Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.10)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność SQL injection w pliku index.php w Jaw Portal i Zanfi CMS lite umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr page (pageid).
Podatność SQL injection w pliku groups.php w Vastal I-Tech phpVID 1.1 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru cat. Wersja 1.2.3 również jest podatna na tę lukę.
Wielokrotne podatności na przejście katalogu w EasySite 2.3 umożliwiają zdalnym atakującym odczyt dowolnych plików lub wylistowanie katalogów poprzez wykorzystanie sekwencji .. (kropka kropka) w parametrach modułu lub akcji w różnych plikach PHP.
Podatność na wstrzykiwanie SQL w systemie zarządzania treścią living-e webEdition CMS umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru we_objectID.
Symbian OS S60 3. edycja na urządzeniach Nokia E90 Communicator 07.40.1.2 Ra-6 oraz Nseries N82 jest podatna na ataki, które mogą prowadzić do awarii urządzenia poprzez wysyłanie wielu ramek deautoryzacyjnych (DeAuth).
Podatność CVE-2008-4134 dotyczy zdalnego włączenia pliku w PHP w pliku manager/static/view.php w phpRealty w wersji 0.03 i wcześniejszych, a także prawdopodobnie w innych wersjach przed 0.05. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrze INC.
W kontrolce ActiveX VSFlexGrid.VSFlexGridL w ComponentOne VSFlexGrid 7.0.1.151 i 8.0.20072.239 występuje przepełnienie bufora na stosie. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu poprzez długi pierwszy argument metody Archive.
Wielokrotne nieokreślone podatności w systemie Sun Solaris w wersjach 8 do 10 umożliwiają lokalnym użytkownikom uzyskanie podwyższonych uprawnień poprzez manipulację tagami związanymi z opcją -t oraz komendą :tag w programach vi, ex, vedit, view i edit.
Wielokrotne podatności CSRF w komponencie administracji HTTP w systemie Cisco IOS 12.4 na routerze 871 Integrated Services Router umożliwiają zdalnemu atakującemu wykonanie dowolnych poleceń. Atak polega na wykorzystaniu żądań do URI /level/15/exec/- z poleceniem "show privilege" oraz do /level/15/exec/-/configure/http z poleceniem "alias exec".
Kontrolka ActiveX usługi aktualizacji InstallShield w isusweb.dll umożliwia zdalnym atakującym spowodowanie odmowy usługi (uszkodzenie pamięci i awaria przeglądarki) oraz potencjalne wykonanie dowolnego kodu poprzez wywołanie ExecuteRemote z adresem URL, który skutkuje odpowiedzią 404.
Narzędzie move-faqwiz.sh w Pythonie 2.4.5 może pozwolić lokalnym użytkownikom na nadpisanie dowolnych plików poprzez atak symlink na plik tymczasowy tmp$RANDOM.tmp. Istnieje możliwość, że nie ma powszechnych scenariuszy użycia, w których tmp$RANDOM.tmp znajduje się w nieufnym katalogu.
JRequest w Joomla! 1.5 przed wersją 1.5.7 nie oczyszcza zmiennych ustawionych za pomocą JRequest::setVar, co umożliwia zdalnym atakującym przeprowadzanie ataków typu 'iniekcja zmiennych' oraz wywoływanie nieokreślonych innych skutków.
Joomla! w wersji 1.5 przed 1.5.7 inicjalizuje PRNG PHP z słabym ziarnem, co ułatwia atakującym odgadnięcie pseudo-losowych wartości generowanych przez funkcję mt_rand PHP, co może prowadzić do odgadnięcia tokenów resetowania haseł.
Vim w wersjach od 3.0 do 7.x przed 7.2.010 nieprawidłowo obsługuje znaki specjalne, co pozwala atakującym wspieranym przez użytkownika na wykonywanie dowolnych poleceń powłoki lub poleceń Ex. Atak może być przeprowadzony poprzez wprowadzenie odpowiednich sekwencji klawiszy.
Nieokreślona podatność w stronie internetowej modułu PRM w Sun Management Center (SunMC) w wersjach 3.6.1 i 4.0 umożliwia zdalnym atakującym spowodowanie odmowy usługi (zużycie pamięci) za pomocą nieokreślonych wektorów.
Przepełnienie bufora w Apple QuickTime 7.5.5 i iTunes 8.0 umożliwia zdalnym atakującym spowodowanie awarii przeglądarki lub potencjalne wykonanie dowolnego kodu poprzez długi atrybut typu w tagu quicktime na stronie internetowej lub osadzonym w pliku .mp4 lub .mov. Problem może być związany z funkcją Check_stack_cookie oraz błędem off-by-one prowadzącym do przepełnienia bufora w stercie.
W phpMyAdmin przed wersją 2.11.9.1 w pliku libraries/database_interface.lib.php istnieje luka, która pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu. Można to osiągnąć poprzez wysłanie żądania do server_databases.php z parametrem sort_by zawierającym sekwencje PHP, które są przetwarzane przez funkcję create_function.
W Adobe Illustrator CS2 na systemie Macintosh występuje wiele nieokreślonych podatności, które umożliwiają atakującym, przy pomocy użytkownika, wykonanie dowolnego kodu poprzez spreparowany plik AI.
Wielokrotne przepełnienia bufora w usłudze serwera QIP (qipsrvr.exe) w LANDesk Management Suite, Security Suite i Server Manager 8.8 oraz wcześniejszych wersjach umożliwiają zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowane żądanie heal, związane z argumentami StringToMap i StringSize.
Agenta aktualizacji Acresso InstallShield nie weryfikuje poprawnie autentyczności skryptów reguł pobieranych z stron GetRules.asp na serwerach FLEXnet Connect. To umożliwia zdalnym atakującym typu man-in-the-middle wykonanie dowolnego kodu VBScript za pomocą złośliwych reguł.