Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.02)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność na wstrzykiwanie SQL w pliku topic.php w DirectTopics w wersjach 2.1 i 2.2 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr topic.
Wielokrotne podatności typu SQL injection w MidiCart PHP Shopping Cart umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL. Atak może być przeprowadzony poprzez różne parametry w skryptach PHP, takie jak searchstring, maingroup, secondgroup oraz code_no.
W podatności CVE-2005-1509 występuje luka typu SQL injection w pliku profil.php w PwsPHP w wersji 1.2.2, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr id.
MidiCart PHP Shopping Cart umożliwia zdalnym atakującym uzyskanie wrażliwych informacji poprzez bezpośrednie żądanie do plików search_list.php, item_list.php lub item_show.php, które ujawniają ścieżkę w komunikacie o błędzie PHP.
DList (dlist.exe) w DMail 3.1a umożliwia zdalnym atakującym ominięcie uwierzytelnienia, odczytanie plików dziennika oraz wyłączenie systemu za pomocą polecenia sendlog z nieprawidłowym hashem hasła, co nie jest prawidłowo obsługiwane przez funkcję _cmd_sendlog.
Wielokrotne podatności na wstrzykiwanie SQL w MaxWebPortal 1.3.5 i wcześniejszych wersjach umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL. Atakujący mogą wykorzystać różne parametry, takie jak fpassword, txtAddress, message, subject, andor, verkey oraz parametry Remove i Delete.
Moduł SSH w Neteyes Nexusway umożliwia zdalnym atakującym wykonywanie dowolnych poleceń poprzez metaznaki powłoki w argumentach do niektórych poleceń, co zostało zademonstrowane na przykładzie poleceń ping i traceroute.
Podatność SQL injection w pliku out.php w CJ Ultra (CJUltra) Plus w wersjach 1.0.3 i 1.0.4 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr perm.
Nieznana podatność w module usług zapory Cisco (FWSM) w wersji 2.3.1 i wcześniejszych, która pozwala na ominięcie list kontroli dostępu (ACL) dla niektórych pakietów TCP przy użyciu wyjątków filtracji URL, FTP lub HTTPS.
Funkcja elf_core_dump w pliku binfmt_elf.c dla jądra Linux w wersjach 2.x.x do 2.2.27-rc2, 2.4.x do 2.4.31-pre1 oraz 2.6.x do 2.6.12-rc4 pozwala lokalnym użytkownikom na wykonanie dowolnego kodu poprzez binarny plik ELF. W określonych warunkach, związanych z funkcją create_elf_tables, może dojść do przekroczenia bufora z powodu negatywnego argumentu długości, który przechodzi porównanie liczb całkowitych ze znakiem.
Kreator nowego konta w Mail.app 2.0 w systemie Mac OS 10.4 nie prosi użytkownika o użycie SSL podczas konfigurowania konta IMAP, co skutkuje wysłaniem hasła w postaci niezaszyfrowanej.
Podatność SQL injection w pliku index.php dla Quick.cart 0.3.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru iCategory. Producent zakwestionował tę kwestię, twierdząc, że Quick.cart nie używa SQL i nie może być podatny na SQL injection.
Baza danych Oracle 9i i 10g wyłącza szczegółowe audyty (FGA) po wykonaniu zapytania SELECT przez użytkownika SYS na obiekcie FGA, co ułatwia atakującym unikanie wykrycia.
Wielokrotne podatności na wstrzykiwanie SQL w FishCart 3.1 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) cartid w pliku upstnt.php lub (2) psku w pliku display.php. Sprzedawca kwestionuje ten raport, twierdząc, że są to wymuszone błędy SQL.
Wielokrotne podatności na wstrzykiwanie SQL w Quick.Forum 2.1.6 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) iCategory lub (2) page w index.php, lub (3) parametr iCategory w ciągu zapytania do katalogu forum.
Wielokrotne podatności na wstrzykiwanie SQL w Aaron Outpost ASP Inline Corporate Calendar umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru Event_ID w plikach defer.asp lub details.asp.
Plik users.ini.php w BoastMachine 3.0 nie ogranicza prawidłowo typów plików, które mogą być przesyłane, co umożliwia zdalnym atakującym wykonywanie dowolnego kodu.
Moduł webowy w Neteyes Nexusway umożliwia zdalnym atakującym ominięcie uwierzytelnienia i uzyskanie uprawnień administratora poprzez ustawienie ciasteczka cyclone500_auth.
W myBloggie 2.1.1 występuje wiele podatności na wstrzykiwanie SQL, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL. Podatności te dotyczą różnych parametrów w plikach search.php oraz index.php.
Podatność SQL injection w pliku admin_login.asp dla ASP Virtual News Manager umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr hasła.