Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.07.29)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W podatności CVE-2016-9020 występuje luka typu SQL injection w pliku helpController.php w Exponent CMS w wersji 2.3.9 i wcześniejszych. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr wersji.
W podatności CVE-2016-9019 występuje luka typu SQL injection w funkcji activate_address w pliku addressController.php w Exponent CMS w wersji 2.3.9 i wcześniejszych. Umożliwia to zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr is_what.
W podatności CVE-2016-8863 występuje przepełnienie bufora w stercie w funkcji create_url_list w Portable UPnP SDK przed wersją 1.6.21. Umożliwia to zdalnym atakującym spowodowanie awarii usługi lub potencjalne wykonanie dowolnego kodu poprzez wysłanie poprawnego URI, po którym następuje niepoprawne w nagłówku CALLBACK żądania SUBSCRIBE.
W podatności CVE-2016-7789 występuje luka typu SQL injection w pliku expConfig.php w Exponent CMS w wersji 2.3.9 i wcześniejszych. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru apikey.
W Exponent CMS w wersji 2.3.9 i wcześniejszych występuje podatność na wstrzyknięcie SQL w pliku framework/modules/users/models/user.php, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr nazwy użytkownika.
W podatności CVE-2016-7784 występuje luka typu SQL injection w funkcji getSection w pliku expRouter.php w Exponent CMS w wersji 2.3.9 i wcześniejszych. Umożliwia to zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr section.
W podatności CVE-2016-7783 występuje luka typu SQL injection w pliku expRecord.php w Exponent CMS w wersji 2.3.9 i wcześniejszych. Umożliwia to zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr title.
W podatności CVE-2016-7782 występuje luka typu SQL injection w pliku expConfig.php w Exponent CMS w wersji 2.3.9 i wcześniejszych. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr src.
W Exponent CMS w wersji 2.3.9 i wcześniejszych występuje podatność na atak typu SQL injection w pliku blogController.php. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr 'author'.
Podatność typu SQL injection w pliku cron/find_help.php w Exponent CMS w wersji 2.3.9 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr version.
Komponent camel-snakeyaml w Apache Camel jest podatny na lukę związaną z de-serializacją obiektów Java. De-serializacja niezaufanych danych może prowadzić do poważnych luk bezpieczeństwa.
Funkcja m_authenticate w nefarious2 pozwala zdalnym atakującym na fałszowanie odcisków palców certyfikatów, co umożliwia logowanie się jako inny użytkownik za pomocą spreparowanego parametru AUTHENTICATE.
W SysGauge 1.5.18 odkryto podatność na przepełnienie bufora weryfikacji połączenia SMTP, co prowadzi do możliwości wykonania dowolnego kodu. Atakujący może wykorzystać stworzony daemon SMTP, który wysyła długi ciąg 220 (znany jako 'Service ready').
Polecenie dropbearconvert w Dropbear SSH przed wersją 2016.74 umożliwia atakującym wykonanie dowolnego kodu poprzez spreparowany plik klucza OpenSSH.
W podatności CVE-2016-7406 w Dropbear SSH przed wersją 2016.74 występuje luka formatująca, która pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez specyfikatory formatu w argumentach (1) nazwy użytkownika lub (2) hosta.
Revive Adserver w wersjach przed 4.0.1 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez zserializowane dane w ciasteczkach związanych z skryptami dostarczania.
W podatności CVE-2016-10204 występuje luka typu SQL injection w Zoneminder w wersji 1.30 i wcześniejszych, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr limit w zapytaniu logu do index.php.
Gem festivaltts4r dla Ruby umożliwia zdalnym atakującym wykonywanie dowolnych poleceń poprzez metaznaki powłoki w ciągu przekazywanym do metod (1) to_speech lub (2) to_mp3 w pliku lib/festivaltts4r/festival4r.rb.
Gem espeak-ruby w wersjach przed 1.0.3 dla Ruby umożliwia zdalnym atakującym wykonywanie dowolnych poleceń poprzez metaznaki powłoki w ciągu przekazywanym do metod speak, save, bytes lub bytes_wav w pliku lib/espeak/speech.rb.
PySAML2 umożliwia zdalnym atakującym przeprowadzenie ataków typu XML external entity (XXE) za pomocą spreparowanego żądania lub odpowiedzi SAML XML.