Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.02)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Klienci emulacji terminala 5250 AS/400, w tym IBM Client Access, Bosanova, PowerTerm i Mochasoft, umożliwiają złośliwym serwerom AS/400 wykonywanie dowolnych poleceń poprzez komendę STRPCO (Start PC Organizer) oraz STRPCCMD (Start PC command). Przykładem jest stworzenie konta z dostępem typu backdoor przy użyciu REXEC.
Podatność na wstrzykiwanie SQL w pliku index.php dla MercuryBoard 1.1.2 umożliwia zdalnym atakującym wstrzykiwanie dowolnych poleceń SQL za pomocą parametru f.
Podatność CVE-2005-0909 dotyczy pliku shoutact.php w Shoutboxie TKai, który umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez parametr query. Wykorzystanie tej luki może prowadzić do poważnych naruszeń bezpieczeństwa.
W programie Cain & Abel przed wersją 2.67 występuje wiele przepełnień bufora, które mogą być wykorzystane przez zdalnych atakujących do spowodowania awarii aplikacji oraz potencjalnego wykonania dowolnego kodu. Problemy te dotyczą filtrów snifferów dla IKE, HTTP, POP3, SMTP, IMAP, NNTP oraz TDS.
Podatność na wstrzykiwanie SQL w NotifyLink przed wersją 3.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą URL.
Skrypt citat.pl umożliwia zdalnym atakującym wykonywanie dowolnych plików poprzez wykorzystanie metaznaków powłoki w argumentach.
Przepełnienie bufora w Yahoo! Messenger umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez tryb offline.
Silnik 3D Carstena (Ca3DE) w wersji z marca 2004 i wcześniejszych pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez ciągi tekstowe, które nie są zakończone znakiem null, co prowadzi do dereferencji null.
Podatność w Vortex Portal umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez wykorzystanie parametru 'act' w plikach content.php i index.php. Atakujący mogą wstrzyknąć złośliwy kod, co prowadzi do poważnych konsekwencji bezpieczeństwa.
Podatność na wstrzykiwanie SQL w Oracle Forms 10g umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą funkcji Query/Where.
Podatność SQL injection w Coppermine Photo Gallery 1.3.2 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr favs w plikach init.inc.php lub zipdownload.php.
W xine-lib przed wersją 1.0 oraz w innych produktach korzystających z xine-lib, takich jak MPlayer 1.0pre6 i wcześniejsze, występują wielokrotne przepełnienia bufora w stercie związane z obsługą strumieni MMS przez TCP oraz strumieni RTSP RealMedia. Te luki umożliwiają zdalnym złośliwym serwerom wykonanie dowolnego kodu.
Podatność na wstrzykiwanie SQL w pliku index.php dla RadScripts RadBids Gold 2 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr mode.
Podatność SQL injection w pliku login.asp dla Ecommerce-Carts EcommPro 3.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez pole hasła.
Przepełnienie bufora w Apple iTunes 4.7 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez długi adres URL w plikach playlist (.m3u lub .pls).
Internet Explorer w wersjach 5.01, 5.5 i 6 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez zdarzenia przeciągania i upuszczania, znane jako 'Podatność na przeciąganie i upuszczanie'.
Firefox przed wersją 1.0 oraz Mozilla przed wersją 1.7.5, skonfigurowane do używania proxy, odpowiadają na żądania autoryzacji 407 z dowolnych serwerów, co umożliwia zdalnym atakującym kradzież poświadczeń NTLM lub SPNEGO.
Netfilter w jądrze Linux 2.6.8.1 umożliwia zdalnym atakującym spowodowanie odmowy usługi (awaria jądra) poprzez odpowiednio skonstruowane fragmenty pakietów IP.
Wielokrotne produkty F-Secure Anti-Virus i Internet Security mają lukę w postaci przepełnienia bufora na stercie, która pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez spreparowane archiwum ARJ.
Squid 2.5, podczas przetwarzania pliku konfiguracyjnego, analizuje puste listy kontroli dostępu (ACL), w tym ACL proxy_auth bez zdefiniowanych schematów uwierzytelniania, w sposób, który skutecznie usuwa argumenty. Może to pozwolić zdalnym atakującym na ominięcie zamierzonych ACL, jeśli administrator zignoruje ostrzeżenia parsera.