciągów w funkcji dispatch_command w libmysqld/sql_parse.cc w MySQL od wersji 4.0.0 do 5.0.83 mogą pozwolić zdalnym, uwierzytelnionym użytkownikom na spowodowanie awarii demona (denial of service) oraz potencjalnie innych nieokreślonych skutków poprzez specyfikatory formatów w nazwie bazy danych w żądaniach (1) COM_CREATE_DB lub (2) COM_DROP_DB.
Podatność na przejście do katalogu w pliku maillinglist/setup/step1.php.inc w ADbNewsSender przed wersją 1.5.6 oraz 2.0 przed RC2, umożliwia zdalnym atakującym dołączenie i wykonanie dowolnych lokalnych plików poprzez użycie .. (kropka kropka) w parametrze path_to_lang w setup/index.php.
Wielokrotne podatności na wstrzykiwanie SQL w aplikacji Web Development House Alibaba Clone umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) IndustryID w pliku category.php oraz (2) SellerID w pliku supplier/view_contact_details.php.
Podatność SQL injection w pliku page.php w oprogramowaniu do randek Online MyPHPDating 1.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr page_id.
Przepełnienie bufora w implementacji wywołań systemowych w IBM AIX 5.3 umożliwia lokalnym użytkownikom uzyskanie podwyższonych uprawnień poprzez nieokreślone wektory.
W Tausch Ticket Script 3 występuje wiele podatności na wstrzykiwanie SQL, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL. Atak może być przeprowadzony poprzez parametry userid w pliku suchauftraege_user.php oraz descr w pliku vote.php, a także inne nieokreślone wektory.
W podatności CVE-2009-2427 występuje luka typu SQL injection w pliku co-profile.php w Jobbr 2.2.7, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr emp_id.
Podatność SQL injection w pliku category.php w Ebay Clone 2009 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr cate_id w akcji list.
Wtyczka Awingsoft Awakening Winds3D Viewer w wersjach 3.5.0.0, 3.0.0.5 oraz prawdopodobnie innych, zawiera lukę w metodzie, która umożliwia zdalnym atakującym wymuszenie pobrania i wykonania dowolnych plików za pomocą metody GetURL.
Moduł mod_deflate w Apache httpd w wersji 2.2.11 i wcześniejszych kompresuje duże pliki do momentu zakończenia, nawet po zamknięciu powiązanego połączenia sieciowego. To może umożliwić zdalnym atakującym spowodowanie odmowy usługi poprzez zużycie CPU.
WebKit w Apple Safari przed wersją 4.0.2 oraz KHTML w kdelibs w KDE i QtWebKit nieprawidłowo obsługują numeryczne odniesienia do znaków. To może umożliwić zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie awarii aplikacji poprzez spreparowany dokument HTML.
Podatność w Ocsinventory-Agent przed wersją 0.0.9.3 oraz 1.x przed wersją 1.0.1 umożliwia lokalnym użytkownikom uzyskanie uprawnień poprzez złośliwy moduł Perl w dowolnym katalogu.
W SCMPX 1.5.1 występuje przepełnienie bufora oparte na stercie, które umożliwia zdalnym atakującym spowodowanie awarii aplikacji lub wykonanie dowolnego kodu poprzez długi ciąg w pliku listy odtwarzania .m3u.
W module forum w PHPEcho CMS 2.0-rc3 występuje podatność na wstrzykiwanie SQL w pliku index.php, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr id w akcji wątku. Jest to inny wektor niż w przypadku CVE-2008-0355.
Podatność typu SQL injection w komponencie PHP (com_php) dla Joomla! umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id w pliku index.php.
Wersja 1.9.2 DM Albums, używana samodzielnie lub jako wtyczka WordPress, zawiera podatność na zdalne włączenie pliku PHP w pliku template/album.php. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu PHP poprzez podanie adresu URL w parametrze SECURITY_FILE.
Podatność SQL injection w komponencie K2 (com_k2) w wersji 1.0.1 Beta i wcześniejszych dla Joomla! umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr category w akcji itemlist w pliku index.php.
Podatność typu SQL injection w pliku cat.php w SMSPages 1.0 w Mr.Saphp Arabic Script Mobile 2.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr CatID.