Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.02)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Przepełnienie bufora w Novell GroupWise 6.0.1 Support Pack 1 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez długie polecenie RCPT TO.
Serwer Jana w wersjach 2.x do 2.2.1 oraz 1.4.6 i wcześniejszych nie ogranicza liczby nieudanych prób logowania, co ułatwia zdalnym atakującym zdobycie uprawnień poprzez ataki brute force na nazwy użytkowników i hasła.
Przepełnienie bufora w serwerze WWW dla Tivoli Management Framework (TMF) Endpoint w wersjach 3.6.x do 3.7.1, przed Fixpack 2, umożliwia zdalnym atakującym spowodowanie awarii usługi lub wykonanie dowolnego kodu poprzez długi żądanie HTTP GET.
RealJukebox 2 w wersjach 1.0.2.340 i 1.0.2.379 oraz RealOne Player Gold w wersji 6.0.10.505 umożliwiają zdalnym atakującym wykonanie dowolnego skryptu w strefie lokalnej komputera. Atak polega na wstawieniu skryptu do pliku skin.ini archiwum RJS, a następnie odwołaniu się do skin.ini z poziomu strony internetowej po jego ekstrakcji.
Przepełnienie bufora w MyWebServer w wersji 1.02 i wcześniejszych umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez długi żądanie HTTP GET.
Wielokrotne podatności na wstrzykiwanie SQL w CARE 2002 przed wersją beta 1.0.02 umożliwiają zdalnym atakującym wykonywanie nieautoryzowanych operacji na bazie danych.
Błąd związany z podpisywaniem w serwerze Jana w wersjach 2.x do 2.2.1 oraz 1.4.6 i wcześniejszych umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez wprowadzenie długich wartości w polach (1) Nazwa użytkownika, (2) Hasło lub (3) Nazwa hosta.
Oprogramowanie Cisco Virtual Private Network (VPN) Client w wersjach 2.x.x oraz 3.x przed 3.5.1C nie weryfikuje poprawnie, czy pola DN certyfikatu odpowiadają certyfikatowi z VPN Concentratora. To umożliwia zdalnym atakującym przeprowadzenie ataków typu man-in-the-middle.
Podatność typu cross-site scripting w pliku search.pl dla Fluid Dynamics Search Engine (FDSE) przed wersją 2.0.0.0055 pozwala zdalnym atakującym na wykonanie skryptu webowego poprzez parametry (1) Rank lub (2) Match.
Oprogramowanie Cisco Virtual Private Network (VPN) Client w wersjach 2.x.x oraz 3.x przed 3.5.2B nie generuje wystarczająco losowych liczb, co może prowadzić do podatności na ataki, takie jak spoofing.
Przepełnienie bufora w serwerze WWW 4D w wersji 6.7.3 umożliwia zdalnym atakującym spowodowanie awarii usługi oraz potencjalne wykonanie dowolnego kodu poprzez długi żądanie HTTP.
Caldera Volution Manager 1.1 przechowuje hasło administratora katalogu w postaci niezaszyfrowanej w pliku slapd.conf, co może umożliwić lokalnym użytkownikom uzyskanie uprawnień.
Cisco VPN 3000 Concentrator w wersji 3.6 (Rel) i wcześniejszych, oraz 2.x.x, skonfigurowany do używania wewnętrznej autoryzacji z kontami grupowymi i bez kont użytkowników, umożliwia zdalnym klientom VPN logowanie się przy użyciu autoryzacji użytkowników PPTP lub IPSEC.
Przepełnienie bufora w demonie POP3 SmartMax MailMax (popmax) w wersji 4.8 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez długie polecenie USER.
Cisco VPN 3000 Concentrator w wersjach 2.2.x oraz 3.x przed 3.5.1 pozwala na dostęp do haseł użytkowników, które są przechowywane w postaci niezaszyfrowanej w kodzie źródłowym HTML przez ograniczonych administratorów.
Serwer BadBlue przechowuje hasła w postaci niezaszyfrowanej w pliku ext.ini, co może umożliwić lokalnym, a być może także zdalnym atakującym uzyskanie uprawnień.
Przepełnienie bufora w serwerze WWW KeyFocus (KF) w wersji 1.0.5 i wcześniejszych umożliwia zdalnym atakującym spowodowanie awarii usługi oraz potencjalne wykonanie dowolnego kodu poprzez źle sformatowany nagłówek HTTP.
PostgreSQL w wersjach 7.2.1 i 7.2.2 umożliwia lokalnym użytkownikom usunięcie danych dziennika transakcji (pg_clog) poprzez polecenie VACUUM, co prowadzi do utraty danych.
Przepełnienie bufora w mechanizmie analizy dla ISS Internet Scanner 6.2.1, podczas korzystania z kontroli banera licencyjnego HTTP, umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez długą odpowiedź serwera WWW.
Serwer X (Xsco) w OpenUNIX 8.0.0 i UnixWare 7.1.1 nie obniża uprawnień przed wywołaniem programów takich jak xkbcomp za pomocą popen, co może umożliwić lokalnym użytkownikom uzyskanie wyższych uprawnień.