Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.11)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
evalSMSI w wersji 2.1.03 przechowuje hasła w postaci niezaszyfrowanej w bazie danych, co umożliwia atakującym z dostępem do bazy danych uzyskanie uprawnień. Możliwe są również zdalne wektory ataku, wykorzystując osobną podatność na wstrzykiwanie SQL.
Podatność SQL injection w pliku ajax.php w evalSMSI w wersji 2.1.03 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr query w akcji (1) question, a potencjalnie także w akcjach (2) sub_par lub (3) num_quest.
Nieokreślona podatność w DocumentManager przed wersją 4.0, związana z prawami do plików, ma nieznany wpływ i wektory ataku.
Wielokrotne podatności na wstrzykiwanie SQL w pliku adminlogin.php w Baal Systems w wersji 3.8 i wcześniejszych umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametrów (1) nazwa użytkownika i (2) hasło.
Wiele podatności na wstrzykiwanie SQL w komponencie Photoblog (com_photoblog) dla Joomla! umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr blog w akcji images do index.php. Istnieje również możliwość istnienia osobnego wektora dla parametru id w detail.php.
Podatność SQL injection w pliku header.php w NovaBoard 1.1.2 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru cookie nova_name. Informacje na temat tej podatności pochodzą z nieznanego źródła.
Podatność SQL injection w pliku index.php w NovaBoard 1.1.2 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr forums[] w akcji wyszukiwania.
Podatność XSS w skrypcie scp/ajax.php osTicket przed wersją 1.6.0 Stable umożliwia uwierzytelnionym zdalnie użytkownikom wstrzyknięcie dowolnego kodu HTML lub JavaScript przez parametr f, prawdopodobnie w komunikacie błędu generowanym przez scp/admin.php.
Podatność SQL Injection w skrypcie scp/ajax.php osTicket przed wersją 1.6.0 Stable. Umożliwia zdalnym uwierzytelnionym użytkownikom z uprawnieniami personelu wykonanie dowolnych poleceń SQL przez parametr input.
Nieokreślona podatność w HP Network Node Manager (NNM) w wersjach 8.10, 8.11, 8.12 i 8.13 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń za pomocą nieznanych wektorów.
Nieokreślona podatność w wbudowanym serwerze HTTPS na urządzeniach Cisco IronPort Encryption Appliance w wersjach 6.2.x przed 6.2.9.1 oraz 6.5.x przed 6.5.2, a także w IronPort PostX MAP przed 6.2.9.1, umożliwia zdalnym atakującym wykonanie dowolnego kodu za pomocą nieznanych wektorów.
Nieokreślona podatność w WebSafe DistributorServlet w wbudowanym serwerze HTTPS na urządzeniach Cisco IronPort Encryption Appliance w wersjach 6.2.x przed 6.2.9.1 oraz 6.5.x przed 6.5.2, a także w IronPort PostX MAP przed 6.2.9.1, umożliwia zdalnym atakującym odczyt dowolnych plików za pomocą nieznanych wektorów.
Nieokreślona podatność w interfejsie administracyjnym w wbudowanym serwerze HTTPS na urządzeniach Cisco IronPort Encryption Appliance w wersjach 6.2.x przed 6.2.9.1 oraz 6.5.x przed 6.5.2, a także w IronPort PostX MAP przed 6.2.9.1, umożliwia zdalnym atakującym odczyt dowolnych plików za pomocą nieznanych wektorów.
Kontrolka ActiveX instalatora ActiveScan w pliku as2stubie.dll przed wersją 1.3.3.0 w Panda ActiveScan 2.0 pobiera oprogramowanie z archiwum as2guiie.cab znajdującego się pod dowolnym adresem URL i nie weryfikuje podpisu cyfrowego archiwum przed instalacją. To umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez argument URL do nieokreślonej metody.
Kontrolka ActiveX Microsoft Data Analyzer w pliku max3activex.dll w różnych wersjach systemu Windows umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowaną stronę internetową, która narusza 'stan systemu'.
Podatność typu przepełnienia bufora na stercie w DirectShow w Microsoft DirectX umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez specjalnie przygotowany plik AVI. Problem występuje w różnych wersjach systemów Windows, gdzie długość pola w strumieniu wideo nie jest prawidłowo obsługiwana przez dekompresor wideo RLE.
Przepełnienie bufora w MSO.DLL w Microsoft Office XP SP3 oraz Office 2004 dla Mac umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany dokument Office.
Implementacja TCP/IP w systemach Microsoft Windows Vista Gold, SP1, SP2 oraz Server 2008 Gold i SP2 zawiera podatność, która pozwala zdalnym atakującym na spowodowanie awarii systemu poprzez wysyłanie specjalnie przygotowanych pakietów z nieprawidłowymi wartościami selektywnego potwierdzenia TCP (SACK).
Implementacja TCP/IP w systemach Microsoft Windows Vista Gold, SP1, SP2 oraz Server 2008 Gold i SP2, przy włączonym IPv6, nie wykonuje prawidłowego sprawdzania granic dla pakietów ICMPv6 Route Information. To umożliwia zdalnym atakującym wykonanie dowolnego kodu za pomocą spreparowanych pakietów.
Implementacja TCP/IP w systemach Microsoft Windows Vista oraz Server 2008, przy użyciu niestandardowego sterownika sieciowego, nieprawidłowo obsługuje lokalną fragmentację pakietów ESP nad UDP. To pozwala zdalnym atakującym na wykonanie dowolnego kodu za pomocą spreparowanych pakietów.