Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.02)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
VERITAS Backup Exec w wersjach 9.0 do 10.0 dla serwerów Windows oraz 9.0.4019 do 9.1.307 dla Netware, umożliwia zdalnym atakującym spowodowanie awarii usługi (crash Remote Agent) poprzez (1) spreparowany pakiet w NDMLSRVR.DLL lub (2) pakiet żądania z nieprawidłową wartością 'Error Status', co prowadzi do dereferencji wskaźnika null.
VERITAS Backup Exec Server (beserver.exe) w wersjach od 9.0 do 10.0 dla systemu Windows umożliwia zdalnym, nieautoryzowanym atakującym modyfikację rejestru poprzez wywoływanie metod interfejsu RPC na porcie TCP 6106.
Podatność na wstrzykiwanie SQL w pliku config_settings.php dla Cacti przed wersją 0.8.6e umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru id.
Wielokrotne podatności na wstrzykiwanie SQL w DUware DUforum 3.1, a być może także w innych wersjach, umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) iMsg w messages.asp, (2) iFor w post.asp, (3) forums.asp lub (4) id w userEdit.asp. Warto zauważyć, że wektory 1 i 3 zgłoszono później jako wpływające na wersję 3.0.
Wielokrotne podatności na wstrzykiwanie SQL w DUware DUamazon Pro 3.0 i 3.1 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez różne parametry w skryptach ASP.
Wielokrotne podatności na wstrzykiwanie SQL w DUware DUportal PRO 3.4.3 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez różne parametry w aplikacji. Atakujący mogą wykorzystać parametry takie jak iChannel, iData, iMem, iCat, offset oraz iChannel w różnych skryptach.
Wielokrotne podatności typu SQL injection w DUware DUpaypal Pro 3.0 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez różne parametry w skryptach ASP.
W podatności CVE-2005-1526 w Cacti przed wersją 0.8.6e występuje luka umożliwiająca zdalne włączenie pliku PHP w pliku config_settings.php. Atakujący mogą wykorzystać parametr config[include_path] do wykonania dowolnego kodu PHP.
Podatność typu SQL injection w ekranie logowania interfejsu webowego (NmConsole/Login.asp) dla IpSwitch WhatsUp Professional 2005 SP1 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez pola (1) Nazwa użytkownika (parametr sUserName) lub (2) Hasło (parametr sPassword).
Wielokrotne podatności na wstrzykiwanie SQL w DUware DUclassmate 1.2 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) iState w default.asp lub (2) iPro w edit.asp.
Podatność na wstrzykiwanie SQL w pliku index.php dla MercuryBoard w wersji 1.1.4 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pośrednictwem nagłówka User-Agent HTTP.
W Fortibus CMS w wersji 4.0.0 występuje kilka podatności na wstrzykiwanie SQL, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL. Atak może być przeprowadzony poprzez podanie złośliwych danych w formularzach logowania, wyświetlania notatek tygodniowych lub na stronie wyszukiwania.
W Ublog Reload w wersji 1.0.5 występuje wiele podatności na ataki typu SQL injection, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL. Atak może być przeprowadzony poprzez parametry ci, d, m w pliku index.asp lub parametr bi w pliku blog_comment.asp.
W paFAQ 1.0 Beta 4 występuje kilka podatności na wstrzykiwanie SQL w procesie logowania, które pozwalają zdalnym atakującym na wykonanie dowolnych poleceń SQL oraz ominięcie uwierzytelniania poprzez parametry (1) nazwa użytkownika lub (2) id.
Serwer XMLRPC w utils.rb dla biblioteki ruby (libruby) w wersji 1.8 ustawia nieprawidłową wartość domyślną, co uniemożliwia zastosowanie 'ochrony bezpieczeństwa' przy użyciu handlerów. To pozwala zdalnym atakującym na wykonywanie dowolnych poleceń.
Wersje VERITAS Backup Exec Remote Agent 9.0 do 10.0 dla systemu Windows oraz 9.0.4019 do 9.1.307 dla Netware zawierają podatność na przepełnienie bufora na stosie. Atakujący zdalnie mogą wykonać dowolny kod, wysyłając żądanie CONNECT_CLIENT_AUTH z metodą uwierzytelniania typu 3 (poświadczenia Windows) oraz długim argumentem hasła.
Funkcja send_pinentry_environment w pliku asshelp.c w gpg2 na systemie SUSE Linux 9.3 nieprawidłowo obsługuje niektóre opcje, co może uniemożliwić znalezienie pinentry i powodować niepowodzenie podpisywania S/MIME.
amaroK Web Frontend 1.3 przechowuje plik globals.inc w katalogu głównym serwisu bez rozszerzenia .php oraz z niewystarczającą kontrolą dostępu, co umożliwia zdalnym atakującym uzyskanie nazwy użytkownika i hasła do bazy danych poprzez bezpośrednie żądanie do tego pliku.
Urządzenie Enterasys Vertical Horizon VH-2402S przed wersją oprogramowania 2.05.05.09 posiada wbudowane konto i hasło do debugowania, co umożliwia zdalnym atakującym uzyskanie uprawnień.
Podatność na przejście do katalogu w InteractivePHP FusionBB w wersji .11 Beta i wcześniejszych umożliwia zdalnym atakującym dołączenie dowolnych lokalnych plików za pomocą sekwencji '..' w parametrze języka.