Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Nieznana podatność na stronie logowania HP Systems Insight Manager (SIM) w wersjach 4.0 i 4.1, gdy jest używana przeglądarka Microsoft Internet Explorer z poprawką MS04-025, prowadzi do zablokowania przeglądarki. Problem nie wydaje się być związany z atakiem ze strony złośliwego użytkownika.
W module zapytań biletów w Edgewall Trac 0.9 i prawdopodobnie wcześniejszych wersjach występuje podatność na wstrzykiwanie SQL, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL za pomocą parametru group.
Podatność SQL injection w WebCalendar 1.0.1 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr time_range w pliku edit_report_handler.php. Warto zauważyć, że wektor startid/activity_log.php jest już objęty CVE-2005-3949.
Podatność na wstrzykiwanie SQL w MXChange przed wersją 0.2.0-pre10 PL492 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą nieznanych wektorów.
Wielokrotne podatności na wstrzyknięcia SQL w NetClassifieds Premium Edition 1.0.1, Professional Edition 1.5.1, Standard Edition 1.9.6.3 oraz Free Edition 1.0.1 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL. Ataki mogą być przeprowadzane poprzez parametry CatID w plikach ViewCat.php i gallery.php oraz ItemNum w pliku ViewItem.php.
Podatność typu SQL injection w pliku type.asp, używanym w wielu produktach DUware, umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr iType. Dotyczy to m.in. produktów takich jak DUamazon, DUarticle, DUclassified, DUdirectory, DUdownload, DUgallery, DUnews oraz DUpaypal.
Podatność SQL injection w pliku auth.inc.php w PHPX w wersji 3.5.9 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL, ominięcie uwierzytelnienia oraz przesyłanie dowolnego kodu PHP za pomocą parametru nazwy użytkownika.
W bibliotece libUil (libUil.so) w OpenMotif 2.2.3 oraz prawdopodobnie w innych wersjach występuje wiele przepełnień bufora, które umożliwiają atakującym wykonanie dowolnego kodu. Problemy te dotyczą funkcji diag_issue_diagnostic w pliku UilDiags.c oraz open_source_file w pliku UilSrcSrc.c.
Podatność SQL injection w pliku session.php w DotClear przed wersją 1.2.3 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr dc_xd w ciasteczku.
Podatność SQL injection w SocketKB 1.1.0 i wcześniejszych wersjach umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) node i (2) art_id.
Podatność na wstrzykiwanie SQL w pliku index.php w N-13 News 1.2 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id.
Podatność na wstrzykiwanie SQL w pliku default.asp w ASP-Rider 1.6 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pośrednictwem nagłówka HTTP referer.
Podatność na wstrzykiwanie SQL w pliku index.php w 88Script's Event Calendar w wersji 2.0 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr m.
Podatność SQL injection w Bedeng PSP 1.1 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr cwhere w plikach index.php i download.php, a także parametr ckode w pliku baca.php.
Podatność SQL injection w pliku okiraku.php w O-Kiraku Nikki 1.3 i wcześniejszych wersjach umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr day_id.
Podatność SQL injection w pliku survey.php w PHP Labs Survey Wizard umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr sid.
Podatność na wstrzykiwanie SQL w pliku blog.php w Orca Blog 1.3b i wcześniejszych wersjach umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru msg.
Podatność w SocketKB 1.1.0 i wcześniejszych wersjach umożliwia zdalnym atakującym dołączenie dowolnych lokalnych plików za pomocą parametru __f.
Funkcja ochrony SynAttackProtect w systemach Microsoft Windows 2003 przed SP1 oraz Windows 2000 przed SP4 z aktualizacją Roll-up wykorzystuje hasz przewidywalnych danych. To umożliwia zdalnym atakującym wywołanie odmowy usługi (zużycie CPU) poprzez zalewanie systemu pakietami SYN, które generują identyczne wartości haszujące, co spowalnia wyszukiwanie w tabeli haszującej.
Podatność SQL injection w skrypcie Softbiz FAQ w wersji 1.1 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id w plikach index.php, faq_qanda.php, refer_friend.php, print_article.php oraz add_comment.php.