Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność CVE-2006-4275 dotyczy zdalnego włączenia pliku w PHP w pliku catalogshop.php komponentu CatalogShop dla Mambo. Umożliwia ona zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrze mosConfig_absolute_path.
Podatność na wstrzykiwanie SQL w pliku topic_post.php w XennoBB w wersji 2.2.1 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr icon_topic.
W podatności CVE-2006-4271 występuje luka w zdalnym dołączaniu plików w pliku install/upgrade_301.php w Jelsoft vBulletin 3.5.4, która pozwala zdalnym atakującym na wykonanie dowolnego kodu PHP poprzez URL w parametrze step. Producent zakwestionował tę podatność, twierdząc, że domyślny vBulletin wymaga uwierzytelnienia przed użyciem systemu aktualizacji.
Wielokrotne podatności na wstrzykiwanie SQL w CubeCart 3.0.11 i wcześniejszych wersjach umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) oid w pliku modules/gateway/Protx/confirmed.php oraz (2) x_invoice_num w pliku modules/gateway/Authorize/confirmed.php.
Jelsoft vBulletin w wersji 3.5.4 pozwala zdalnym atakującym na rejestrowanie wielu dowolnych użytkowników, co może prowadzić do odmowy usługi poprzez nadmierne zużycie zasobów w wyniku dużej liczby żądań do pliku register.php.
Podatność CVE-2006-4269 dotyczy zdalnego włączenia pliku w PHP w pliku admin.x-shop.php w komponencie x-shop (com_x-shop) w wersji 1.7 i wcześniejszych dla Mambo i Joomla!. Umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrze mosConfig_absolute_path.
Wiele podatności typu zdalne włączenie pliku PHP w module Product Scroller oraz innych modułach w mambo-phpshop (com_phpshop) dla Mambo i Joomla! pozwala zdalnym atakującym na wykonanie dowolnego kodu PHP poprzez URL w parametrze mosConfig_absolute_path.
Nieokreślona podatność w funkcji setlocale w systemie IBM AIX w wersjach od 5.1.0 do 5.3.0 umożliwia lokalnym użytkownikom uzyskanie podwyższonych uprawnień poprzez nieokreślone wektory.
Podatność współbieżności w Mozilla Firefox 1.5.0.6 i wcześniejszych wersjach pozwala zdalnym atakującym na spowodowanie awarii (denial of service) oraz potencjalne wykonanie dowolnego kodu poprzez wielokrotne zdarzenia czasowe JavaScript, które ładują głęboko zagnieżdżony plik XML, a następnie przekierowują przeglądarkę na inną stronę. To prowadzi do błędu współbieżności, który powoduje niewłaściwe zwalnianie struktur.
Wiele podatności typu remote file inclusion w POWERGAP umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrze (1) shopid w plikach (a) s01.php, (b) s02.php, (c) s03.php oraz (d) s04.php; a także potencjalnie URL znajdujący się po 'shopid=' lub 'sid=' w PATH_INFO.
W podatności CVE-2006-4239 występuje luka w zdalnym dołączaniu plików w pliku include/urights.php w Outreach Project Tool (OPT) w wersji Max 1.2.6 i wcześniejszych. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrze CRM_inc.
W funkcjonalności importu projektów w Sony SonicStage Mastering Studio w wersjach od 1.1.00 do 2.2.01 występuje przepełnienie bufora, które pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez spreparowany plik SMP.
Podatność CVE-2006-4241 dotyczy zdalnego włączenia pliku w PHP w komponencie Reporter Mambo (com_reporter). Umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrze mosConfig_absolute_path.
Podatność SQL injection w pliku torrents.php w WebTorrent (WTcom) w wersji 0.2.4 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr cat w trybie kategorii.
Wersja 3.7 Fusion News zawiera podatność na zdalne włączenie pliku w index.php, która pozwala zdalnym atakującym na wykonanie dowolnego kodu PHP poprzez podanie złośliwego URL w parametrze fpath.
W systemie Invisionix Roaming System Remote (IRSR) w wersji 0.2 i wcześniejszych występuje podatność na zdalne dołączanie plików PHP w pliku pageheaderdefault.inc.php. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrze _sysSessionPath.
AOL 9.0 Security Edition w wersji 4184.2340 oraz prawdopodobnie inne wersje, stosuje niebezpieczne uprawnienia (wszyscy/pełna kontrola) dla katalogu 'America Online 9.0', co pozwala lokalnym użytkownikom na uzyskanie uprawnień poprzez zastąpienie krytycznych plików.
Wersja 2.0.4 i wcześniejsze dotProject zawierają podatność na zdalne włączenie pliku PHP w pliku classes/query.class.php, co pozwala zdalnym atakującym na wykonanie dowolnego kodu PHP poprzez URL w parametrze baseDir.
Wielokrotne podatności na zdalne dołączanie plików PHP w index.php w Lizge V.20 Web Portal umożliwiają zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrach (1) lizge lub (2) bade.
Symantec Veritas NetBackup PureDisk Remote Office Edition 6.0 przed MP1 20060816 umożliwia zdalnym atakującym ominięcie uwierzytelniania i uzyskanie uprawnień poprzez nieznane wektory ataku w interfejsie zarządzania.