Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.02)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność na atak typu format string w funkcji obsługi drukarek w systemie IBM AIX 3, 5.1 i 5.2 umożliwia lokalnym użytkownikom uzyskanie uprawnień do drukowania lub uprawnień roota.
SAP R/3 w wersjach od 2.0B do 4.6D instaluje kilka klientów z domyślnymi użytkownikami i hasłami, co umożliwia zdalnym atakującym uzyskanie uprawnień poprzez konta (1) SAP*, (2) SAPCPIC, (3) DDIC, (4) EARLYWATCH lub (5) TMSADM.
ZoneAlarm Pro w wersji 4.5.538.001 oraz prawdopodobnie innych wersjach umożliwia zdalnym atakującym ominięcie ochrony e-mailowej poprzez załączniki, których nazwy zawierają określone znaki spoza alfabetu angielskiego.
Podatność SQL injection w funkcji bblogin w pliku functions.php w PHP-Nuke w wersjach 6.x do 7.2 umożliwia zdalnym atakującym ominięcie uwierzytelniania i uzyskanie dostępu poprzez wstrzyknięcie zakodowanego w base64 kodu SQL do parametru użytkownika.
Podatność SQL injection w plikach auth.php i admin.php w PHP-Nuke w wersjach od 6.x do 7.2 umożliwia zdalnym atakującym wykonanie dowolnego kodu SQL oraz utworzenie konta administratora poprzez zakodowany w base64 SQL w parametrze admin.
W Tiki CMS/Groupware (TikiWiki) w wersji 1.8.1 i wcześniejszych występuje wiele podatności na ataki typu SQL injection, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL. Ataki te mogą być przeprowadzane poprzez parametry sort_mode i offset w różnych skryptach.
Funkcja przesyłania obrazów w Tiki CMS/Groupware (TikiWiki) w wersji 1.8.1 i wcześniejszych umożliwia zdalnym atakującym przesyłanie i potencjalne wykonywanie dowolnych plików za pośrednictwem adresu URL img/wiki_up.
Tiki CMS/Groupware (TikiWiki) w wersji 1.8.1 i wcześniejszych umożliwia zdalnym atakującym wstrzykiwanie dowolnego kodu poprzez pola (1) Motyw, (2) Kraj, (3) Prawdziwe imię lub (4) Wyświetlana strefa czasowa w profilu użytkownika, oraz pola (5) Nazwa, (6) Opis, (7) URL lub (8) Kraj w operacji Dodaj witrynę w katalogu.
Router X-Micro WLAN 11b w wersjach 1.2.2, 1.2.2.3, 1.2.2.4 oraz 1.6.0.0 posiada twardo zakodowaną nazwę użytkownika 'super' oraz hasło, co może umożliwić zdalnym atakującym uzyskanie dostępu.
Router szerokopasmowy X-Micro WLAN 11b w wersji 1.6.0.1 posiada twardo zakodowane dane logowania: użytkownik '1502' oraz hasło. To może umożliwić zdalnym atakującym uzyskanie dostępu do urządzenia.
W LCDProc w wersji 0.4.1 oraz prawdopodobnie innych wersjach 0.4.x do 0.4.4 występuje wiele przepełnień bufora, które mogą pozwolić zdalnym atakującym na wykonanie dowolnego kodu. Atak może być przeprowadzony poprzez wysłanie długiej, nieprawidłowej komendy do funkcji parse_all_client_messages lub długiego argumentu do funkcji test_func_func.
W podatności CVE-2004-1917 występuje luka formatu w funkcji test_func_func w LCDProc w wersji 0.4.1 i wcześniejszych, która pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez specyfikatory formatu w zmiennej str.
Przepełnienie bufora w funkcji parse_all_client_messages w LCDproc w wersjach od 0.4.x do 0.4.4 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez przesłanie dużej liczby argumentów.
W cPanel 9.1.0-R85 występuje wiele podatności typu cross-site scripting (XSS), które pozwalają zdalnym atakującym na wstrzykiwanie dowolnych skryptów webowych lub HTML. Podatności te dotyczą różnych parametrów w plikach HTML, takich jak testfile.html, erredit.html, dnslook.html i innych.
Wielokrotne podatności na wstrzykiwanie SQL w PhotoPost PHP Pro 4.6.x i wcześniejszych umożliwiają zdalnym atakującym uzyskanie haseł użytkowników poprzez różne parametry w plikach PHP, takie jak addfav.php, comments.php, index.php, showgallery.php oraz useralbums.php.
Usługi katalogowe w systemie Apple Mac OS X w wersjach 10.0.2, 10.0.3, 10.2.8, 10.3.2 oraz Apple Mac OS X Server w wersjach 10.2 do 10.3.2 akceptują informacje o serwerze uwierzytelniającym z nieznanych źródeł LDAP lub NetInfo, dostarczane przez złośliwy serwer DHCP. To umożliwia zdalnym atakującym uzyskanie uprawnień.
Podatność w systemie Apple Mac OS X 10.0 do 10.2.8 pozwala lokalnym użytkownikom z klawiaturą USB na uzyskanie nieautoryzowanego dostępu. Użytkownik może to osiągnąć, przytrzymując klawisze CTRL i C podczas uruchamiania systemu, co powoduje awarię procesu init i pozostawia użytkownika w powłoce roota.
Nieznana podatność w ftpd w IBM AIX 5.2, gdy jest skonfigurowany do używania Kerberos 5 do uwierzytelniania, umożliwia zdalnym atakującym uzyskanie uprawnień poprzez nieznane wektory ataku.
Nieznana podatność w rpc.mountd w systemie SGI IRIX w wersjach 6.5.18 do 6.5.22 pozwala zdalnym atakującym na montowanie z nieuprzywilejowanych portów, nawet gdy opcja -n jest wyłączona.
Synaesthesia w wersji 2.2 i wcześniejszych umożliwia lokalnym użytkownikom wykonanie dowolnego kodu poprzez atak symlink na plik konfiguracyjny.