Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.09)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Weryfikacja HMAC w SNMPv3 w różnych wersjach produktów, takich jak Net-SNMP, UCD-SNMP, eCos oraz wielu innych, polega na tym, że klient określa długość HMAC. To umożliwia zdalnym atakującym ominięcie uwierzytelniania SNMP poprzez ustawienie wartości długości na 1, co sprawdza tylko pierwszy bajt.
Wielokrotne podatności na wstrzykiwanie SQL w pliku catalog.php w wersjach 1.4b i 1.4f SMEWeb umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) idp i (2) category.
Podatność SQL injection w pliku login.php w OtomiGenX 2.2 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr userAccount (znany jako pole Nazwa Użytkownika) w index.php.
W komponentach Joomla! Bulletin Board (Joo!BB) w wersji 0.5.9 występuje podatność na wstrzykiwanie SQL, która umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr forum w akcji forum do index.php.
W meBiblio w wersji 0.4.7 występuje podatność na wstrzykiwanie SQL w pliku admin/journal_change_mask.inc.php, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr JID.
Podatność SQL injection w komponencie JooBlog (com_jb2) w wersji 0.1.1 dla Joomla! umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr CategoryID w akcji kategorii do index.php.
W podatności CVE-2008-2634 występuje luka typu SQL injection w pliku index.asp w I-Pos Internet Pay Online Store w wersji 1.3 Beta i wcześniejszych. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr item.
Podatność SQL injection w komponencie IDoBlog (com_idoblog) w wersjach b24 i wcześniejszych oraz 1.0 dla Joomla! umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr userid w akcji userblog w pliku index.php.
Wielokrotne podatności na wstrzykiwanie SQL w komponencie EXP JoomRadio (com_joomradio) w wersji 1.0 dla Joomla! umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id w akcjach (1) show_radio lub (2) show_video w pliku index.php.
Podatność SQL injection w pliku comment.asp w Battle Blog w wersji 1.25 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr entry.
Podatność typu SQL injection w komponencie acctexp (com_acctexp) w wersji 0.12.x i wcześniejszych dla Joomla! umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr usage w akcji subskrypcji do index.php.
Przepełnienie całkowite w funkcji dccp_feat_change w podsystemie Datagram Congestion Control Protocol (DCCP) w jądrze Linuxa 2.6.18 oraz 2.6.17 do 2.6.20 umożliwia lokalnym użytkownikom uzyskanie uprawnień poprzez nieprawidłową długość cechy, co prowadzi do przepełnienia bufora na stercie.
Usługa HTTP na urządzeniu Cisco Linksys WRH54G z firmware 1.01.03 pozwala zdalnym atakującym na spowodowanie odmowy usługi (awaria interfejsu zarządzania) lub potencjalne wykonanie dowolnego kodu poprzez URI, które zaczyna się od sekwencji '/./', zawiera wiele wystąpień sekwencji 'front_page' i kończy się na '.asp'.
Podatność SQL injection w module LifeType (wcześniej pLog) dla Drupala umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr albumId w akcji ViewAlbum do index.php.
Wielokrotne podatności na przejście katalogu w BitKinex 2.9.3 umożliwiają zdalnym serwerom FTP i WebDAV tworzenie lub nadpisywanie dowolnych plików poprzez użycie sekwencji .. (kropka kropka) w odpowiedzi na polecenie LIST z klienta FTP BitKinex oraz w odpowiedzi na polecenie PROPFIND z klienta WebDAV BitKinex.
W podatności CVE-2008-2638 występuje statyczna luka wstrzykiwania kodu w pliku guestbook.php w wersji 1Book 1.0.1 i wcześniejszych. Umożliwia ona zdalnym atakującym przesyłanie dowolnego kodu PHP za pomocą parametru message w formularzu HTML, który jest zapisywany w pliku data.php.
Implementacja asn1 w jądrze Linuxa w wersjach 2.4 przed 2.4.36.6 oraz 2.6 przed 2.6.25.5, używana w modułach cifs i ip_nat_snmp_basic, a także w pakiecie gxsnmp, nieprawidłowo waliduje wartości długości podczas dekodowania danych ASN.1 BER. To umożliwia zdalnym atakującym spowodowanie awarii systemu lub wykonanie dowolnego kodu.
Podatność SQL injection w komponencie eQuotes (com_equotes) w wersji 0.9.4 dla Joomla! umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id w pliku index.php.
Interfejs zarządzania w Akamai Client (wcześniej Red Swoosh) w wersji 3322 i wcześniejszych pozwala zdalnym atakującym na ominięcie uwierzytelnienia poprzez żądanie HTTP, które nie zawiera nagłówka Referer lub zawiera sfałszowany nagłówek Referer pasujący do zatwierdzonej domeny. To umożliwia przeprowadzenie ataków CSRF i zmuszenie klienta do pobrania oraz wykonania dowolnych plików.
Skype w wersjach 3.6.0.248 i wcześniejszych przed 3.8.0.139 stosuje porównanie uwzględniające wielkość liter podczas sprawdzania niebezpiecznych rozszerzeń. Umożliwia to zdalnym atakującym, przy pomocy użytkownika, ominięcie okienek ostrzegawczych i potencjalne wykonanie dowolnego kodu za pomocą URI pliku z niebezpiecznym rozszerzeniem o innej wielkości liter.