Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.02)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Nieokreślona podatność w Journalness 3.0.7 i wcześniejszych wersjach umożliwia zdalnym atakującym tworzenie lub modyfikowanie postów za pomocą nieznanych wektorów ataku.
Nieokreślona podatność w IBM Tivoli SecureWay Policy Director 3.8 oraz w różnych wersjach Access Managera i Configuration Managera umożliwia zdalnym atakującym przejęcie sesji uwierzytelnionych użytkowników poprzez nieznane wektory ataku związane z określonymi ciasteczkami.
Przepełnienie bufora w metodzie strip_html_tags w Gyach Enhanced (Gyach-E) przed wersją 1.0.4 umożliwia zdalnym atakującym spowodowanie odmowy usługi oraz potencjalne wykonanie dowolnego kodu poprzez nieznane wektory związane z tagami HTML.
Przepełnienie bufora w plikach queue.c i queued.c w wersji queue przed 1.30.1 może umożliwić zdalnym atakującym wykonanie dowolnego kodu.
Funkcja DecodeTCPOptions w pliku decode.c w Snort przed wersją 2.3.0, podczas wyświetlania opcji TCP/IP w trybie FAST lub verbose, umożliwia zdalnym atakującym spowodowanie awarii (denial of service) poprzez pakiety z nieprawidłowymi opcjami TCP/IP, co prowadzi do dereferencji wskaźnika null.
Podatność SQL injection w pliku jobedit.asp w systemie Web Helpdesk firmy Leigh Business Enterprises przed wersją 4.0.0.81 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id.
Nieokreślona podatność w kompilatorze ASN.1 (asn1c) przed wersją 0.9.7, która występuje podczas przetwarzania tagów typu 'ANY'. Wpływ i wektory ataku są nieznane.
Podatność SQL injection w DUware DUforum w wersjach 3.0 do 3.1 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry FOR_ID w messages.asp, MSG_ID w messageDetail.asp oraz password w formularzu logowania.
Podatność na wstrzykiwanie SQL w NatterChat 1.12 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieznane wektory.
Nieznana podatność w Moodle przed wersją 1.2 umożliwia nauczycielom logowanie się jako administratorzy.
Przepełnienie bufora w programie SoftCart.exe w Mercantec SoftCart 4.00b umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez długi parametr w żądaniu HTTP GET.
W ArGoSoft FTP Server przed wersją 1.4.1.6 występuje wiele przepełnień bufora, które pozwalają zdalnym, uwierzytelnionym użytkownikom na wywołanie odmowy usługi oraz potencjalne wykonanie dowolnego kodu poprzez (1) polecenie SITE ZIP z długim pierwszym lub drugim argumentem, lub (2) polecenie SITE COPY z długim argumentem.
Usługa Windows Internet Naming Service (WINS) w systemach Windows NT Server 4.0 SP 6a, NT Terminal Server 4.0 SP 6, Windows 2000 Server SP3 i SP4 oraz Windows Server 2003 nieprawidłowo waliduje wartość nazwy komputera w pakiecie WINS. To pozwala zdalnym atakującym na wykonanie dowolnego kodu lub spowodowanie odmowy usługi (awaria serwera), co prowadzi do 'niekontrolowanego bufora' i może wywołać przepełnienie bufora.
Wielokrotne podatności na wstrzykiwanie SQL w Land Down Under (LDU) v701 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL lub uzyskanie ścieżki instalacji poprzez różne parametry, takie jak s, w, d w users.php, id w comments.php, rusername w auth.php oraz h w plug.php.
W Serv-U FTP Server przed wersją 4.2 występuje przepełnienie bufora na stosie w poleceniu chmod, które pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez podanie długiej nazwy pliku.
Online-bookmarks w wersjach przed 0.4.6 pozwala zdalnym atakującym na ominięcie mechanizmu uwierzytelniania poprzez bezpośrednie żądanie do określonych plików, takich jak config/*, bookmarks.php, footer.php, main.php, tree.php lub functions.php.
Podatność na oszustwo sesji w Macromedia JRun 4.0 umożliwia zdalnym atakującym przejęcie sesji użytkowników poprzez wcześniejsze ustawienie identyfikatora sesji użytkownika używanego przez serwer sesji.
Nieznana podatność w implementacji dotlock w mailutils przed wersją 1:0.5-4 na Debian GNU/Linux umożliwia atakującym uzyskanie uprawnień.
Podatność na wstrzykiwanie SQL w skrypcie TCL sloth w QuoteEngine przed wersją 1.2.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą nieznanych wektorów.
Java Secure Socket Extension (JSSE) w wersjach od 1.0.3 do 1.0.3_2 nieprawidłowo weryfikuje łańcuch certyfikatów klienta lub serwera, co umożliwia zdalnym atakującym fałszywe uwierzytelnienie partnerów w protokole SSL/TLS.