Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.10)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Funkcja DoCommand w pliku jhead.c w wersji 2.84 i wcześniejszych pozwala atakującym na wykonywanie dowolnych poleceń za pomocą metaznaków powłoki w nieokreślonym wejściu.
W funkcji Message::AddToString w pliku message/Message.cpp w MUSCLE przed wersją 4.40 występuje przepełnienie bufora na stosie, które pozwala zdalnym atakującym na spowodowanie awarii usługi oraz potencjalne wykonanie dowolnego kodu za pomocą spreparowanej wiadomości.
Wiele nieokreślonych podatności w frameworku Midgard Components (MidCOM) przed wersją 8.09.1 może prowadzić do nieznanego wpływu i wektorów ataku.
Podatność SQL injection w pliku del.php w myWebland miniBloggie 1.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr post_id.
Wtyczka rGallery w wersji 1.09 dla WoltLab Burning Board (WBB) zawiera podatność na wstrzykiwanie SQL. Umożliwia to zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr itemID na stronie RGalleryImageWrapper w pliku index.php.
Podatność SQL injection w pliku stnl_iframe.php w wtyczce ShiftThis Newsletter (st_newsletter) dla WordPressa umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr newsletter. Jest to inny wektor niż CVE-2008-0683.
Podatność CVE-2008-4624 dotyczy zdalnego włączenia pliku w PHP w pliku init.php w Fast Click SQL Lite 1.1.7. Gdy opcja register_globals jest włączona, zdalni atakujący mogą wykonać dowolny kod PHP poprzez URL w parametrze CFG[CDIR].
W składniku DS-Syndicate (com_ds-syndicate) w wersji 1.1.1 dla Joomla występuje podatność na atak typu SQL injection, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr feed_id w pliku index2.php.
Funkcja isLoggedIn w pliku fastnews-code.php w phpFastNews 1.0.0 umożliwia zdalnym atakującym ominięcie uwierzytelniania i uzyskanie dostępu administracyjnego poprzez ustawienie ciasteczka fn-loggedin na 1.
Podatność SQL injection w pliku bannerclick.php w ZeeScripts Zeeproperty umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr adid.
W systemie rezerwacji sal konferencyjnych (MRBS) przed wersją 1.4 występuje podatność na atak typu SQL injection. Atakujący zdalnie mogą wykonywać dowolne polecenia SQL poprzez parametr area w plikach month.php, a potencjalnie także w day.php i week.php.
Podsystem RPC w Sun Solaris 9 umożliwia zdalnym atakującym spowodowanie odmowy usługi (awaria demona) poprzez spreparowane żądanie do procedury 8 w programie 100000 (rpcbind), związane z operacją XDR_DECODE oraz funkcją taddr2uaddr.
Implementacja protokołu SCTP w jądrze Linuksa przed wersją 2.6.27 nieprawidłowo obsługuje naruszenie protokołu, w którym parametr ma nieprawidłową długość. To pozwala atakującym na wywołanie odmowy usługi (panic) za pomocą nieokreślonych wektorów.
W module actualite 1.0 dla Joomla! występuje podatność na wstrzykiwanie SQL, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr id.
Nieokreślona podatność w pliku i_utils.asp w PortalApp przed wersją 4.01a, której wpływ i wektory ataku są nieznane.
PortalApp 4.0 nie wymaga uwierzytelnienia dla stron (1) forums.asp i (2) content.asp, co umożliwia zdalnym atakującym tworzenie i usuwanie forów, tematów oraz odpowiedzi.
Podatność na wstrzykiwanie SQL w pliku forums.asp w PortalApp 4.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru sortby.
Podatność SQL injection w pliku index.php w PHP Arsivimiz Php Ziyaretci Defteri umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr sayfa.
Implementacja TCP w systemach Linux, BSD Unix, Microsoft Windows, produktach Cisco oraz prawdopodobnie innych systemach operacyjnych pozwala zdalnym atakującym na spowodowanie odmowy usługi (wyczerpanie kolejki połączeń) poprzez manipulację informacjami w tabeli stanu TCP, co zostało zademonstrowane przez narzędzie sockstress.
Wielokrotne podatności na wstrzykiwanie SQL w IP Reg 0.4 i wcześniejszych wersjach umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) location_id w locationdel.php oraz (2) vlan_id w vlanedit.php.