Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.06)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
CoreText w systemie Apple Mac OS X 10.7.x przed wersją 10.7.5 umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi (błąd zapisu lub odczytu poza zakresem) poprzez spreparowany glif tekstowy.
Przepełnienie bufora w usłudze DirectoryService Proxy w systemie Apple Mac OS X do wersji 10.6.8 umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie awarii aplikacji. Wykorzystanie tej podatności może nastąpić poprzez nieokreślone wektory ataku.
Wielokrotne podatności na wstrzykiwanie SQL w OrderSys w wersji 1.6.4 i wcześniejszych umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru where_clause w plikach (1) index.php, (2) index_long.php lub (3) index_short.php w katalogu ordering/interface_creator.
W npdjvu.dll w wtyczce przeglądarki Caminova DjVu w wersji 6.1.4 Build 27351 oraz wcześniejszych występuje przepełnienie bufora oparte na stercie, które umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany fragment Sjbz w pliku djvu.
Wielokrotne nieokreślone podatności w Hitachi JP1/Cm2/Network Node Manager i przed wersją 09-50-03 mogą pozwolić zdalnym atakującym na spowodowanie odmowy usługi oraz potencjalne wykonanie dowolnego kodu poprzez nieokreślone wektory.
Podatność SQL injection w pliku jokes/index.php w dodatku Witze 0.9 dla deV!L'z Clanportal umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id w akcji show.
Podatność na przejście do katalogu w pliku acp/index.php w AneCMS umożliwia zdalnym atakującym dołączanie i wykonywanie dowolnych lokalnych plików poprzez użycie sekwencji .. (kropka kropka) w parametrze p.
Wielokrotne podatności na wstrzykiwanie SQL w RivetTracker 1.03 i wcześniejszych wersjach umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru hash w plikach dltorrent.php lub torrent_functions.php.
Plik torrent_functions.php w RivetTracker w wersji 1.03 i wcześniejszych nie ogranicza prawidłowo dostępu, co umożliwia zdalnym atakującym wywołanie nieokreślonego wpływu.
W FlashFXP 4.2 występuje kilka przepełnień bufora w pliku FlashFXP.exe, które pozwalają zdalnym, uwierzytelnionym użytkownikom na wykonanie dowolnego kodu poprzez wysłanie długiego ciągu znaków unicode do (1) TListbox lub (2) TComboBox.
Wielokrotne podatności na wstrzykiwanie SQL w pliku login.php w Timesheet Next Gen 1.5.2 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) nazwa użytkownika lub (2) hasło.
Przepełnienie całkowitej liczby w komponencie WebConsole w gwia.exe w GroupWise Internet Agent (GWIA) w Novell GroupWise 8.0 przed wersją 8.0.3 HP1 oraz w 2012 roku przed SP1 może umożliwić zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowane żądanie, które wywołuje przepełnienie bufora w stercie.
Nieokreślona podatność w HP Operations Orchestration 9.0 przed wersją 9.03 umożliwia zdalnym atakującym wykonanie dowolnego kodu za pomocą nieznanych wektorów.
W funkcji ast_parse_digest w pliku main/utils.c w Asterisk 1.8.x przed wersją 1.8.10.1 oraz 10.x przed wersją 10.2.1 występuje przepełnienie bufora na stosie. Umożliwia to zdalnym atakującym spowodowanie awarii usługi lub potencjalne wykonanie dowolnego kodu poprzez długi ciąg w nagłówku uwierzytelniania HTTP Digest.
Podatność na wstrzykiwanie SQL w WebNavigator w Siemens WinCC 7.0 SP3 i wcześniejszych wersjach, używanych w SIMATIC PCS7 i innych produktach, umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą spreparowanej wiadomości SOAP.
Podatność typu use-after-free w funkcji CMshtmlEd::Exec w pliku mshtml.dll w przeglądarce Microsoft Internet Explorer 6 do 9 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez specjalnie przygotowaną stronę internetową. Wykorzystanie tej podatności miało miejsce w praktyce we wrześniu 2012 roku.
Urządzenie CoSoSys Endpoint Protector 4 ustala hasło EPProot w oparciu wyłącznie o numer seryjny urządzenia, co ułatwia zdalnym atakującym uzyskanie dostępu poprzez atak brute-force.
Podatność na wstrzykiwanie SQL w metodzie Folder::findOrMake w SilverStripe w wersjach 2.3.x przed 2.3.12 oraz 2.4.x przed 2.4.6 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą nieokreślonych wektorów.
Klient Cisco AnyConnect Secure Mobility w wersjach 3.1.x przed 3.1.00495 oraz 3.2.x nie sprawdza, czy żądanie HTTP zawiera nagłówki ScanSafe, co pozwala zdalnym atakującym na wywołanie nieokreślonego wpływu poprzez spreparowane żądanie.
CVE-2012-3079 dotyczy systemu Cisco IOS 12.2, który pozwala zdalnym atakującym na wywołanie odmowy usługi poprzez nawiązywanie wielu sąsiedztw IPv6. Problem ten jest znany jako Bug ID CSCtn78957.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS