Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność SQL injection w skrypcie Techno Dreams Announcement umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL oraz ominięcie uwierzytelnienia za pomocą parametru userid w pliku admin/login.asp.
Podatność SQL injection w skrypcie Techno Dreams Mailing List umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL oraz ominięcie uwierzytelnienia poprzez parametr userid w pliku admin/login.asp.
W podatności CVE-2005-3363 występuje luka typu SQL injection w Saphp Lesson, prawdopodobnie w wersjach saphp Lesson1.1 i saphp Lesson2.0. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr forumid w plikach showcat.php i add.php.
Podatność na wstrzykiwanie SQL w Mantis 1.0.0RC2 i 0.19.2 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieznane wektory.
Docutils w Zope w wersjach 2.6, 2.7 przed 2.7.8 oraz 2.8 przed 2.8.2 umożliwia zdalnym atakującym dołączanie dowolnych plików za pomocą dyrektyw include w funkcjonalności RestructuredText.
Wiele podatności na wstrzykiwanie SQL w plikach acid_qry_main.php w ACID 0.9.6b20 oraz base_qry_main.php w BASE 1.2, a także w innych nieokreślonych skryptach konsolowych tych produktów, umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr sig[1] oraz potencjalnie inne parametry.
Podatność typu SQL injection w pliku usercp.php w MyBulletinBoard (MyBB) umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr awayday.
Podatność w pliku bug_sponsorship_list_view_inc.php w Mantis 1.0.0RC2 i 0.19.2 umożliwia zdalnym atakującym wykonywanie dowolnego kodu PHP oraz dołączanie dowolnych lokalnych plików poprzez parametr t_core_path.
W programie Ethereal w wersji 0.10.12 i wcześniejszych występuje wiele przepełnień bufora, które mogą umożliwić zdalnym atakującym wykonanie dowolnego kodu poprzez nieznane wektory w (1) disektorze SLIMP3 oraz (2) disektorze AgentX.
Podatność SQL injection w pliku chat.php w MWChat 6.8 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr nazwy użytkownika.
Mantis przed wersją 0.19.3 przechowuje identyfikator użytkownika dłużej niż to konieczne, co może prowadzić do nieznanych skutków oraz wektorów ataku.
Podatność na wstrzykiwanie SQL w eBASEweb 3.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieznane wektory ataku.
Funkcja _httpsrequest w Snoopy 1.2, używana w produktach takich jak MagpieRSS, WordPress, Ampache i Jinzora, umożliwia zdalnym atakującym wykonywanie dowolnych poleceń poprzez metaznaki powłoki w adresie URL HTTPS do strony internetowej chronionej SSL, co nie jest prawidłowo obsługiwane przez funkcję fetch.
W programie ZipGenius w wersjach 5.5.1.468, 6.0.2.1041 oraz wcześniejszych niż 6.0.2.1050 występują wielokrotne przepełnienia bufora na stosie. Atakujący zdalnie mogą wykonać dowolny kod poprzez archiwum ZIP zawierające plik z długą nazwą lub długą nazwą oryginalną w plikach UUE, XXE lub MIM.
Przepełnienie bufora w Skype dla systemu Windows w wersjach od 1.1.x.0 do 1.4.x.83 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez linki (1) callto://, (2) skype:// lub (3) niestandardowy VCARD, co może być spowodowane błędem w procedurze SysUtils.WideFmtStr w Delphi.
Przepełnienie całkowitej liczby w kliencie Skype przed wersją 1.4.x.84 na Windows, przed 1.3.x.17 na Mac OS, przed 1.2.x.18 na Linux oraz 1.1.x.6 i wcześniejszych pozwala zdalnym atakującym na spowodowanie awarii (denial of service) poprzez wysłanie spreparowanych danych sieciowych z dużą wartością licznika obiektów, co prowadzi do przepełnienia bufora w stercie.
Podatność zdalnego dołączania plików w PHP w pliku common.php w PunBB w wersjach od 1.1.2 do 1.1.5 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez parametr pun_root.
Podatność CVE-2005-3332 dotyczy zdalnego dołączania plików w PHP w pliku admin/define.inc.php w Belchior Foundry vCard 2.9. Umożliwia ona zdalnym atakującym wykonanie dowolnego kodu PHP poprzez parametr match.
Podatność w Network Appliance Data ONTAP 7.0 i wcześniejszych wersjach pozwala inicjatorom iSCSI na ominięcie uwierzytelniania iSCSI poprzez zmodyfikowanego klienta, który pomija tryb zabezpieczeń (Start) wymagany przez protokół negocjacji logowania i używa trybu operacyjnego bez potwierdzenia tożsamości.
Instalacja ON Symantec Discovery w wersjach 4.5.x i 6.0 tworzy konta baz danych (1) DiscoveryWeb i (2) DiscoveryRO z pustymi hasłami. To może umożliwić atakującym uzyskanie uprawnień lub zablokowanie działania Discovery poprzez ustawienie innego hasła.