Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Usługa zdalnego sterowania Compuware DriverStudio (DSRsvc.exe) w wersjach 2.7 i 3.0 beta 2 pozwala zdalnym atakującym na ominięcie uwierzytelnienia poprzez wykorzystanie sesji null.
Podatność SQL injection w pliku infopage.asp w systemie eCommerce Mall23 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr idPage.
W AhnLab V3Pro 2004, V3 VirusBlock 2005 oraz V3Net dla Windows Server występuje przepełnienie bufora na stosie, które pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez długą nazwę pliku w archiwum ACE.
Wielokrotne podatności na wstrzykiwanie SQL w vBulletin 3.0.7 i wcześniejszych wersjach umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez różne parametry w plikach PHP, takie jak announcement.php, thread.php, user.php i inne.
Wielokrotne podatności na wstrzykiwanie SQL w vBulletin 3.0.9 i wcześniejszych wersjach umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez różne parametry w plikach PHP, takie jak announcement, userid, calendar, cronid, usergroupid, help, rvt, keep oraz updateprofilepic.
Wielokrotne podatności na wstrzykiwanie SQL w vBulletin przed wersją 3.0.9 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) request w pliku joinrequests.php, (2) limitnumber lub (3) limitstart w pliku user.php, (4) usertitle.php lub (5) usertools.php.
Wiele nieokreślonych podatności w edytorze WYSIWYG w PHP-Nuke przed wersją 7.9 Final może prowadzić do nieznanego wpływu i wektorów ataku.
Tofu 0.2 pozwala zdalnym atakującym na wykonanie dowolnego kodu Python poprzez spreparowane obiekty pickled, które Tofu deserializuje i wykonuje.
Nieznana podatność w rpc.mountd w systemie SGI IRIX 6.5.25, 6.5.26 i 6.5.27 nie ogranicza wystarczająco praw dostępu do eksportów typu read-mostly, co umożliwia atakującym przeprowadzanie nieautoryzowanych działań.
Podatność typu SQL injection w Interakt MX Shop 3.2.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) idp, (2) id_ctg lub (3) id_prd w module stron w pliku index.php.
Podatność na wstrzykiwanie SQL w pliku index.php w wersji 1.0.0 release 17 NooTopList umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametrów (1) o lub (2) sort.
W CuteNews w wersji 1.4.0 i wcześniejszych występuje bezpośrednia podatność na wstrzykiwanie statycznego kodu, związana z funkcją ochrony przed zalewaniem. Atakujący zdalnie mogą wykonać dowolny kod PHP poprzez nagłówek HTTP_CLIENT_IP, który jest wstrzykiwany do pliku data/flood.db.php.
Wielokrotne przepełnienia bufora w OpenTTD przed wersją 0.4.0.1 mogą umożliwić atakującym spowodowanie awarii (denial of service) oraz potencjalne wykonanie dowolnego kodu poprzez nieokreślone wektory.
Oprogramowanie helpdesk Hesk pozwala zdalnym atakującym na ominięcie uwierzytelnienia dla plików (1) admin.php i (2) admin_main.php poprzez modyfikację parametru PHPSESSID lub ciasteczka.
Usługa rpc.mountd w systemie SGI IRIX w wersjach 6.5.25, 6.5.26 i 6.5.27 nieprawidłowo zezwala na dostęp dla anonimowych klientów, którzy łączą się z systemu, którego nazwa hosta nie może być ustalona. Problem ten występuje w mechanizmie zabezpieczeń, ale nie ma wyraźnej roli atakującego.
Masqmail w wersjach przed 0.2.18 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń poprzez spreparowane adresy e-mail, które nie są odpowiednio oczyszczane podczas tworzenia wiadomości o nieudanej dostawie.
Przepełnienie bufora w libclamav/upx.c w Clam AntiVirus (ClamAV) przed wersją 0.87 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany plik wykonywalny spakowany za pomocą UPX.
Firefox 1.0.6 i Mozilla 1.7.10 umożliwiają atakującym wykonywanie dowolnych poleceń za pomocą metaznaków powłoki w adresie URL podanym do przeglądarki w wierszu poleceń, który jest przesyłany do bash bez filtrowania.
Występują wielokrotne przepełnienia bufora w pamięci sterty i stosu w niektórych komponentach serwera DCOM w VERITAS Storage Exec 5.3 przed Hotfix 9 oraz StorageCentral 5.2 przed Hot Fix 2. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu za pomocą określonych kontrolerów ActiveX.
PHP Advanced Transfer Manager w wersji 1.30 posiada domyślne hasło dla użytkownika administratora, co umożliwia zdalnym atakującym przesyłanie i wykonywanie dowolnych plików PHP.