CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
CISA KEV catalog updated: (v2026.08.07)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Podatność na przejście do katalogu w funkcjach extract i extractall modułu tarfile w Pythonie umożliwia zdalnym atakującym, przy pomocy użytkownika, nadpisanie dowolnych plików poprzez sekwencję .. (kropka kropka) w nazwach plików w archiwum TAR.
Wielokrotne podatności na zdalne włączenie plików PHP w skrypcie Guestbook 1.9 umożliwiają zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrze script_root. Dotyczy to plików takich jak delete.php, edit.php oraz innych w katalogu admin.
Podatność CVE-2007-4039 dotyczy wstrzykiwania argumentów w przeglądarkach Mozilla, gdy zarejestrowane są określone URI. Umożliwia to zdalnym atakującym przeprowadzanie ataków typu cross-browser scripting oraz wykonywanie dowolnych poleceń za pomocą metaznaków powłoki w nieokreślonym URI.
W pliku file.cgi w Secure Computing SecurityReporter (znanym również jako Network Security Analyzer) przed wersją 4.6.3 istnieje możliwość ominięcia uwierzytelnienia przez zdalnych atakujących, wykorzystując parametr nazwy kończący się sekwencją "%00.gif". Dodatkowo, istnieje osobna podatność na traversing, która może być wykorzystana do pobierania dowolnych plików.
Przepełnienie całkowite w pliku print-bgp.c w analizatorze BGP w tcpdump w wersji 3.9.6 i wcześniejszych umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowane TLV w pakiecie BGP, związane z niekontrolowaną wartością zwracaną.
Wielokrotne podatności na zdalne włączenie pliku w myBloggie 2.1.5 umożliwiają zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrze bloggie_root_path. Dotyczy to plików takich jak config.php, db.php, template.php, functions.php, classes.php, viewmode.php oraz blog_body.php.
W admin.php w phpHoo3 występuje kilka podatności na wstrzykiwanie SQL, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametry (1) ADMIN_USER (USER) i (2) ADMIN_PASS (PASS) podczas logowania. Należy zauważyć, że CVE kwestionuje tę podatność, ponieważ ADMIN_USER/ADMIN_PASS są inicjowane przed użyciem.
Wielokrotne podatności na zdalne włączenie plików PHP w Modules Builder (modbuild) 4.1 dla Comdev One Admin umożliwiają zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrze path[docroot] w plikach (1) config-bak.php lub (2) config.php. CVE kwestionuje tę podatność, ponieważ niezmodyfikowane skrypty ustawiają odpowiednią zmienną na pusty ciąg.
Nieokreślona podatność w pliku administration.php w xodagallery umożliwia zdalnym atakującym wykonanie dowolnego kodu za pomocą parametru cmd. Należy zauważyć, że CVE kwestionuje tę podatność, ponieważ administration.php nie używa parametru cmd do włączenia.
Podatność na fikcję sesji w eXV2 CMS w wersji 2.0.4.3 i wcześniejszych umożliwia zdalnym atakującym przejęcie sesji internetowych poprzez ustawienie ciasteczka PHPSESSID.
Przepełnienie całkowite w 16-bitowym liczniku referencji zmiennej w PHP 4 umożliwia atakującym, zależnie od kontekstu, wykonanie dowolnego kodu poprzez przepełnienie tego licznika, co prowadzi do podwójnego zniszczenia tej samej zmiennej.
Podatność CVE-2006-7105 dotyczy zdalnego włączenia pliku w PHP w bibliotece Smarty 2.6.9, co pozwala zdalnym atakującym na wykonanie dowolnego kodu PHP poprzez podanie złośliwego URL w parametrze filename. Istnieje możliwość, że pierwotne zgłoszenie zawiera błędne informacje dotyczące użycia parametru filename.
W podatności CVE-2006-7079 w pliku include/common.php w exV2 w wersji 2.0.4.3 i wcześniejszych, zdalni atakujący mogą nadpisywać dowolne zmienne programowe oraz przeprowadzać ataki typu directory traversal, co umożliwia wykonanie dowolnego kodu poprzez modyfikację zmiennej $xoopsOption['pagetype'].
Podatność CVE-2006-6975 dotyczy zdalnego włączenia pliku w PHP w pliku centipaid_class.php w CentiPaid 1.4.3. Umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez URL w parametrze class_pwd.
Plik profile.php w ExtCalendar w wersji 2 i wcześniejszych umożliwia zdalnym atakującym zmianę haseł dowolnych użytkowników bez podawania oryginalnego hasła, a także potencjalnie wykonywanie innych nieautoryzowanych działań, poprzez zmodyfikowane wartości w register.php.
Podatność CVE-2006-6863 dotyczy wtyczki Enigma2 w Enigma WordPress Bridge, która umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez parametr boarddir. Istnieją kontrowersje dotyczące tej podatności, ponieważ wartość $boarddir jest ustawiana na stałą.
W Eudora Worldmail, prawdopodobnie w wersji 6.1.22.0, występuje wiele przepełnień bufora, które mają nieznany wpływ i wektory ataku. Problemy te zostały zademonstrowane przez moduły 'Eudora WorldMail stack overflow' oraz 'Eudora WorldMail heap overflow' w pakiecie VulnDisco.
Wersja 2.0.1 J-Pierre DEZELUS Les Visiteurs zawiera podatność na zdalne włączenie pliku w pliku common/visiteurs/include/library.inc.php. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrze lvc_modules_dir.
W podatności CVE-2006-5610 występuje luka w zdalnym dołączaniu plików w pliku player/includes/common.php w Teake Nutma Foing, zmodyfikowanym w Fully Modded phpBB (phpbbfm) 2021.4.40. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrze phpbb_root_path.
Podatność typu SQL injection w pliku pop_mail.asp w Snitz Forums 2000 w wersji 3.4.06 pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL za pomocą parametru RC. Źródło tej informacji jest nieznane, a szczegóły pochodzą z informacji od osób trzecich.