Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.08)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W TRENDnet TEW-432BRP w wersji 3.10B20 wykryto przepełnienie bufora stosu w funkcji formSetDomainFilter pliku /goform/formSetDomainFilter. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent informuje, że produkt jest wycofany z eksploatacji od 15 lat.
W routerze TRENDnet TEW-432BRP w wersji 3.10B20 odkryto podatność na przepełnienie bufora stosu w funkcji formSetProtocolFilter pliku /goform/formSetProtocolFilter. Atak może być przeprowadzony zdalnie poprzez manipulację argumentem protocol_name. Producent potwierdził, że produkt jest wycofany z eksploatacji od 15 lat i nie będzie naprawiany.
W routerze TRENDnet TEW-432BRP w wersji 3.10B20 stwierdzono podatność na przepełnienie bufora stosu w funkcji formSetUrlFilter pliku /goform/formSetUrlFilter. Atak polega na manipulacji argumentami keyword_list/keyword i może być przeprowadzony zdalnie. Producent potwierdził, że produkt jest wycofany od 15 lat i nie wyda łatki.
WinMTR w wersji 0.91 zawiera podatność na odmowę usługi (DoS) spowodowaną przepełnieniem bufora. Atakujący może wysłać spreparowany plik wejściowy z 238 bajtami powtarzających się znaków, co powoduje crash aplikacji.
Yot CMS w wersji 3.3.1 zawiera podatność na wstrzykiwanie SQL, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych zapytań SQL poprzez wstrzyknięcie złośliwego kodu w parametry aid i cid. Atakujący mogą wysyłać żądania GET do index.php z spreparowanymi ładunkami SQL w tych parametrach, aby wyodrębnić informacje z bazy danych, w tym nazwy tabel i kolumn.
Podatność SQL injection w Gate Pass Management System 2.1. Nieuwierzytelnieni atakujący mogą ominąć uwierzytelnienie poprzez wstrzyknięcie kodu SQL do parametrów login i password w żądaniu POST do login-exec.php.
MOGG web simulator Script zawiera podatność na wstrzykiwanie SQL, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych poleceń SQL poprzez wstrzyknięcie złośliwego kodu w parametrze id. Atakujący mogą wysyłać żądania GET do play.php z spreparowanymi ładunkami SQL w parametrze id, aby wyodrębnić wrażliwe dane z bazy, w tym nazwy użytkowników.
AiOPMSD Final 1.0.0 zawiera podatność na wstrzykiwanie SQL, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych zapytań SQL poprzez wstrzyknięcie złośliwego kodu w parametr 'id'. Atakujący mogą wysyłać żądania GET do watch.php z spreparowanymi ładunkami SQL, aby wyodrębnić wrażliwe informacje z bazy danych, w tym nazwy użytkowników, nazwy baz danych i szczegóły wersji.
AiOPMSD Final 1.0.0 zawiera podatność na wstrzykiwanie SQL, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych zapytań SQL poprzez wstrzyknięcie złośliwego kodu w parametr genre. Atakujący mogą wysyłać żądania GET do genre.php z spreparowanymi ładunkami SQL w parametrze genre, aby wyodrębnić wrażliwe informacje z bazy danych, w tym nazwy użytkowników, nazwy baz danych i szczegóły wersji.
W systemie AiOPMSD Final 1.0.0 wykryto podatność na iniekcję SQL w pliku year.php. Nieuwierzytelniony atakujący może wysłać żądanie GET z spreparowanym parametrem year, aby wykonać dowolne zapytania SQL i wyodrębnić dane z bazy, takie jak nazwy użytkowników, nazwy baz danych i wersje.
AiOPMSD Final 1.0.0 zawiera podatność na wstrzykiwanie SQL, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych zapytań SQL poprzez wstrzyknięcie złośliwego kodu w parametr quality. Atakujący mogą wysyłać żądania GET do quality.php z spreparowanymi ładunkami SQL w parametrze quality, aby wyodrębnić wrażliwe informacje z bazy danych, w tym nazwy użytkowników, nazwy baz danych i szczegóły wersji.
AiOPMSD Final 1.0.0 zawiera podatność na wstrzykiwanie SQL w parametrze country. Nieuwierzytelnieni atakujący mogą wysyłać spreparowane żądania GET do country.php, aby wykonać dowolne zapytania SQL i wyodrębnić wrażliwe dane, takie jak nazwy użytkowników, nazwy baz danych i wersje.
AiOPMSD Final 1.0.0 zawiera podatność na wstrzykiwanie SQL w parametrze director. Nieuwierzytelnieni atakujący mogą wysyłać spreparowane żądania GET do director.php, aby wykonać dowolne zapytania SQL i wyodrębnić wrażliwe dane, takie jak nazwy użytkowników, nazwy baz danych i wersje.
AiOPMSD Final 1.0.0 zawiera podatność na wstrzykiwanie SQL w parametrze actor. Nieuwierzytelnieni atakujący mogą wysyłać spreparowane żądania GET do actor.php, aby wykonać dowolne zapytania SQL i wyodrębnić wrażliwe dane, takie jak nazwy użytkowników, nazwy baz danych i wersje.
W systemie AiOPMSD Final 1.0.0 wykryto podatność na iniekcję SQL w pliku search.php. Nieuwierzytelniony atakujący może wysłać żądanie GET z spreparowanym parametrem 'q', aby wykonać dowolne zapytania SQL i wyodrębnić dane z bazy, takie jak nazwy użytkowników, nazwy baz danych i wersje.
MGB OpenSource Guestbook 0.7.0.2 zawiera podatność na wstrzykiwanie SQL w parametrze 'id'. Nieuwierzytelnieni atakujący mogą wysyłać spreparowane żądania GET do email.php, aby wykonać dowolne zapytania SQL i wyodrębnić wrażliwe dane, takie jak nazwy tabel i kolumn.
W systemie SIM-PKH 2.4.1 stwierdzono podatność na iniekcję SQL w parametrze 'id' w pliku /admin/media.php. Uwierzytelniony atakujący może wysyłać żądania GET z parametrami module=pengurus i act=editpengurus zawierającymi instrukcje UNION SQL, co pozwala na wyodrębnienie danych z bazy, w tym nazw użytkowników i wersji bazy.
SIM-PKH 2.4.1 zawiera podatność na dowolne przesyłanie plików, która umożliwia uwierzytelnionym atakującym przesyłanie złośliwych plików poprzez przesłanie kodu PHP przez parametr fupload. Atakujący mogą przesyłać pliki PHP za pomocą punktu końcowego aksi_pengurus.php z parametrami module=pengurus i act=update, które są przechowywane w katalogu foto i wykonywane jako skrypty webowe.
Open ISES Project 3.30A zawiera podatność na path traversal w endpointcie ajax/download.php. Nieuwierzytelniony atakujący może pobrać dowolne pliki, manipulując parametrem filename za pomocą sekwencji ../.
eNdonesia Portal 8.7 zawiera wiele podatności SQL injection, które pozwalają nieuwierzytelnionym atakującym na wykonanie dowolnych zapytań SQL poprzez wstrzyknięcie złośliwego kodu przez parametry w mod.php. Atakujący mogą wstrzykiwać SQL przez parametry artid, cid, did, contid i aboutid w modułach publisher, diskusi, galeri, content i about, aby wyodrębnić informacje z bazy danych, w tym nazwy użytkowników, nazwy baz danych i szczegóły wersji.