Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność typu SQL injection w pliku pmlite.php w RunCMS w wersjach 1.2 i 1.3a umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr to_userid.
Podatność na wstrzykiwanie SQL w pliku search.php w webSPELL 4.01.00 i wcześniejszych wersjach umożliwia zdalnym atakującym wstrzykiwanie dowolnych poleceń SQL za pomocą parametru title_op.
Podatność SQL injection w pliku member_login.php w PHP Classifieds w wersjach od 6.18 do 6.20 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) username, używane w polu adresu E-mail, oraz (2) password.
Wielokrotne podatności na wstrzykiwanie SQL w pliku rb_auth.php w wersji 0.99.2 beta i wcześniejszych pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL oraz obejście uwierzytelniania logowania za pomocą parametrów (1) login i (2) hasło.
W aplikacji nicecoder.com w wersjach 5.0.0 i 5.0.1 występuje podatność na zdalne dołączanie plików PHP w pliku application.php. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu PHP poprzez podanie złośliwego URL w parametrze base_path.
Wielokrotne podatności na wstrzykiwanie SQL w Carey Briggs PHP/MYSQL Timesheet 1 i 2 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) yr, (2) month, (3) day oraz (4) job w plikach (a) index.php i (b) changehrs.php.
Ansilove w wersjach przed 1.03 nie filtruje rozszerzeń przesyłanych plików, co pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez przesyłanie plików z niebezpiecznymi rozszerzeniami, a następnie bezpośredni dostęp do nich w katalogu przesyłania.
Nieokreślone podatności w Zen Cart przed wersją 1.2.7 umożliwiają zdalnym atakującym wywołanie nieznanego wpływu poprzez nieokreślone wektory związane z 'innymi próbami wykorzystania' poza wstrzyknięciem SQL.
W programie NullSoft Winamp w wersji 5.13 i wcześniejszych występuje wiele przepełnień bufora, które mogą być wykorzystane przez zdalnych atakujących do wykonania dowolnego kodu. Atak może być przeprowadzony poprzez pliki m3u lub pls zawierające długie adresy URL kończące się na .wma.
Podatność typu double free w isode.eddy w serwerze Isode M-Vault 11.3 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowane żądanie LDAP, co zostało zademonstrowane przez ProtoVer Sample LDAP.
Zen Cart w wersjach przed 1.2.7 nie chroni katalogu admin/includes, co pozwala zdalnym atakującym na wywołanie nieokreślonego wpływu poprzez nieokreślone wektory, prawdopodobnie bezpośrednie żądania.
Przepełnienie bufora w Metamail 2.7-50 umożliwia zdalnym atakującym spowodowanie awarii aplikacji (denial of service) lub potencjalne wykonanie dowolnego kodu poprzez wiadomości e-mail z długim atrybutem granicy. Jest to inna podatność niż CVE-2004-0105.
Wielokrotne podatności na wstrzykiwanie SQL w oprogramowaniu TTS Time Tracking Software 3.0 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory.
W podatności SQL injection w Zen Cart przed wersją 1.2.7, zdalni atakujący mogą wykonywać dowolne polecenia SQL poprzez nieokreślone wektory.
Podatność SQL injection w pliku index.php w sNews 1.3 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) category i (2) id.
W podatności CVE-2006-0681 występuje luka w formacie ciągu w pliku powerd.c w Power Daemon (powerd) w wersji 2.0.2 i wcześniejszych, która pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez specyfikatory formatu w zmiennej WHATIDO.
Plik change_password.php w Virtual Hosting Control System (VHCS) w wersji 2.4.7.1 i wcześniejszych nie weryfikuje starego hasła podczas zmiany hasła przez użytkownika. Może to umożliwić zdalnym atakującym uzyskanie nieautoryzowanego dostępu.
Plik add_user.php w Virtual Hosting Control System (VHCS) w wersji 2.4.7.1 i wcześniejszych nie sprawdza uprawnień użytkownika podczas dodawania nowego użytkownika administracyjnego, co umożliwia zdalnym atakującym uzyskanie nieautoryzowanego dostępu.
Funkcja check_login w pliku login.php w Virtual Hosting Control System (VHCS) w wersji 2.4.7.1 i wcześniejszych nie kończy działania w przypadku nieudanej autoryzacji, co umożliwia zdalnym atakującym uzyskanie nieautoryzowanego dostępu.
W Microsoft Windows Media Player 7.1, 9 i 10 występuje przepełnienie bufora oparte na stercie w rutynie przetwarzania bitmap, które pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez spreparowany plik bitmap (.BMP) z określoną wielkością 0, ale zawierający dodatkowe dane.