Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Handler wydawcy w mod_python w wersji 2.7.8 i wcześniejszych umożliwia zdalnym atakującym uzyskanie dostępu do zastrzeżonych obiektów za pomocą spreparowanego URL.
Windows 2000, XP i Server 2003 nieprawidłowo weryfikują użycie obszarów pamięci dla plików zorganizowanych w COM, co umożliwia atakującym wykonanie dowolnego kodu. Jest to znane jako 'Vulnerability COM Structured Storage'.
Biblioteka obiektów hiperłączy dla systemów Windows 98, 2000, XP i Server 2003 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowane łącze, które wywołuje 'niekontrolowany bufor' w bibliotece, co może prowadzić do przepełnienia bufora.
Komponent OLE w systemach Windows 98, 2000, XP oraz Server 2003, a także w Exchange Server 5.0 do 2003, nieprawidłowo weryfikuje długości wiadomości dla niektórych danych OLE, co umożliwia zdalnym atakującym wykonanie dowolnego kodu. Jest to znane jako 'Vulnerability of Input Validation'.
Internet Explorer w wersjach 5.01, 5.5 i 6 nieprawidłowo waliduje buforów podczas obsługi niektórych metod DHTML, w tym funkcji createControlRange w JavaScript. To pozwala zdalnym atakującym na wykonanie dowolnego kodu.
Podatność na wstrzykiwanie SQL w pliku index.php dla MercuryBoard 1.1.2 umożliwia zdalnym atakującym wstrzykiwanie dowolnych poleceń SQL za pomocą parametru f.
Lightspeed DeluxeFTP 6.01 przechowuje nazwy użytkowników i hasła w formie niezaszyfrowanej w pliku sites.xml, który jest dostępny dla wszystkich użytkowników. To umożliwia lokalnym użytkownikom uzyskanie nieautoryzowanych uprawnień.
Klient OpenText FirstClass 8.0 nieprawidłowo sanitizuje ciągi znaków przed przekazaniem ich do API ShellExecute systemu Windows, co umożliwia zdalnym atakującym wykonywanie dowolnych poleceń za pomocą ścieżki UNC w zakładce.
Funkcjonalność favicon w Firefoxie przed wersją 1.0.3 oraz w Mozilla Suite przed wersją 1.7.7 pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez tag <LINK rel="icon"> z adresem URL javascript: w atrybucie href, znanym jako "Firelinking".
Przepełnienie bufora w procesorze URL przeglądarki Microsoft Internet Explorer 5.01, 5.5 i 6 umożliwia zdalnym atakującym spowodowanie awarii (denial of service) oraz potencjalne wykonanie dowolnego kodu poprzez URL z długą nazwą hosta.
Przepełnienie bufora w funkcji decode_post w ELOG przed wersją 2.5.7 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez załączniki z długimi nazwami plików.
Wielokrotne podatności na wstrzykiwanie SQL w DCP-Portal 6.1.1 i wcześniejszych wersjach umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) lcat, doc lub uid w index.php, lub (2) mid lub bid w forums.php.
Jądro Linuxa w wersjach 2.6 przed 2.6.11 nie ogranicza dostępu do dyscypliny linii N_MOUSE dla TTY, co pozwala lokalnym użytkownikom na uzyskanie uprawnień poprzez wstrzykiwanie zdarzeń myszy lub klawiatury do sesji innych użytkowników.
Klienci emulacji terminala 5250 AS/400, w tym IBM Client Access, Bosanova, PowerTerm i Mochasoft, umożliwiają złośliwym serwerom AS/400 wykonywanie dowolnych poleceń poprzez komendę STRPCO (Start PC Organizer) oraz STRPCCMD (Start PC command). Przykładem jest stworzenie konta z dostępem typu backdoor przy użyciu REXEC.
Podatność na wstrzykiwanie SQL w Oracle Forms 10g umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą funkcji Query/Where.
Podatność CVE-2005-0909 dotyczy pliku shoutact.php w Shoutboxie TKai, który umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez parametr query. Wykorzystanie tej luki może prowadzić do poważnych naruszeń bezpieczeństwa.
W programie Cain & Abel przed wersją 2.67 występuje wiele przepełnień bufora, które mogą być wykorzystane przez zdalnych atakujących do spowodowania awarii aplikacji oraz potencjalnego wykonania dowolnego kodu. Problemy te dotyczą filtrów snifferów dla IKE, HTTP, POP3, SMTP, IMAP, NNTP oraz TDS.
Podatność na wstrzykiwanie SQL w NotifyLink przed wersją 3.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą URL.
Skrypt citat.pl umożliwia zdalnym atakującym wykonywanie dowolnych plików poprzez wykorzystanie metaznaków powłoki w argumentach.
Przepełnienie bufora w Yahoo! Messenger umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez tryb offline.