Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność SQL injection w pliku create.php w Widget Imprint w wersji 1.0.26 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr product_id.
Podatność SQL injection w pliku calendar.php w Codewalkers ltwCalendar (znanym również jako PHP Event Calendar) w wersjach 4.2, 4.1.3 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id.
Podatność na wstrzykiwanie SQL w SimpleBBS 1.1 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieokreślone parametry modułu wyszukiwania.
Help Desk Reloaded Free Help Desk nie usuwa ani nie chroni pliku install.php po zakończeniu instalacji, co pozwala zdalnym atakującym na uzyskanie uprawnień poprzez bezpośrednie żądanie do install.php, a następnie przejście do accountsetup.php i utworzenie nowego użytkownika.
Podatność SQL injection w pliku index.php w systemie Relative Real Estate Systems w wersji 1.02 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr mls.
Podatność SQL injection w Widget Property 1.1.19 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry property_id, zip_code, property_type_id, price oraz city_id w pliku property.php.
Podatność SQL injection w KBase Express 1.0.0 i wcześniejszych wersjach umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr (1) id w pliku category.php oraz (2) parametry search w pliku search.php.
Wielokrotne podatności na wstrzykiwanie SQL w PHP Lite Calendar Express 2.2 i wcześniejszych wersjach umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) cid i (2) catid w plikach (a) day.php, (b) week.php, (c) month.php oraz (d) year.php.
Podatność SQL injection w pliku messages.php w PHP-Fusion 6.00.109 umożliwia zdalnym atakującym uzyskanie informacji o ścieżkach oraz potencjalne wykonanie dowolnych poleceń SQL poprzez parametr srch_text w opcji Wyszukiwanie i Sortowanie w messages.php.
SAPID CMS w wersjach przed 1.2.3.03 umożliwia zdalnym atakującym ominięcie uwierzytelnienia poprzez bezpośrednie żądania do plików usr/system, takich jak insert_file.php, insert_image.php, insert_link.php, insert_qcfile.php oraz edit.php.
Wielokrotne nieokreślone podatności w SAPID CMS przed wersją 1.2.3.03, związane z nowo zarejestrowanymi użytkownikami oraz możliwymi kontrolami autoryzacji, dotyczą plików mvc/controller/user_request_analysis.inc.php oraz usr/xml/ddc/authorization.xml.
Wersje phpYellowTM Pro Edition i Lite Edition 5.33 zawierają wiele podatności na wstrzykiwanie SQL, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametry (1) haystack w pliku search_result.php lub (2) ckey w pliku print_me.php.
Wielokrotne podatności na wstrzykiwanie SQL w rozwiązaniach Absolute Shopping Package Solutions (ASPS) w wersjach Shopping Cart Professional 2.9d i wcześniejszych oraz Lite 2.1 i wcześniejszych, umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) srch_product_name w adv_search.asp oraz (2) b_search w bsearch.asp.
Wielokrotne nieokreślone podatności w MailEnable Professional 1.6 i wcześniejszych oraz Enterprise 1.1 i wcześniejszych umożliwiają atakującym spowodowanie odmowy usługi (awarii) poprzez nieprawidłowe polecenia IMAP.
W WinEggDropShell remote access trojan (RAT) w wersji 1.7 występuje wiele przepełnień bufora, które umożliwiają zdalnym atakującym wykonanie dowolnego kodu. Atak może być przeprowadzony poprzez długi żądanie GET do serwera HTTP lub długie komendy USER lub PASS do serwera FTP.
W Tradesoft CMS występuje wiele podatności na ataki typu SQL injection, które umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory ataku.
Wielokrotne podatności na wstrzykiwanie SQL w Instant Photo Gallery 1 i wcześniejszych wersjach pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametry (1) cat_id w portfolio.php oraz (2) cid w content.php.
Podatność SQL injection w pliku article.php w Pineapple Technologies Lore 1.5.4 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id.
Implementacja Internet Key Exchange w wersji 1 (IKEv1) w Astaro Security Linux przed wersją 6.102 pozwala zdalnym atakującym na wywołanie odmowy usługi oraz potencjalne wykonanie dowolnego kodu poprzez spreparowane pakiety IKE. Problem został zademonstrowany przez zestaw testowy PROTOS ISAKMP dla IKEv1.
W Avaya TN2602AP IP Media Resource 320 przed wersją oprogramowania 9 występuje wyciek pamięci, który może być wykorzystany przez zdalnych atakujących. Atakujący mogą spowodować odmowę usługi poprzez wysyłanie spreparowanych pakietów VoIP.