Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W ActiveNews Manager występuje wiele podatności na wstrzykiwanie SQL, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL. Podatności te dotyczą parametrów (1) catID w pliku activeNews_categories.asp, (2) articleID w pliku activeNews_comments.asp oraz (3) query w pliku activenews_search.asp.
Wielokrotne podatności na wstrzykiwanie SQL w forum BaalAsp umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) hasło w (a) adminlogin.asp, (2) nazwę lub (3) hasło w (b) userlogin.asp, lub (3) parametr wyszukiwania w search.asp.
W ActiveNews Manager występuje kilka podatności na wstrzykiwanie SQL, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametry (1) articleID w pliku activenews_view.asp lub (2) page w pliku default.asp.
Wielokrotne podatności na zdalne włączenie pliku PHP w pliku adminprint.php w PicturesPro Photo Cart 3.9 umożliwiają zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrach (1) admin_folder i (2) path.
Wersja beta a-ConMan 3.2 zawiera podatność na zdalne dołączanie plików w pliku common.inc.php, co pozwala zdalnym atakującym na wykonanie dowolnego kodu PHP poprzez URL w parametrze cm_basedir.
W systemie Enthrallweb eShopping Cart występuje kilka podatności na wstrzykiwanie SQL, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL. Podatności te dotyczą parametrów ProductID w pliku reviews.asp oraz cat_id i sub_id w pliku subProducts.asp.
Wielokrotne podatności na zdalne włączenie pliku PHP w LoudMouth 2.4 umożliwiają zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrze mainframe w plikach (1) admin.loudmouth.php lub (2) toolbar.loudmouth.php.
Podatność SQL injection w pliku bpg/publications_list.asp w BPG-InfoTech Easy Publisher i Smart Publisher//Pro 2.7.7 pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr vjob.
Przepełnienie bufora w Tape Engine (tapeeng.exe) w CA BrightStor ARCserve Backup 11.5 i wcześniejszych wersjach umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez określone żądania RPC do portu TCP 6502.
W gNews Publisher występuje wiele podatności na wstrzykiwanie SQL w pliku categories.asp, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametry (1) catID lub (2) editorID.
Podatność CVE-2006-6081 dotyczy zdalnego włączenia pliku w PHP w pliku Smarty_Compiler.class.php w wersji Telaen 1.1.0 i wcześniejszych. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu PHP poprzez podanie adresu URL w parametrze plugin_file.
Wielokrotne podatności na wstrzykiwanie SQL w systemie Enthrallweb eShopping Cart umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr (1) ProductID w pliku productdetail.asp lub (2) categoryid w pliku products.asp.
My Firewall Plus 5.0 Build 1119 nie weryfikuje, czy proces explorer.exe jest uruchomiony przed uruchomieniem iexplore.exe z funkcji 'Testuj swój firewall', co pozwala lokalnym użytkownikom uzyskać uprawnienia SYSTEM.
Wielokrotne podatności na wstrzykiwanie SQL w Dragon Calendar / Events Listing 2.x umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) username lub (2) password w (a) admin_login.asp, (3) ID w (b) event_searchdetail.asp, lub (4) VenueID w (c) venue_detail.asp.
Wielokrotne podatności typu SQL injection w systemie 20/20 DataShed (znanym również jako Real Estate Listing System) umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) itemID w pliku f-email.asp oraz (2) peopleID i (2) sort_order w pliku listings.asp.
W wersjach Un4seen XMPlay 3.3.0.5 i wcześniejszych występuje przepełnienie bufora na stosie, które umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez plik M3U zawierający długą nazwę pliku oraz spowodowanie awarii poprzez długą nazwę wyświetlaną.
Podatność typu SQL injection w module/account/register/register.asp w ASP Nuke 0.80 i wcześniejszych wersjach umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru StateCode.
Wielokrotne przepełnienia bufora w Interpreterze Analizy Wiadomości (MPI) w Fuzzball MUCK przed wersją 6.07 umożliwiają zdalnym atakującym wykonanie dowolnego kodu poprzez odpowiednio skonstruowane wiadomości.
Przepełnienie bufora w sterowniku MA521nd5.SYS w wersji 5.148.724.2003 dla adaptera NetGear MA521 PCMCIA umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez odpowiedzi na ramki 802.11 beacon lub probe z długim elementem informacji o wspieranych szybkościach. Problem został zgłoszony jako błąd 'uszkodzenia pamięci', jednak powiązany kod exploit sugeruje, że jest to przepełnienie bufora.
W A5AGU.SYS w wersji 1.0.1.41 dla adaptera bezprzewodowego D-Link DWL-G132 występuje przepełnienie bufora na stosie, które może być wykorzystane przez zdalnych atakujących do wykonania dowolnego kodu. Atak wymaga wysłania żądania beacon 802.11 z długim elementem informacji Rates.