Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Nieokreślona podatność w mechanizmie rozwiązywania zależności w Ruby on Rails w wersjach od 1.1.0 do 1.1.5 pozwala zdalnym atakującym na wykonanie dowolnego kodu Ruby poprzez URL, który nie jest prawidłowo obsługiwany w kodzie routingu. Może to prowadzić do zablokowania aplikacji lub utraty danych.
Podatność SQL injection w pliku view_com.php w PHPMyRing w wersji 4.2.0 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr idsite.
Ruby on Rails w wersjach przed 1.1.5 umożliwia zdalnym atakującym wykonanie kodu Ruby z 'poważnym' lub 'ciężkim' wpływem poprzez żądanie przesyłania plików z nagłówkiem HTTP, który modyfikuje zmienną LOAD_PATH. Jest to inna podatność niż CVE-2006-4112.
Podatność CVE-2006-4103 dotyczy zdalnego włączenia pliku w PHP w pliku article-raw.php w Jason Alexander phNNTP w wersji 1.3 i wcześniejszych. Umożliwia ona zdalnym atakującym wykonanie dowolnego kodu PHP poprzez podanie adresu URL w parametrze file_newsportal.
W module wyszukiwania ofert pracy (job.module) w Drupal w wersji 4.6 przed poprawką 1.3.2.1 występuje podatność na wstrzykiwanie SQL. Umożliwia to zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez wyszukiwanie ofert pracy lub CV.
Podatność typu SQL injection w module Bibliography (biblio.module) w wersjach 4.6 przed rewizją 1.1.1.1.4.11 oraz 4.7 przed rewizją 1.13.2.5 dla Drupal umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą nieokreślonych wektorów.
Funkcja decompress w pliku compress42.c w ncompress 4.2.4 oraz liblzw pozwala zdalnym atakującym na spowodowanie odmowy usługi (awarii) oraz potencjalne wykonanie dowolnego kodu poprzez spreparowane dane, które prowadzą do niedoboru bufora.
W podatności CVE-2006-4102 występuje zdalne dołączanie plików w PHP w pliku tpl.inc.php w SQLiteWebAdmin w wersji 0.1 i wcześniejszych. Umożliwia to zdalnym atakującym wykonywanie dowolnego kodu PHP poprzez podanie adresu URL w parametrze conf[classpath].
Podatność CVE-2006-4083 dotyczy zdalnego włączenia pliku w PHP w pliku viewevent.php w myWebland myEvent 1.x. Umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrze myevent_path.
Nieokreślona podatność w phpAutoMembersArea (phpAMA) przed wersją 3.2.4, która może prowadzić do krytycznego zagrożenia bezpieczeństwa. Wpływ oraz wektory ataku są nieznane.
W pliku preview_email.cgi w Barracuda Spam Firewall (BSF) w wersjach od 3.3.01.001 do 3.3.03.053 istnieje podatność, która pozwala zdalnym atakującym na wykonywanie poleceń za pomocą metaznaków powłoki w parametrze pliku. Atak może być rozszerzony na dowolne polecenia dzięki obecności CVE-2006-4000.
Barracuda Spam Firewall (BSF), prawdopodobnie w wersji 3.3.03.053, zawiera twardo zakodowane hasło dla konta administratora, które umożliwia logowanie z adresu 127.0.0.1 (localhost). To pozwala lokalnym użytkownikom na uzyskanie uprawnień administratora.
Podatność zdalnego dołączania plików w PHP w projekcie The Search Engine Project (TSEP) w wersji 0.942 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnego kodu PHP poprzez URL w parametrze tsep_config[absPath] w pliku pagenavigation.php. Jest to inny wektor niż CVE-2006-4055.
Podatność zdalnego dołączania plików w PHP w CheckUpload.php w Vincenzo Valvano Comet WebFileManager (CWFM) 0.9.1 oraz prawdopodobnie wcześniejszych wersjach, umożliwia zdalnym atakującym wykonywanie dowolnego kodu PHP poprzez URL w parametrze Language.
W systemie PM w DeluxeBB 1.08, a być może także w wcześniejszych wersjach, zdalni atakujący mogą obejść uwierzytelnianie, podając dowolną nazwę użytkownika w parametrze cookie membercookie.
Wielokrotne podatności na zdalne włączenie pliku w PHP w phpCC Beta 4.2 Fabiana Hainza pozwalają zdalnym atakującym na wykonanie dowolnego kodu PHP poprzez URL w parametrze base_dir w plikach (1) login.php, (2) reactivate.php lub (3) register.php.
Wersja 2.0 i wcześniejsze Turnkey Web Tools PHP Live Helper zawierają podatność na zdalne dołączanie plików w pliku global.php. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu PHP poprzez podanie złośliwego URL w parametrze abs_path.
Wiele podatności na zdalne włączenie plików PHP w Csaba Godor SAPID Blog Beta 2 i wcześniejszych pozwala zdalnym atakującym na wykonanie dowolnego kodu PHP poprzez URL w parametrze (1) root_path do (a) usr/extensions/get_blog_infochannel.inc.php, (b) usr/extensions/get_blog_meta_info.inc.php lub (c) usr/extensions/get_infochannel.inc.php; lub parametrze (2) GLOBALS[root_path] do (d) usr/extensions/get_tree.inc.php.
W systemie ME Download System w wersji 1.3 występuje wiele podatności na zdalne włączenie plików PHP, które pozwalają zdalnym atakującym na wykonanie dowolnego kodu PHP poprzez odpowiednie parametry URL w plikach inc/sett_style.php, inc/sett_smilies.php oraz inc/datei.php.
Przepełnienie bufora w funkcji preview_create w pliku gui.cpp w Mitch Murray Eremove 1.4 umożliwia zdalnym atakującym spowodowanie awarii aplikacji (denial of service) oraz potencjalne wykonanie dowolnego kodu poprzez dużą załączoną wiadomość e-mail.