Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Przepełnienie bufora w wtyczce aplikacji rdzeniowej dla Adobe Reader w wersjach od 5.1 do 7.0.2 oraz Acrobat w wersjach od 5.0 do 7.0.2 umożliwia atakującym spowodowanie awarii (denial of service) oraz potencjalne wykonanie dowolnego kodu poprzez nieznane wektory.
Interfejs administracyjny w routerze Mentor ADSL-FR4II działającym na firmware 2.00.0111 nie ustawia domyślnego hasła, co umożliwia lokalnym użytkownikom uzyskanie dostępu.
Wielokrotne podatności na wstrzykiwanie SQL w Open Bulletin Board (OpenBB) umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr (1) FID w board.php lub (2) UID w member.php.
MySQL działający na systemie Windows pozwala zdalnym uwierzytelnionym użytkownikom z uprawnieniami do wstawiania w tabeli mysql.func na wywołanie odmowy usługi (zawieszenie serwera) oraz potencjalne wykonanie dowolnego kodu. Może to nastąpić poprzez żądanie pliku, który nie jest biblioteką, lub żądanie funkcji w bibliotece, która ma zdefiniowane funkcje XXX_deinit lub XXX_init, ale nie jest dostosowana do MySQL.
Podatność SQL injection w pliku u2u.inc.php w XMB Forum 1.9.1 pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez określone wartości wstawiane do zmiennej $in.
W podatności CVE-2005-2564 występuje bezpośrednia luka wstrzykiwania kodu statycznego w pliku editcss.php w Gravity Board X (GBX) 1.1. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu PHP, HTML i skryptów poprzez parametr csscontent, który jest bezpośrednio wstawiany do pliku gbxfinal.css.
Podatność na wstrzykiwanie kodu w silniku szablonów SysCP w wersji 1.2.10 i wcześniejszych umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez ciąg zawierający kod w nawiasach klamrowych "{" i "}". Kod ten jest przetwarzany przez funkcję eval PHP.
Klient VPN Nortel Contivity w wersji V05_01.030 nieprawidłowo zarządza uprawnieniami systemowymi podczas konfigurowania certyfikatu do uwierzytelniania. To pozwala lokalnym użytkownikom na uzyskanie wyższych uprawnień poprzez otwarcie programu za pomocą okna dialogowego Otwórz plik.
Router Mentor ADSL-FR4II działający na oprogramowaniu układowym 2.00.0111 posiada niedokumentowany serwer WWW działający na porcie TCP 5678, co umożliwia lokalnym użytkownikom uzyskanie dostępu.
W podatności CVE-2005-2587 występuje luka typu SQL injection w pliku emailvalidate.php w PHPTB Topic Boards 2.0, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr mid.
Wtyczka ePing w wersji 1.02 i wcześniejszych dla portalu e107 zawiera podatność w pliku doping.php, która pozwala zdalnym atakującym na wykonanie dowolnego kodu lub nadpisanie plików. Problem wynika z niewłaściwej walidacji parametrów eping_count oraz eping_host.
W MyBulletinBoard (MyBB) w wersji 1.00 RC4 z poprawką bezpieczeństwa występuje wiele podatności na ataki typu SQL injection. Atakujący mogą zdalnie wykonywać dowolne polecenia SQL poprzez pole Nazwa użytkownika w plikach index.php lub member.php oraz parametry action w plikach search.php i member.php, a także parametr polloptions w pliku polls.php.
Podatność SQL injection w Gravity Board X (GBX) 1.1 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL oraz ominięcie uwierzytelnienia poprzez pole logowania.
Podatność CVE-2005-2567 dotyczy systemu SysCP w wersji 1.2.10 i wcześniejszych, umożliwiając zdalnym atakującym wykonanie dowolnego kodu PHP poprzez parametr 'language'.
Wielokrotne podatności na wstrzykiwanie SQL w MYFAQ 1.0 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr Theme w różnych plikach PHP. Atakujący mogą wykorzystać również inne parametry, takie jak SousTheme, Faq i question, aby przeprowadzić atak.
Podatność na wstrzykiwanie kodu w PHPXMLRPC 1.1.1 i wcześniejszych wersjach umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez zagnieżdżone tagi XML w dokumencie PHP. Wykorzystanie tej podatności jest możliwe w różnych produktach, takich jak Drupal czy phpAdsNew.
Przepełnienie bufora w dhost.exe w iMonitor dla Novell eDirectory 8.7.3 na systemie Windows umożliwia atakującym spowodowanie awarii usługi oraz uzyskanie dostępu do plików za pomocą nieznanych wektorów.
Nieznana podatność w serwerach HP ProLiant DL585 działających na firmware Integrated Lights Out (ILO) przed wersją 1.81 umożliwia atakującym dostęp do kontrolerów serwera, gdy serwer jest 'wyłączony'.
Wielokrotne podatności związane z formatowaniem ciągów w programie Evolution od wersji 1.5 do 2.3.6.1 mogą umożliwić zdalnym atakującym spowodowanie awarii (denial of service) oraz potencjalne wykonanie dowolnego kodu poprzez (1) pełne dane vCard, (2) dane kontaktowe z zdalnych serwerów LDAP lub (3) dane listy zadań z zdalnych serwerów.
W podatności CVE-2005-2550 w programie Evolution w wersjach od 1.4 do 2.3.6.1 występuje luka związana z formatowaniem ciągów, która pozwala zdalnym atakującym na spowodowanie awarii (denial of service) oraz potencjalne wykonanie dowolnego kodu poprzez nieprawidłowe przetwarzanie wpisów kalendarza, takich jak listy zadań, po wybraniu zakładki Kalendarze.