Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność CVE-2006-3323 dotyczy zdalnego włączenia pliku w skrypcie admin/admin.php w MF Piadas 1.0, co pozwala zdalnym atakującym na wykonanie dowolnego kodu PHP poprzez parametr page. Istnieje również możliwość wykorzystania tej samej wektora do ataków typu cross-site scripting.
Przepełnienie bufora w funkcji png_decompress_chunk w pliku pngrutil.c w libpng przed wersją 1.2.12 umożliwia atakującym zależnym od kontekstu spowodowanie odmowy usługi oraz potencjalne wykonanie dowolnego kodu poprzez nieokreślone wektory związane z 'przetwarzaniem błędów chunk'.
Podatność SQL injection w pliku index.php w Zorum Forum 3.5 pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametry (1) offset, (2) tid, (3) fromid, (4) sortby, (5) fromfrommethod oraz (6) fromfromlist.
W OpenOffice.org (znanym również jako StarOffice) występuje przepełnienie bufora oparte na stercie w wersjach 1.1.x do 1.1.5 oraz 2.0.x przed 2.0.3. Atakujący, przy pomocy specjalnie przygotowanego dokumentu XML OpenOffice, mogą wykonać dowolny kod, co dotyczy aplikacji Calc, Draw, Impress, Math i Writer.
OpenOffice.org (znany również jako StarOffice) w wersjach 1.1.x do 1.1.5 oraz 2.0.x przed 2.0.3 umożliwia atakującym, którzy uzyskają pomoc od użytkownika, przeprowadzenie nieautoryzowanych działań za pomocą dokumentu OpenOffice z złośliwym makrem BASIC, które jest wykonywane bez pytania użytkownika.
Nieokreślona podatność w apletach Java w OpenOffice.org 1.1.x (znanym również jako StarOffice) do wersji 1.1.5 oraz 2.0.x przed wersją 2.0.3 pozwala na ucieczkę z piaskownicy Java przez atakujących wspomaganych przez użytkownika, co umożliwia przeprowadzenie nieautoryzowanych działań za pomocą określonych apletów w dokumentach OpenOffice.
W podatności CVE-2006-3315 występuje luka w pliku page.php w nieokreślonym produkcie RahnemaCo.com, prawdopodobnie eShop, która umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrze osCsid.
Podatność CVE-2006-3314 dotyczy zdalnego włączenia pliku w PHP w pliku page.php w nieokreślonym produkcie RahnemaCo.com, prawdopodobnie eShop. Umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrze pageid.
Podatność na wstrzykiwanie SQL w pliku cp.php w DeluxeBB w wersji 1.07 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru xmsn.
Wersja 2.0 i wcześniejsze PhpMySms zawierają podatność na zdalne dołączanie plików w pliku sms_config/gateway.php, co pozwala zdalnym atakującym na wykonanie dowolnego kodu PHP poprzez URL w parametrze ROOT_PATH.
Wielokrotne podatności na wstrzykiwanie SQL w silniku bbsengine projektu EROS przed wersją bbsengine-20060429-1550-jam umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieokreślone parametry w pliku php/comment.php oraz metodę getpartialmatches w pliku php/aolbonics.php.
Podatność SQL injection w pliku view.php w Open Guestbook 0.5 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr offset.
Podatność typu SQL injection w pliku SPT--ForumTopics.php w Scout Portal Toolkit (SPT) w wersji 1.4.0 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr forumid.
Nieokreślona podatność w kodzie wpprop dla silnika bbsengine Project EROS przed wersją 20060622-0315 może prowadzić do nieznanego wpływu oraz zdalnych wektorów ataku za pomocą tagów [img], potencjalnie umożliwiając ataki typu cross-site scripting (XSS).
Podatność SQL injection w narzędziu wyszukiwania w Jaws 0.6.2 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez zapytania z użyciem słowa kluczowego 'LIKE' w parametrze searchdata (pole wyszukiwania).
Interfejs webowy w Cisco IOS 12.3(8)JA i 12.3(8)JA1, używany w punktach dostępowych i mostach bezprzewodowych Cisco, przestawia się na ustawienie 'Tylko lokalna lista użytkowników (indywidualne hasła)', co usuwa wszystkie konfiguracje zabezpieczeń i haseł, umożliwiając zdalnym atakującym dostęp do systemu.
Wewnętrzna baza danych w Cisco Wireless Control System (WCS) dla systemów Linux i Windows przed wersją 3.2(63) przechowuje zakodowaną na sztywno nazwę użytkownika i hasło w postaci niezaszyfrowanej w nieokreślonych plikach. To umożliwia zdalnym uwierzytelnionym użytkownikom dostęp do bazy danych.
Cisco Wireless Control System (WCS) dla systemów Linux i Windows w wersji 4.0(1) i wcześniejszych używa domyślnej nazwy użytkownika administratora 'root' oraz hasła 'public', co umożliwia zdalnym atakującym uzyskanie dostępu do systemu.
W podatności CVE-2006-3270 występuje luka typu SQL injection w pliku cms_admin.php w THoRCMS w wersji 1.3.1, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez wiele nieokreślonych parametrów, takich jak parametr add_link_mid.
Wewnętrzna baza danych w systemie Cisco Wireless Control System (WCS) dla systemów Linux i Windows przed wersją 3.2(51) wykorzystuje niedokumentowaną, twardo zakodowaną nazwę użytkownika i hasło. Umożliwia to zdalnym, uwierzytelnionym użytkownikom odczyt oraz potencjalną modyfikację wrażliwych danych konfiguracyjnych.