Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność SQL injection w plikach mod w index.php w BXCP 0.3.0.4 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr where w akcji view.
Przepełnienie całkowitej liczby w pliku player.c w libwmf 0.2.8.4, używanym w wielu produktach, takich jak wv, abiword, freetype, gimp, libgsf i imagemagick, umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez pole nagłówka MaxRecordSize w pliku WMF.
W funkcji CG_ServerCommand w silniku Quake 3, używanym przez Soldier of Fortune 2 (SOF2MP) GOLD 1.03, występuje przepełnienie bufora na stosie. Atakujący zdalnie mogą spowodować awarię usługi oraz potencjalnie wykonać złośliwy kod, wysyłając długą komendę z serwera.
Polecenie passwd w systemie shadow w Ubuntu 5.04 do 6.06 LTS, gdy jest wywoływane z flagami -f, -g lub -s, nie sprawdza kodu zwrotnego wywołania setuid. Może to umożliwić lokalnym użytkownikom uzyskanie uprawnień roota w przypadku niepowodzenia setuid, na przykład w wyniku błędów PAM lub ograniczeń zasobów.
W podatności CVE-2006-3355 występuje przepełnienie bufora w stercie w pliku httpdget.c w wersjach mpg123 przed 0.59s-rll. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu poprzez długi URL, który nie jest prawidłowo zakończony przed użyciem z funkcją strncpy.
Podatność SQL injection w VirtuaStore 2.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr hasła podczas logowania.
Wersja 1.1.1 Randshop zawiera podatność na zdalne dołączanie plików w pliku includes/header.inc.php, co pozwala zdalnym atakującym na wykonanie dowolnego kodu PHP poprzez parametr dateiPfad.
Podatność CVE-2006-3374 dotyczy zdalnego włączenia pliku w PHP w pliku index.php w Randshop w wersji 1.2 i wcześniejszych, w tym 0.9.3. Umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrze incl.
Podatność SQL injection w pliku index.php w wtyczce NP_SEO w BLOG:CMS przed wersją 4.1.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru id.
Wielokrotne podatności na wstrzykiwanie SQL w pliku index.php w NewsPHP 2006 PRO umożliwiają zdalnym atakującym wstrzykiwanie dowolnych skryptów webowych lub HTML poprzez parametry (1) words, (2) id, (3) topmenuitem, (4) cat_id w (a) index.php oraz (5) category w (b) inc/rss_feed.php.
Wtyczka winbind w pppd dla ppp 2.4.4 i wcześniejszych nie sprawdza kodu zwrotnego z wywołania funkcji setuid, co może umożliwić lokalnym użytkownikom uzyskanie uprawnień poprzez spowodowanie niepowodzenia setuid, na przykład przez przekroczenie limitów PAM dla maksymalnej liczby procesów użytkownika.
Wersje HSPcomplete 3.2.2 oraz 3.3 Beta i wcześniejsze zawierają wiele podatności na ataki typu SQL injection. Atakujący zdalnie mogą wykonywać dowolne polecenia SQL poprzez parametry (1) type w pliku report.php oraz (2) level w pliku custom_buttons.php.
Router bezprzewodowy Siemens Speedstream 2624 pozwala lokalnym użytkownikom na ominięcie uwierzytelniania i dostęp do chronionych plików za pomocą komponentu Universal Plug and Play UPnP/1.0.
W podatności CVE-2006-3346 występuje luka typu SQL injection w pliku tree.php w MyNewsGroups 0.6, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr grp_id.
W SmS Script występuje wiele podatności na wstrzykiwanie SQL, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr CatID w plikach cat.php oraz add.php.
Podatność SQL injection w pliku index.php w deV!Lz Clanportal DZCP 1.3.4 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id.
W module MyAds 2.04jp dla Xoops występuje podatność na wstrzykiwanie SQL w pliku annonces-p-f.php, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr lid.
Podatność CVE-2006-3343 dotyczy zdalnego włączenia pliku w PHP w pliku recipe/cookbook.php w CrisoftRicette 1.0pre15b. Umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrze crisoftricette.
Nieokreślona podatność w poleceniu mkdir w systemie HP-UX B.11.00, B.11.04, B.11.11 oraz B.11.23 umożliwia lokalnym użytkownikom uzyskanie podwyższonych uprawnień poprzez nieznane wektory ataku.
Podatność SQL injection w pliku search.php w PHP/MySQL Classifieds umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru rate.