Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Microsoft Excel w wersjach od 2000 do 2004 umożliwia atakującym, którzy uzyskają pomoc użytkownika, wykonanie dowolnego kodu poprzez plik .xls z przygotowanym rekordem SELECTION, co prowadzi do uszkodzenia pamięci. Jest to inna podatność niż CVE-2006-1302.
Microsoft Excel w wersjach od 2000 do 2004 umożliwia atakującym, którzy uzyskają pomoc użytkownika, wykonanie dowolnego kodu poprzez plik .xls zawierający spreparowany rekord LABEL, co prowadzi do uszkodzenia pamięci.
Microsoft Excel w wersjach 2000-2004 umożliwia atakującym, przy wsparciu użytkownika, wykonanie dowolnego kodu poprzez plik .xls zawierający spreparowany rekord BIFF z kontrolowanym przez atakującego indeksem tablicy używanym jako wskaźnik funkcji. Jest to znane jako 'Vulnerability of Malformed OBJECT record'.
Przepełnienie bufora w programie Microsoft Excel 2000 do 2003 umożliwia atakującym, przy wsparciu użytkownika, wykonanie dowolnego kodu poprzez plik .xls z odpowiednio przygotowanymi polami w rekordzie SELECTION, co prowadzi do uszkodzenia pamięci.
Microsoft Office Excel w wersjach od 2000 do 2004 umożliwia atakującym, przy wsparciu użytkownika, wykonanie dowolnego kodu poprzez źle sformatowane komentarze w komórkach, co prowadzi do modyfikacji 'krytycznych przesunięć danych' podczas procesu odbudowy.
Przepełnienie bufora w programie Microsoft Excel 2000 do 2003 umożliwia atakującym, którzy uzyskają pomoc użytkownika, wykonanie dowolnego kodu poprzez plik .xls z przygotowanym rekordem COLINFO, co wywołuje przepełnienie podczas operacji wypełniania danych.
Wielokrotne podatności na wstrzykiwanie SQL w CMS Mundo 1.0 build 008, a być może także w innych wersjach, umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez różne parametry, takie jak news_id, searchstring, id, username oraz pola związane z aktualizacją profilu użytkownika.
Podatność na wstrzykiwanie SQL w pliku pages.asp w ASP Stats Generator przed wersją 2.1.2 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru order.
W podatności CVE-2006-3577 zidentyfikowano lukę typu SQL injection w pliku index.php w LifeType 1.0.5. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr Date w domyślnej operacji.
Podatność SQL injection w pliku search.php w SenseSites CommonSense CMS 5.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr Date. Źródło tej informacji jest nieznane, a szczegóły pochodzą z informacji od osób trzecich.
W podatności CVE-2006-3573 występuje luka formatu w funkcji WriteText w pliku agl_text.cpp w wersji 0.9.4 i wcześniejszych Milan Mimica Sparklet. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu poprzez specyfikatory formatu w nazwie gracza.
Podatność SQL injection w pliku topics.php w Blue Dojo Graffiti Forums 1.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr f.
Podatność SQL injection w pliku search.results.php w HiveMail 1.3 i wcześniejszych wersjach umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr fields[].
Wersja 1.0.4 systemu zarządzania treścią Plume CMS zawiera podatności na zdalne włączenie plików PHP, które pozwalają atakującym na wykonanie dowolnego kodu PHP poprzez URL w parametrze _PX_config[manager_path] w plikach index.php, rss.php lub search.php.
Podatność na wstrzykiwanie SQL w pliku forumthread.php w Papoo 3 RC3 i wcześniejszych wersjach umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru msgid.
PlaNet Concept planetNews umożliwia zdalnym atakującym ominięcie uwierzytelnienia i wykonanie dowolnego kodu poprzez bezpośrednie żądanie do news/admin/planetnews.php.
Podatność na przejście katalogu w pliku index.php w MKPortal 1.0.1 Final umożliwia zdalnym atakującym dołączanie i wykonywanie dowolnych lokalnych plików poprzez sekwencje przejścia katalogu w ciasteczku językowym. Atakujący mogą wykorzystać ciasteczko gl_session do wstrzyknięcia sekwencji PHP do pliku error.log, który jest następnie dołączany przez index.php z złośliwymi poleceniami dostępnymi przez parametr ind.
Wielokrotne podatności na wstrzykiwanie SQL w Invision Power Board (IPB) 1.x i 2.x umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez różne parametry w pliku index.php oraz coins_list.php. Problemy te dotyczą parametrów takich jak idcat, code, id oraz member_id.
Wielokrotne podatności na wstrzykiwanie SQL w auraCMS w wersji 1.62 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL oraz usuwanie wszystkich wiadomości w shoutboxie za pomocą parametrów (1) name i (2) pesan.
Wielokrotne podatności na wstrzykiwanie SQL w Invision Power Board (IPB) 1.3 Final umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru CODE w akcjach (1) Stats, (2) Mail i (3) Reg w pliku index.php. Programista zakwestionował tę kwestię, twierdząc, że parametr CODE nie ma kontaktu z bazą danych.