Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.09)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wtyczka modifier.regex_replace.php w Smarty przed wersją 2.6.19, używana m.in. przez Serendipity (S9Y), umożliwia atakującym wywoływanie dowolnych funkcji PHP poprzez szablony. Podatność związana jest z użyciem znaku '\0' w ciągu wyszukiwania.
Funkcja ip6_check_rh0hdr w pliku netinet6/ip6_input.c w systemie OpenBSD 4.2 umożliwia atakującym spowodowanie odmowy usługi (panic) poprzez złośliwe nagłówki routingu IPv6.
Podatność na wstrzykiwanie kodu wtyczki Sniplets w wersjach 1.1.2 i 1.2.2 dla WordPressa umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez parametr tekstowy.
Funkcja tcp_respond w pliku netinet/tcp_subr.c w systemach OpenBSD 4.1 i 4.2 umożliwia atakującym wywołanie odmowy usługi (panic) za pomocą spreparowanych pakietów TCP.
Podatność CVE-2008-1059 dotyczy wtyczki Sniplets w wersjach 1.1.2 i 1.2.2 dla WordPressa, która umożliwia zdalne włączenie pliku PHP. Atakujący mogą wykorzystać tę lukę, aby wykonać dowolny kod PHP poprzez manipulację parametrem libpath.
Przepełnienie bufora w funkcji Single Sign-On w Fujitsu Interstage Application Server w wersjach 8.0.0 do 8.0.3 oraz 9.0.0, Interstage Studio w wersjach 8.0.1 i 9.0.0 oraz Interstage Apworks w wersji 8.0.0 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez długi URI.
W kontrolce ActiveX Quantum Streaming Player występuje przepełnienie bufora na stosie, które pozwala zdalnym atakującym na wykonanie dowolnego kodu. Problem dotyczy plików qsp2ie07076007.dll w wersji 7.7.6.7 oraz qsp2ie07074039.dll w wersji 7.7.4.39.
W podatności CVE-2008-1055 występuje luka formatu w pliku webmail.exe w NetWin SurgeMail 38k4 i wcześniejszych wersjach oraz beta 39a, a także w WebMail 3.1s i wcześniejszych. Umożliwia to zdalnym atakującym spowodowanie awarii demona (denial of service) oraz potencjalne wykonanie dowolnego kodu za pomocą specyfikatorów formatu w parametrze strony.
Podatność na wstrzykiwanie SQL w pliku question.asp w PORAR WEBBOARD umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr QID.
Podatność SQL injection w pliku index.php w skrypcie Softbiz Jokes & Funny Pics umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr sbcat_id.
Podatność CVE-2008-1043 dotyczy zdalnego włączenia pliku w PHP w pliku templates/default/header.inc.php w Linux Web Shop (LWS) php User Base 1.3 BETA. Umożliwia ona zdalnym atakującym wykonanie dowolnego kodu PHP poprzez podanie odpowiedniego URL w parametrze menu.
Nieokreślona podatność w Parallels SiteStudio przed wersją 1.7.2 oraz w wersjach 1.8.x przed 1.8b, używana w Parallels H-Sphere 3.0 przed Łatką 9 i 2.5 przed Łatką 11, ma nieznany wpływ i wektory ataku.
W module Kose_Yazilari dla PHP-Nuke występuje wiele podatności na wstrzykiwanie SQL, które umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr artid w akcjach (1) viewarticle lub (2) printpage w modules.php.
Demuxer MP4 (mp4.c) w odtwarzaczu VLC media player w wersji 0.8.6d i wcześniejszych, używany również w Miro Player 1.1 i wcześniejszych, pozwala zdalnym atakującym na nadpisanie dowolnej pamięci oraz wykonanie dowolnego kodu poprzez złośliwy plik MP4.
Przepełnienie bufora w Double-Take (znanym również jako HP StorageWorks Storage Mirroring) w wersji 4.5.0.1629 oraz innych wersjach 4.5.0.x umożliwia zdalnym atakującym wywołanie nieznanego wpływu poprzez pakiet z długim ciągiem w polu nazwy użytkownika.
Wielokrotne podatności na wstrzykiwanie SQL w interfejsie przeglądarki Eagle Software Aeries (ABI) w wersji 3.7.2.2 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry FC w Comments.asp oraz Term w Labels.asp i ClassList.asp.
Podatność SQL injection w pliku GradebookStuScores.asp w Eagle Software Aeries Browser Interface (ABI) w wersji 3.8.2.8 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru GrdBk.
Diatheke w wersji 1.5.9 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń poprzez wykorzystanie metaznaków powłoki w parametrze 'range'.
Wtyczka WP Photo Album (WPPA) przed wersją 1.1 zawiera wiele podatności na wstrzykiwanie SQL w pliku wppa.php. Atakujący zdalnie mogą wykonywać dowolne polecenia SQL poprzez parametry photo i album w index.php.
W kontrolce ActiveX Novell iPrint Control w pliku ienipp.ocx przed wersją 4.34 występuje przepełnienie bufora na stosie. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu poprzez długi argument przekazywany do metody ExecuteRequest.