Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.06)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Adobe Shockwave Player w wersjach przed 11.6.3.633 umożliwia atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi (uszkodzenie pamięci) za pomocą nieokreślonych wektorów.
Biblioteka DIRapi w Adobe Shockwave Player przed wersją 11.6.3.633 umożliwia atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi (uszkodzenie pamięci) za pomocą nieokreślonych wektorów. Jest to inna podatność niż CVE-2011-2448.
Podatność w Windows Mail i Windows Meeting Space w systemach Microsoft Windows Vista SP2, Windows Server 2008 SP2, R2, R2 SP1 oraz Windows 7 Gold i SP1 pozwala lokalnym użytkownikom na uzyskanie uprawnień poprzez złośliwą bibliotekę DLL w bieżącym katalogu roboczym. Problem ten jest znany jako 'Windows Mail Insecure Library Loading Vulnerability'.
Implementacja LDAP przez SSL (LDAPS) w Active Directory oraz jego różnych wersjach w systemach Windows nie sprawdza list unieważnionych certyfikatów (CRL). To pozwala zdalnym, uwierzytelnionym użytkownikom na obejście ograniczeń certyfikatów i dostęp do zasobów Active Directory przy użyciu unieważnionego certyfikatu X.509 dla konta domenowego.
Błąd indeksu tablicy w win32k.sys w sterownikach trybu jądra w systemach Microsoft Windows Server 2008 R2, R2 SP1 oraz Windows 7 Gold i SP1 umożliwia zdalnym atakującym spowodowanie awarii systemu (restartu) poprzez spreparowany plik czcionki TrueType.
W podatności CVE-2011-4066 występuje luka typu SQL injection w pliku bbs/tb.php w Gnuboard w wersji 4.33.02 i wcześniejszych. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez manipulację PATH_INFO.
Podatność w FFFTP 1.98a i wcześniejszych wersjach związana z niezaufaną ścieżką wyszukiwania umożliwia lokalnym użytkownikom wykonanie dowolnego kodu poprzez nieokreślone funkcje.
Podatność na wstrzykiwanie SQL w DBD::mysqlPP w wersji 0.04 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory.
Nieokreślona podatność w silniku analizy czcionek TrueType w win32k.sys w sterownikach trybu jądra systemu Microsoft Windows umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowane dane czcionek w dokumencie Word lub na stronie internetowej. Podatność ta była wykorzystywana w atakach w listopadzie 2011 roku przez Duqu.
Przepełnienie bufora w sterowniku urządzeń UnitelWay dla systemu Windows, używanym w produktach Schneider Electric, umożliwia lokalnym użytkownikom, a potencjalnie także zdalnym atakującym, wykonanie dowolnego kodu poprzez nieokreślony parametr systemowy.
W e107 CMS w wersji 0.7.24 i prawdopodobnie wcześniejszych występuje podatność na statyczną iniekcję kodu w pliku install_.php. Gdy skrypt instalacyjny nie zostanie usunięty, zdalni atakujący mogą wstrzyknąć dowolny kod PHP do pliku e107_config.php za pomocą spreparowanej nazwy serwera MySQL.
Przepełnienie bufora w funkcjonalności serwera SSH na urządzeniach D-Link DES-3800, DWL-2100AP i DWL-3200AP z nieaktualnym oprogramowaniem umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie awarii usługi.
Funkcja is_a w PHP 5.3.7 i 5.3.8 wywołuje funkcję __autoload, co umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez dostarczenie spreparowanego URL oraz wykorzystanie potencjalnie niebezpiecznego zachowania w niektórych pakietach PEAR i niestandardowych autoloaderach.
Podatność CSRF w interfejsie webowym narzędzia konfiguracyjnego Services Ready Platform na routerach Cisco Small Business SRP521W, SRP526W, SRP527W z firmware przed wersją 1.1.24 oraz SRP541W, SRP546W, SRP547W z firmware przed wersją 1.2.1 pozwala zdalnym atakującym na przejęcie uwierzytelnienia administratorów dla żądań wykonujących dowolne polecenia.
Wtyczka NP_Gallery w wersji 0.94 dla Nucleus zawiera podatność na wstrzyknięcie SQL w pliku index.php. Umożliwia to zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id w akcji wtyczki.
Podatność SQL injection w pliku control/admin_login.php w ScriptsFeed Recipes Listing Portal 1.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr loginid (znany również jako pole UserName).
Podatność CVE-2010-5038 dotyczy zdalnego włączenia pliku w PHP w pliku contact/contact.php w formularzu kontaktowym Groone'a. Umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrze abspath.
Podatność SQL injection w pliku article.php w systemie CMS CommonSense pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr article_id.
Podatność SQL injection w pliku addsale.php w iScripts eSwap 2.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr type.
Podatność SQL injection w pliku viewhistorydetail.php w iScripts EasyBiller 1.1 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr planid.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS