Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.10)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Przepełnienie bufora w środowisku uruchomieniowym Java (JRE) dla Sun JDK i JRE 6 Update 10 oraz wcześniejszych, a także JDK i JRE 5.0 Update 16 oraz wcześniejszych, SDK i JRE 1.4.2_18 oraz wcześniejszych, oraz SDK i JRE 1.3.1_23 oraz wcześniejszych, może umożliwić zdalnym atakującym wykonanie dowolnego kodu, związane z operacją ConvolveOp w bibliotece Java AWT.
Java Runtime Environment (JRE) dla Sun JDK i JRE 6 Update 10 oraz wcześniejszych wersji może pozwolić zdalnym atakującym na wykonanie dowolnego kodu poprzez spreparowany plik GIF, który powoduje uszkodzenie pamięci podczas wyświetlania ekranu powitalnego, prawdopodobnie związane z splashscreen.dll.
Przepełnienie całkowitoliczbowe w Java Runtime Environment (JRE) dla Sun JDK i JRE 6 Update 10 i wcześniejszych, a także JDK i JRE 5.0 Update 16 i wcześniejszych oraz SDK i JRE 1.4.2_18 i wcześniejszych, może umożliwić zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany plik czcionki TrueType, co prowadzi do przepełnienia bufora w pamięci.
W JRE dla Sun JDK i JRE 6 Update 10 oraz wcześniejszych, a także JDK i JRE 5.0 Update 16 oraz wcześniejszych, występuje przepełnienie bufora oparte na stercie. Atakujący zdalnie mogą wykorzystać spreparowany plik czcionki TrueType do wykonania dowolnego kodu.
Funkcja 'Java Update' w Java Runtime Environment (JRE) dla Sun JDK i JRE 6 Update 10 oraz wcześniejszych, JDK i JRE 5.0 Update 16 oraz wcześniejszych, a także SDK i JRE 1.4.2_18 oraz wcześniejszych, nie weryfikuje podpisu pobieranego JRE, co umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez ataki typu man-in-the-middle w DNS.
W JRE dla Sun JDK i JRE 6 Update 10 oraz wcześniejszych, a także JDK i JRE 5.0 Update 16 oraz wcześniejszych, występuje przepełnienie bufora na stosie. Umożliwia to lokalnie uruchamianym oraz potencjalnie zdalnym, nieufnym aplikacjom Java wykonanie dowolnego kodu poprzez plik JAR z długim wpisem Main-Class w manifeście.
Środowisko uruchomieniowe Java (JRE) dla Sun JDK i JRE 6 Update 10 oraz wcześniejszych, JDK i JRE 5.0 Update 16 oraz wcześniejszych, a także SDK i JRE 1.4.2_18 oraz wcześniejszych, nie egzekwuje poprawnie kontekstu obiektów ZoneInfo podczas deserializacji. To pozwala zdalnym atakującym na uruchamianie nieufnych apletów i aplikacji w uprzywilejowanym kontekście.
Przepełnienie całkowite w narzędziu do rozpakowywania JAR (unpack200) w bibliotece unpack (unpack.dll) w Java Runtime Environment (JRE) dla Sun JDK i JRE 6 Update 10 oraz wcześniejszych, a także JDK i JRE 5.0 Update 16 oraz wcześniejszych, umożliwia nieufnym aplikacjom i apletom uzyskanie uprawnień poprzez plik JAR skompresowany za pomocą Pack200, co prowadzi do przepełnienia bufora w stercie.
Środowisko uruchomieniowe Java (JRE) dla Sun JDK i JRE 6 Update 10 oraz wcześniejszych, JDK i JRE 5.0 Update 16 oraz wcześniejszych, a także SDK i JRE 1.4.2_18 oraz wcześniejszych akceptuje kodowania UTF-8, które nie są 'najkrótszą' formą. Umożliwia to atakującym ominięcie mechanizmów ochronnych innych aplikacji, które polegają na najkrótszych kodowaniach UTF-8.
Nieokreślona podatność w Java Runtime Environment (JRE) dla Sun JDK i JRE 6 Update 10 oraz wcześniejszych, a także JDK i JRE 5.0 Update 16 oraz wcześniejszych, umożliwia zdalnym atakującym spowodowanie odmowy usługi (zużycie CPU) za pomocą spreparowanego klucza publicznego RSA.
Nieokreślona podatność w Java Runtime Environment (JRE) dla Sun JDK i JRE 6 Update 10 i wcześniejszych, JDK i JRE 5.0 Update 16 i wcześniejszych oraz SDK i JRE 1.4.2_18 i wcześniejszych, podczas korzystania z uwierzytelniania Kerberos, umożliwia zdalnym atakującym spowodowanie odmowy usługi (zużycie zasobów systemowych) za pomocą nieznanych wektorów.
Wiele nieokreślonych podatności w Java Runtime Environment (JRE) dla Sun JDK i JRE 6 Update 10 oraz wcześniejszych wersji umożliwia nieufnym apletom i aplikacjom uzyskanie uprawnień poprzez wektory związane z dostępem do klas wewnętrznych w pakietach (1) JAX-WS i (2) JAXB.
Nieokreślona podatność w Java Runtime Environment (JRE) dla Sun JDK i JRE 5.0 Update 16 oraz wcześniejszych wersji; SDK i JRE 1.4.2_18 oraz wcześniejszych; oraz SDK i JRE 1.3.1_23 lub wcześniejszych, umożliwia nieufnym apletom i aplikacjom odczyt dowolnej pamięci za pomocą spreparowanego pliku ZIP.
Nieokreślona podatność w środowisku uruchomieniowym Java (JRE) w wersjach Sun JDK i JRE 6 Update 10 i wcześniejszych, JDK i JRE 5.0 Update 16 i wcześniejszych, SDK i JRE 1.4.2_18 i wcześniejszych oraz SDK i JRE 1.3.1_23 i wcześniejszych, pozwala na odczyt dowolnych plików oraz nawiązywanie nieautoryzowanych połączeń z localhostem przez nieznane wektory.
Nieokreślona podatność w Java Web Start (JWS) i Java Plug-in w Sun JDK oraz JRE 6 Update 10 i wcześniejszych, JDK i JRE 5.0 Update 16 i wcześniejszych oraz SDK i JRE 1.4.2_18 i wcześniejszych, pozwala na nieautoryzowany dostęp do plików oraz nawiązywanie nieautoryzowanych połączeń sieciowych przez nieufne aplety.
Java Web Start (JWS) oraz Java Plug-in w Sun JDK i JRE 6 Update 10 i wcześniejszych, JDK i JRE 5.0 Update 16 i wcześniejszych oraz SDK i JRE 1.4.2_18 i wcześniejszych umożliwiają zdalnym atakującym nawiązywanie nieautoryzowanych połączeń sieciowych oraz przejmowanie sesji HTTP za pomocą spreparowanego pliku, który jest uznawany zarówno za plik GIF, jak i plik Java JAR, znanego jako 'GIFAR'.
Nieokreślona podatność w Java Web Start (JWS) i Java Plug-in w Sun JDK oraz JRE 6 Update 10 i wcześniejszych, a także JDK i JRE 5.0 Update 16 i wcześniejszych oraz SDK i JRE 1.4.2_18 i wcześniejszych, umożliwia nieufnym aplikacjom JWS uzyskanie uprawnień do dostępu do lokalnych plików lub aplikacji za pomocą nieznanych wektorów.
Podatność w Sun Java Web Start i Java Plug-in dla JDK i JRE 6 Update 10 i wcześniejszych, JDK i JRE 5.0 Update 16 i wcześniejszych oraz SDK i JRE 1.4.2_18 i wcześniejszych pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez spreparowany plik jnlp, który modyfikuje właściwości systemowe (1) java.home, (2) java.ext.dirs lub (3) user.home.
W podatności CVE-2008-5337 występuje luka typu SQL injection w pliku lyrics.php w systemie Bandwebsite (znanym również jako system portalu Bandsite) w wersji 1.5. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru id.
Podatność na wstrzykiwanie SQL w pliku index.php w WebStudio CMS umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru pageid.