Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.09)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność na przejście katalogu w pliku index.php w Simple PHP Agenda 2.2.4 i wcześniejszych wersjach umożliwia zdalnym atakującym dołączenie i wykonanie dowolnych lokalnych plików poprzez użycie sekwencji .. (kropka kropka) w parametrze page.
Podatność SQL injection w pliku default.asp w EfesTECH Shop 2.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr cat_id w akcji urunler.
W podatności CVE-2008-3047 występuje niekompletna lista zablokowanych elementów w rozszerzeniu KB Unpack (kb_unpack) w wersji 0.1.0 i wcześniejszych dla TYPO3. Wpływ oraz wektory ataku są nieznane.
W nieokreślonej podatności w rozszerzeniu PDF Generator 2 (pdf_generator2) w wersji 0.5.0 i wcześniejszych dla TYPO3 występują nieznane wektory ataku związane z 'niechronioną funkcjonalnością testową'.
Podatność na wstrzykiwanie SQL w rozszerzeniu Pinboard w wersji 0.0.6 i wcześniejszych dla TYPO3 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory.
Podatność typu SQL injection w rozszerzeniu Support view (ext_tbl) w wersji 0.0.102 i wcześniejszych dla TYPO3 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory.
Podatność na wstrzykiwanie SQL w rozszerzeniu SQL Frontend (mh_omsqlio) w wersji 1.0.11 i wcześniejszych dla TYPO3 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą nieokreślonych wektorów.
Nieokreślona podatność w rozszerzeniu DAM Frontend (dam_frontend) w wersji 0.1.0 i wcześniejszych dla TYPO3, związana z 'Niewłaściwym zarządzaniem błędami'.
W PHPortal 1.2 Beta występuje wiele podatności na zdalne włączenie plików PHP w pliku sablonlar/gunaysoft/gunaysoft.php, które umożliwiają zdalnym atakującym wykonanie dowolnego kodu PHP poprzez odpowiednie parametry URL: icerikyolu, sayfaid i uzanti.
W phgrafx w QNX Momentics (RTOS) w wersji 6.3.2 i wcześniejszych występuje przepełnienie bufora na stosie, które pozwala lokalnym użytkownikom na uzyskanie podwyższonych uprawnień poprzez długą nazwę pliku .pal w katalogu palette/.
Wielokrotne podatności na wstrzykiwanie SQL w PHPEasyData 1.5.4 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr annuaire w pliku annuaire.php lub pole username w pliku admin/login.php.
Moduł Aggregation w wersji 5.x przed 5.x-4.4 dla Drupala umożliwia zdalnym atakującym przesyłanie plików z dowolnymi rozszerzeniami, co może prowadzić do wykonania dowolnego kodu poprzez odpowiednio przygotowany feed.
Wielokrotne podatności na przejście do katalogu w pliku index.php w FOG Forum 0.8.1 umożliwiają zdalnym atakującym dołączanie i wykonywanie dowolnych lokalnych plików poprzez wykorzystanie sekwencji .. (kropka kropka) w parametrach fog_lang i fog_skin, a także potencjalnie w parametrach fog_pseudo, fog_posted, fog_password i fog_cook.
Wiele podatności typu SQL injection w module Agregacji 5.x przed wersją 5.x-4.4 dla Drupala umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą nieokreślonych wektorów.
Podatność na przejście katalogu w pliku viewprofile.php w JaxUltraBB 2.0 i wcześniejszych wersjach umożliwia zdalnym atakującym odczyt dowolnych lokalnych plików poprzez wykorzystanie sekwencji .. (kropka kropka) w parametrze użytkownika.
Podatność SQL injection w pliku links-extern.php w CiBlog 3.1 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id.
W podatności CVE-2008-2968 występuje luka typu SQL injection w pliku rating.php w Academic Web Tools (AWT YEKTA) w wersjach 1.4.3.1 oraz 1.4.2.8 i wcześniejszych. Umożliwia to zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr book_id.
Przepełnienie bufora w kontrolce ActiveX (vb6skit.dll) w Microsoft Visual Basic Enterprise Edition 6.0 SP6 może umożliwić zdalnym atakującym wykonanie dowolnego kodu poprzez długi argument lpstrLinkPath w funkcji fCreateShellLink.
Podatność SQL injection w pliku guide.php w ResearchGuide 0.5 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id.
Podatność SQL injection w pliku index.php w KbLance umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr cat_id w akcji komentarza.