Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.07.27)
Podatność CVE-2018-10627 dotyczy wszystkich wersji Echelon SmartServer 1, wszystkich wersji SmartServer 2 przed wydaniem 4.11.007 oraz wszystkich wersji i.LON 100. Atakujący może wykorzystać API SOAP do uzyskania dostępu i zmiany wrażliwych elementów konfiguracyjnych, takich jak nazwy użytkowników i hasła do serwerów WWW i FTP.
W MISP 2.4.92 odkryto problem w pliku app/Controller/UsersController.php, który pozwala na ominięcie ochrony przed atakami typu brute-force. Atakujący może to zrobić, używając metody HTTP PUT zamiast POST w części logowania, ponieważ ochrona dotyczyła tylko żądań POST.
Wersje curl od 7.20.0 do 7.59.0 zawierają podatność CWE-126: Buffer Over-read, która może prowadzić do odmowy usługi. Atakujący może oszukać curl, aby odczytał dane poza końcem bufora w pamięci, używanego do przechowywania pobranych treści RTSP.
W MyBiz MyProcureNet w wersji 5.0.0 odkryto problem, który pozwala atakującemu na przesłanie złośliwego pliku na serwer WWW. Atakujący może przesłać skrypt, który umożliwia wydawanie poleceń systemu operacyjnego.
Podatność w Spring Data Commons (wersje 1.13 do 1.13.10, 2.0 do 2.0.5 oraz starsze niewspierane) wynika z nieprawidłowej neutralizacji specjalnych elementów w mechanizmie wiązania właściwości. Nieuwierzytelniony zdalny atakujący może wysłać specjalnie spreparowane parametry żądania do zasobów HTTP opartych na Spring Data REST lub wykorzystać wiązanie ładunku żądania oparte na projekcjach Spring Data, co może prowadzić do zdalnego wykonania kodu.
Złośliwe żądania PATCH wysyłane do serwerów używających Spring Data REST w wersjach przed 2.6.9 (Ingalls SR9), przed 3.0.1 (Kay SR1) oraz Spring Boot przed 1.5.9 i 2.0 M6 mogą wykorzystać specjalnie spreparowane dane JSON do wykonania dowolnego kodu Java.
Podatność w Trustwave Secure Web Gateway (SWG) do wersji 11.8.0.27 umożliwia zdalnym atakującym dodanie dowolnego klucza publicznego do danych SSH Authorized Keys urządzenia, co prowadzi do uzyskania zdalnego dostępu root.
System zarządzania pracownikami Biometric Shift umożliwia pobieranie dowolnych plików poprzez sekwencje przejścia katalogu w parametrze form_file_name w akcji download_form.
Dozer niewłaściwie wykorzystuje podejście oparte na refleksji do konwersji typów, co może umożliwić zdalnym atakującym wykonanie dowolnego kodu za pomocą spreparowanego obiektu serializowanego.
W podatności XXE w funkcjonalności przetwarzania XML w Play przed wersją 2.2.6 oraz 2.3.x przed wersją 2.3.5, zdalni atakujący mogą odczytać dowolne pliki, spowodować odmowę usługi lub wywołać inne nieokreślone skutki poprzez odpowiednio skonstruowane dane XML.
Terminal administracyjny w Hawt.io nie wymaga uwierzytelnienia, co pozwala zdalnym atakującym na wykonywanie dowolnych poleceń za pomocą parametru k.
Podatność w urządzeniach BAS920 i ISC2000 pozwala zdalnym atakującym na uzyskanie wrażliwych informacji poprzez wysłanie odpowiedniego żądania. Atakujący mogą zdobyć dane logowania do konta Supervisor/Administrator.
W NetTransport Download Manager w wersji 2.96L i wcześniejszych występuje podatność na przepełnienie bufora w pliku NetTransport.exe, która może umożliwić zdalnym serwerom HTTP wykonanie dowolnego kodu na urządzeniach NAS poprzez długą odpowiedź HTTP.
Funkcja Zend_Db_Select::order w Zend Framework przed wersją 1.12.7 nieprawidłowo obsługuje nawiasy, co umożliwia zdalnym atakującym przeprowadzenie ataków SQL injection za pomocą nieokreślonych wektorów.
PHP Scripts Mall PHP Multivendor Ecommerce zawiera podatność na SQL Injection poprzez parametr usid w pliku seller-view.php.
PHP Scripts Mall PHP Multivendor Ecommerce zawiera podatność na wstrzyknięcie SQL poprzez parametr fid w pliku my_wishlist.php.
PHP Scripts Mall PHP Multivendor Ecommerce zawiera podatność na atak typu SQL Injection poprzez parametr cusid w pliku shopping-cart.php.
W poprzednich wersjach Apache Flex BlazeDS (4.7.2 i wcześniejszych) nie ograniczano typów dozwolonych do deserializacji obiektów AMF(X) domyślnie. Proces deserializacji może wykonywać kod, który dla kilku znanych typów ma niepożądane skutki uboczne.
W MediaServer.exe w ALLPlayer ALLMediaServer w wersji 0.95 i wcześniejszych występuje podatność na przepełnienie bufora, która może umożliwić zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi na zainfekowanej maszynie.
W urządzeniach AirLive BU-2015, BU-3026, MD-3025, WL-2000CAM oraz POE-200CAM v2 występuje podatność związana z używaniem twardo zakodowanych poświadczeń w wbudowanym serwerze WWW Boa. Atakujący mogą uzyskać dostęp do danych użytkowników poprzez odpowiednio skonstruowane żądania HTTP.