Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wiele błędów związanych z podpisem liczb całkowitych w DirectShowDemuxFilter, używanym w Divx Web Player, Divx Player i innych wtyczkach Divx, umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez wprowadzenie (1) wartości ujemnej lub (2) dużej wartości w kawałku formatu strumienia (STRF) w pliku AVI, co prowadzi do przepełnienia bufora na stercie.
Wielokrotne podatności na wstrzykiwanie SQL w TopicsViewer 3.0 Beta 1 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id w plikach edit_block.php, edit_cat.php, edit_note.php lub rmv_topic.php w admincp/.
Wtyczka WP Symposium w wersji 14.11 dla WordPressa zawiera podatność na nieograniczone przesyłanie plików, co pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez przesłanie pliku z rozszerzeniem wykonywalnym.
W podatności CVE-2014-10020 występuje luka typu SQL injection w pliku login.php w Simple e-document 1.31, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr nazwy użytkownika.
Wtyczka Welcart e-Commerce w wersji 1.3.12 dla WordPressa zawiera wiele podatności na wstrzykiwanie SQL, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL. Atak może być przeprowadzony poprzez parametry changeSort lub switch na stronie usces_itemedit.
W podatności CVE-2014-10015 występuje luka typu SQL injection w pliku load-calendar.php w PHPJabbers Event Booking Calendar 2.0, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr cid.
Wtyczka Another WordPress Classifieds Plugin dla WordPress zawiera podatność na atak typu SQL injection, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr keywordphrase w akcji dosearch.
W UltraCamLib w kontrolce ActiveX UltraCamX.ocx dla kamery TRENDnet SecurView TV-IP422WN występuje przepełnienie bufora na stosie, które może być wykorzystane przez zdalnych atakujących do wykonania dowolnego kodu.
W podatności CVE-2014-10004 występuje luka typu SQL injection w pliku admin/data_files/move.php w Maian Uploader 4.0, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr id.
Wielokrotne podatności typu cross-site request forgery (CSRF) w routerze D-Link DIR-600 (rev. Bx) z oprogramowaniem układowym przed wersją 2.17b02 umożliwiają zdalnym atakującym przejęcie autoryzacji administratorów dla różnych żądań, takich jak tworzenie konta administratora czy włączanie zdalnego zarządzania.
Wtyczka YourMembers dla WordPress zawiera podatność na wstrzyknięcie SQL w pliku includes/ym-download_functions.include.php, co pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr ym_download_id.
Instalator RealNetworks GameHouse RealArcade (znany również jako ActiveMARK Game Installer) w wersjach 2.6.0.481 i 3.0.7 posiada słabe uprawnienia do katalogu gier GameHouse, co umożliwia lokalnym użytkownikom uzyskanie przywilejów poprzez złośliwą bibliotekę DLL w katalogu konkretnej gry.
Kontrolka ActiveX RACInstaller.StateCtrl.1 w pliku InstallerDlg.dll w RealNetworks GameHouse RealArcade Installer 2.6.0.481 wykonuje nieoczekiwane konwersje typów dla nieprawidłowych typów parametrów, co pozwala zdalnym atakującym na wykonanie dowolnego kodu lub spowodowanie odmowy usługi (use-after-free) poprzez odpowiednio przygotowane argumenty.
Przepełnienie bufora w Hancom Office 2010 SE umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez długi ciąg w atrybucie Text w elemencie TEXTART w pliku HML.
Wtyczka GD Star Rating w wersji 19.22 dla WordPressa zawiera podatność na wstrzyknięcie SQL, która pozwala zdalnym administratorom na wykonywanie dowolnych poleceń SQL poprzez parametr s na stronie gd-star-rating-stats w wp-admin/admin.php.
W funkcji png_combine_row w libpng przed wersją 1.5.21 oraz 1.6.x przed wersją 1.6.16 występuje przepełnienie bufora oparte na stercie, które może pozwolić atakującym na wykonanie dowolnego kodu poprzez 'bardzo szeroki przeplatany' obraz PNG na systemach 64-bitowych.
W systemie Schneider Electric Wonderware InTouch Access Anywhere Server w wersjach 10.6 i 11.0 występuje przepełnienie bufora na stosie, które umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez wysłanie żądania o nieistniejący plik.
Wielokrotne podatności związane z przejściem do katalogu w funkcji przesyłania plików w IBM PureApplication System i Workload Deployer umożliwiają zdalnym uwierzytelnionym użytkownikom wykonanie dowolnego kodu.
W oprogramowaniu układowym ASUS WRT w wersjach 3.0.0.4.376_1071, 3.0.0.376.2524-g0013f52 oraz innych, używanych w routerach RT-AC66U, RT-N66U i innych, występuje problem z niewłaściwym sprawdzaniem adresu MAC w żądaniach. To umożliwia zdalnym atakującym ominięcie uwierzytelnienia i wykonanie dowolnych poleceń za pomocą pakietu NET_CMD_ID_MANU_CMD na porcie UDP 9999.
Wielokrotne podatności na wstrzykiwanie SQL w zapleczu administracyjnym Sefrengo przed wersją 1.6.1 umożliwiają zdalnym administratorom wykonywanie dowolnych poleceń SQL poprzez parametry (1) idcat lub (2) idclient w pliku backend/main.php.