Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność na wstrzykiwanie SQL w pliku index.php w systemie CMS CyberDoc SiteSuite umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru page.
W podatności CVE-2006-0160 występuje luka typu SQL injection w pliku add_post.php3 w Venom Board 1.22, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametry (1) parent, (2) root oraz (3) topic_id w post.php3.
Podatność typu SQL injection w pliku showthread.php w wersjach 427BB 2.2 i 2.2.1 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr ForumID.
Wersje sudo 1.6.8 i inne nie usuwają zmiennej środowiskowej PYTHONINSPECT, co pozwala ograniczonym lokalnym użytkownikom na uzyskanie uprawnień za pomocą skryptu Pythona, będącego wariantem CVE-2005-4158.
Funkcja serwera proxy w go-pear.php w PHP PEAR 0.2.2, używana w Apache2Triad, umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez przekierowanie go-pear.php do złośliwego serwera proxy, który dostarcza zmodyfikowaną wersję Tar.php z złośliłą funkcją extractModify.
Skrypt testowy server.php w ADOdb dla PHP przed wersją 4.70, używany w wielu produktach, umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr sql, gdy hasło root MySQL jest puste.
W skrypcie testowym tests/tmssql.php w ADOdb dla PHP przed wersją 4.70 występuje podatność na dynamiczną ewaluację kodu. Umożliwia to zdalnym atakującym wykonywanie dowolnych funkcji PHP poprzez parametr do, który jest zapisywany w zmiennej i następnie wykonywany jako funkcja.
Wielokrotne podatności związane z formatowaniem ciągów w funkcji auth_ldap_log_reason w Apache auth_ldap w wersji 1.6.0 i wcześniejszych umożliwiają zdalnym atakującym wykonanie dowolnego kodu poprzez różne wektory, w tym nazwę użytkownika.
Silnik renderowania grafiki Microsoft Windows (GRE) umożliwia zdalnym atakującym uszkodzenie pamięci i spowodowanie awarii systemu (denial of service) poprzez plik WMF zawierający wywołania funkcji ExtCreateRegion lub ExtEscape z argumentami o niespójnych długościach.
Agenta zarządzania pocztą (MAILMA) w Rockliffe MailSite w wersji 7.0.3.1 i wcześniejszych umożliwia zdalnym atakującym próbę uwierzytelnienia z nieograniczoną liczbą nazw użytkowników i haseł bez blokowania połączeń, ograniczania liczby połączeń lub zablokowania konta.
Wielokrotne podatności na wstrzykiwanie SQL w OnePlug Solutions OnePlug CMS umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) Press_Release_ID w pliku press/details.asp, (2) Service_ID w pliku services/details.asp oraz (3) Product_ID w pliku products/details.asp.
Wielokrotne podatności na wstrzykiwanie SQL w ADN Forum 1.0b umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) fid w index.php oraz (2) pagid w verpag.php, a także potencjalnie inne wektory.
W podatności CVE-2006-0135 występuje luka typu SQL injection w pliku login.php w TheWebForum (twf) w wersji 1.2.1, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL oraz ominięcie uwierzytelniania logowania poprzez parametr nazwy użytkownika (zmienna u).
Wielokrotne nieokreślone podatności w IBM Lotus Notes i Domino Server przed wersją 6.5.5 mogą prowadzić do nieznanego wpływu i wektorów ataku. Jedna z podatności związana jest z NROUTER, co pozwala zdalnym atakującym na wywołanie odmowy usługi poprzez wysłanie spreparowanego żądania spotkania vCal za pomocą SMTP.
Wielokrotne wycieki pamięci w IBM Lotus Notes i Domino Server przed wersją 6.5.5 mogą umożliwić atakującym spowodowanie odmowy usługi (zużycie pamięci i awaria) poprzez nieznane wektory związane z handshake SSL oraz plikiem stash podczas handshake SSL.
Podatność SQL injection w pliku linkcategory.php w systemie Chimera Web Portal 0.2 firmy Phanatic Softwares umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id.
Przepełnienie bufora w usłudze IMAP Rockliffe MailSite przed wersją 6.1.22.1 może umożliwić zdalnym atakującym wywołanie nieznanego wpływu poprzez nieznane wektory ataku.
Podatność SQL injection w Timecan CMS umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru viewID. Informacje pochodzą z nieznanego źródła i nie można potwierdzić, czy jest to ta sama kwestia, co w CVE-2006-0108.
Podatność SQL injection w pliku mcl_login.asp w Timecan CMS umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru email. Informacje pochodzą z nieznanego źródła i nie można potwierdzić, czy jest to ta sama kwestia, co w CVE-2006-0107.
W plikach gdi/driver.c i gdi/printdrv.c w Wine 20050930 oraz innych wersjach zaimplementowano funkcję wywołania ucieczki SETABORTPROC GDI dla plików Windows Metafile (WMF), co pozwala atakującym na wykonanie dowolnego kodu. Jest to ta sama podatność co CVE-2005-4560, ale w innej bazie kodu.