Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W e107 w wersji 0.7 zidentyfikowano wiele potencjalnych podatności na wstrzyknięcie SQL, które mogą umożliwić zdalnym atakującym wykonywanie dowolnych poleceń SQL. Dotyczą one różnych parametrów w plikach signup.php, subcontent.php, upload.php oraz usersettings.php.
Podatność SQL injection w pliku mod.php w phpCOIN 1.2.2 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą ciasteczka phpcoinsessid.
Podatność SQL injection w pliku link.php w Arab Portal System 2 Beta 2 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez (1) PHPSESSID (identyfikator sesji) lub (2) REQUEST_URI (ciąg zapytania).
Podatność SQL injection w pliku forum.php w PHPWebThings 1.4 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr msg. Jest to inna podatność niż CVE-2005-3585.
Podatność na wstrzykiwanie SQL w pliku gallery.php w EncapsGallery w wersji 1.0.0 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id.
W Utopia News Pro (UNP) w wersji 1.1.4 zidentyfikowano wiele potencjalnych podatności na ataki typu SQL injection. Atakujący zdalnie mogą wykonać dowolne polecenia SQL poprzez różne parametry w kilku plikach skryptów.
Usługa administracyjna (FMSAdmin.exe) w Macromedia Flash Media Server 2.0 r1145 umożliwia zdalnym atakującym spowodowanie awarii aplikacji poprzez wysłanie źle sformułowanego żądania z pojedynczym znakiem na port 1111.
Microsoft Internet Explorer w wersjach 5.01, 5.5 i 6 umożliwia zdalnym atakującym spowodowanie awarii aplikacji oraz potencjalne wykonanie dowolnego kodu poprzez stronę internetową z osadzonymi CLSID-ami, które odnoszą się do określonych obiektów COM, nieprzeznaczonych do użycia w Internet Explorerze.
Procedura zakończenia wątków w jądrze systemu Windows NT 4.0 i 2000 (NTOSKRNL.EXE) pozwala lokalnym użytkownikom na modyfikację pamięci jądra oraz przepływu wykonania. W wyniku zakończenia wątku, wpisy Asynchronous Procedure Call (APC) mogą zwolnić niewłaściwe dane, co stanowi podatność w jądrze systemu Windows.
Podatność na wstrzykiwanie SQL w pliku index.php w Netref 3.0 pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL za pomocą parametru cat. Pochodzenie tego problemu jest nieznane, a szczegóły uzyskano wyłącznie z zewnętrznych źródeł.
Wielokrotne podatności na wstrzykiwanie SQL w Scout Portal Toolkit (SPT) w wersji 1.3.1 i wcześniejszych umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez różne parametry w plikach PHP. W szczególności dotyczy to parametrów ParentId, ResourceId, ResourceOffset oraz F_UserName i F_Password.
Podatność typu SQL injection w skrypcie BTGrup Admin WebController umożliwia zdalnym atakującym wykonywanie poleceń SQL poprzez pola (1) Nazwa użytkownika i (2) Hasło.
W MyBulletinBoard (MyBB) przed wersją 1.0 występuje wiele nieokreślonych podatności, które mają nieznany wpływ i wektory ataku. Są to inne podatności niż te zidentyfikowane w CVE-2005-4199.
LogiSphere w wersji 0.9.9j nie ogranicza liczby wiadomości, które mogą być wysyłane, co pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez wysyłanie dużej liczby wiadomości za pomocą polecenia msg.
W MyBulletinBoard (MyBB) przed wersją 1.0 występuje wiele podatności na wstrzykiwanie SQL, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL. Atakujący mogą wykorzystać różne parametry w plikach calendar.php, usercp.php, member.php, showthread.php oraz ratethread.php.
Podatność w Nortel SSL VPN 4.2.1.6 pozwala zdalnym atakującym na wykonywanie dowolnych poleceń poprzez link w parametrze 'a', który jest wykonywany z dodatkowymi uprawnieniami w kryptograficznie podpisanym aplecie Java.
Polecenie 'Prześlij nowy obraz' w eFiction 1.1 umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez przesłanie pliku z rozszerzeniem .php, który zawiera nagłówek GIF. Taki plik przechodzi weryfikację poprawności obrazu, co pozwala na wykonanie kodu PHP zawartego w pliku.
eFiction w wersjach 1.0, 1.1 i 2.0 może umożliwić zdalnym atakującym przeprowadzanie nieautoryzowanych operacji poprzez bezpośredni dostęp do plików install.php lub upgrade.php. Nie jest jasne, czy jest to podatność w eFiction, czy wynik niewłaściwych praktyk administracyjnych.
W eFiction 1.0 występuje kilka podatności na wstrzykiwanie SQL, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL. Atak może być przeprowadzony poprzez parametry 'let' w akcji viewlist w pliku authors.php oraz 'sid' w pliku viewstory.php.
Wielokrotne podatności na wstrzykiwanie SQL w forum ASP-DEV ASP Resources umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr (1) forum_id w forum.asp, (2) nieokreślone parametry w register.asp oraz (3) pole 'Szukaj' w search.asp.