Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W DMXReady Secure Login Manager 1.0 występuje wiele podatności na wstrzykiwanie SQL, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez nieokreślone parametry w różnych skryptach. Dotyczy to zarówno panelu lokalnego, jak i zdalnej witryny.
Wielokrotne podatności na zdalne włączenie pliku PHP w process.php w buratinable templator (znanym jako bubla) w wersji 1.0.0rc2 i wcześniejszych umożliwiają zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrach (1) bu_dir lub (2) bu_config[dir].
AlstraSoft Web Host Directory umożliwia zdalnym atakującym ominięcie uwierzytelnienia oraz zmianę hasła administratora poprzez bezpośrednie żądanie do admin/config.
Podatność CVE-2006-6823 dotyczy zdalnego włączenia pliku w PHP w pliku plugins/metasearch/plug.inc.php w Yrch! 1.0. Umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez podanie odpowiedniego URL w parametrze ścieżki.
Podatność SQL injection w pliku list.asp w Ananda Real Estate w wersji 3.4 i wcześniejszych pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr agent.
W podatności CVE-2006-6802 występuje luka typu SQL injection w pliku actualpic.asp w systemie Enthrallweb ePages, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr Biz_ID.
Podatność SQL injection w pliku newsdetail.asp w Enthrallweb eMates 1.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr ID.
Podatność SQL injection w Cacti 0.8.6i i wcześniejszych, gdy włączona jest opcja register_argc_argv, pozwala zdalnym atakującym na wykonanie dowolnych poleceń SQL poprzez drugi lub trzeci argument w cmd.php. Problem ten może być wykorzystany do wykonania dowolnych poleceń, ponieważ wyniki zapytania SQL są później używane w tablicy polling_items oraz funkcji popen.
W podatności CVE-2006-6805 występuje luka typu SQL injection w pliku newsdetail.asp w systemie Enthrallweb eJobs, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr ID.
W podatności CVE-2006-6803 występuje luka typu SQL injection w pliku Types.asp w aplikacji Enthrallweb eCars 1.0, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr Type_id.
Podatność typu SQL injection w pliku bus_details.asp w Dragon Business Directory - Pro w wersji 3.01.12 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr ID.
Podatność CVE-2006-6793 dotyczy zdalnego włączenia pliku w PHP w pliku ataturk.php w Okul Merkezi Portal 1.0. Umożliwia ona zdalnym atakującym wykonanie dowolnego kodu PHP poprzez podanie złośliwego URL w parametrze page.
Podatność SQL injection w pliku SelGruFra.asp w chatwm 1.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) txtUse i (2) txtPas.
Podatność typu SQL injection w pliku calendar_detail.asp w Calendar MX BASIC 1.0.2 i wcześniejszych wersjach umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr ID.
Podatność CVE-2006-6789 dotyczy zdalnego dołączania plików w Phpbbxtra 2.0, co pozwala atakującym na wykonanie dowolnego kodu PHP poprzez manipulację parametrem phpbb_root_path.
Skrypty settings.php i subscribers.php w Open Newsletter w wersji 2.5 i wcześniejszych nie kończą działania po nieudanej autoryzacji, co umożliwia zdalnym atakującym wykonywanie nieautoryzowanych działań administracyjnych lub uruchamianie dowolnego kodu w połączeniu z inną podatnością.
W podatności CVE-2006-6790 występuje bezpośrednia luka wstrzykiwania statycznego kodu w pliku chat/login.php w Ultimate PHP Board (UPB) w wersji 2.0b1 i wcześniejszych. Umożliwia to zdalnym atakującym wstrzykiwanie dowolnego kodu PHP poprzez parametr nazwy użytkownika, który jest następnie wstrzykiwany do chat/text.php.
Wielokrotne podatności na wstrzykiwanie SQL w Future Internet umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) newsId lub (2) categoryid w akcji Portal.Showpage w pliku index.cfm, lub (3) parametr langId w index.cfm.
W formularzu logowania w HLstats w wersjach od 1.20 do 1.34 występuje podatność na atak typu SQL injection, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr killLimit.
W module My_eGallery 2.5.6 w myPHPNuke (MPN) występuje podatność na zdalne dołączanie plików PHP w pliku gallery/displayCategory.php. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu PHP poprzez manipulację parametrem basepath w URL.