Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.06)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność na wstrzykiwanie SQL w pliku administrator/index2.php w Mambo CMS w wersji 4.6.5 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr zorder.
Podatność na przejście do katalogu w komponencie rtrlet w Novell ZENworks Asset Management (ZAM) 7.5 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez przesłanie pliku wykonywalnego.
Nieokreślona podatność w Adobe Flash Player 11.1.102.55 na systemach Windows i Mac OS X umożliwia zdalnym atakującym wykonanie dowolnego kodu za pomocą spreparowanego pliku SWF. Problem został zademonstrowany przez drugi z dwóch wektorów ataku wykorzystanych przez moduł Intevydis vd_adobe_fp w VulnDisco Step Ahead.
Nieokreślona podatność w Adobe Flash Player 11.1.102.55 na systemach Windows i Mac OS X umożliwia zdalnym atakującym wykonanie dowolnego kodu za pomocą spreparowanego pliku SWF. Problem został zademonstrowany przez pierwszy z dwóch wektorów ataku wykorzystanych przez moduł Intevydis vd_adobe_fp w VulnDisco Step Ahead.
Opera przed wersją 11.60 nieprawidłowo obsługuje unieważnianie certyfikatów, co może prowadzić do nieokreślonych skutków oraz wektorów ataku zdalnego związanych z 'skrajnymi przypadkami'.
Nieokreślona podatność w przeglądarce Opera przed wersją 11.60, która ma nieznany wpływ oraz wektory ataku, związana z 'umiarkowanie poważnym problemem'.
Nieokreślona podatność w komponencie U3D w Adobe Reader i Acrobat w wersjach 10.1.1 i wcześniejszych na systemach Windows i Mac OS X oraz w Adobe Reader 9.x do 9.4.6 na systemach UNIX, umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi (uszkodzenie pamięci) poprzez nieznane wektory. Podatność była wykorzystywana w atakach w grudniu 2011 roku.
One Click Orgs w wersjach przed 1.2.3 nie posiada atrybutu off autocomplete dla pól uwierzytelniania, co ułatwia zdalnym atakującym uzyskanie dostępu poprzez wykorzystanie nieobserwowanego stanowiska pracy.
Podatność typu use-after-free w API Response w ProFTPD przed wersją 1.3.3g umożliwia zdalnym uwierzytelnionym użytkownikom wykonanie dowolnego kodu poprzez wektory związane z błędem, który występuje po transferze danych FTP.
W osCommerce 3.0.2 występuje wiele podatności związanych z przejściem do katalogu, które pozwalają zdalnym atakującym na dołączenie i wykonanie dowolnych lokalnych plików. Atakujący mogą wykorzystać parametry set lub module, aby uzyskać dostęp do wrażliwych plików w aplikacji.
Metody (1) AddUser, (2) AddUserEx, (3) RemoveUser, (4) RemoveUserByGuide, (5) RemoveUserEx oraz (6) RemoveUserRegardless w HP Protect Tools Device Access Manager (PTDAM) przed wersją 6.1.0.1 umożliwiają zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi (uszkodzenie pamięci sterty) poprzez długi argument SidString.
W CEServer.exe w module Remote Agent w InduSoft Web Studio 6.1 i 7.0 występuje przepełnienie bufora na stosie, które pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez spreparowaną operację 0x15 (znaną jako Usuń plik) dla pliku o długiej nazwie.
CEServer.exe w komponencie CEServer w module Remote Agent w InduSoft Web Studio 6.1 i 7.0 nie wymaga uwierzytelnienia, co pozwala zdalnym atakującym na wykonywanie dowolnego kodu poprzez wektory związane z tworzeniem pliku, ładowaniem DLL i kontrolą procesów.
Usługa Agent w Iron Mountain Connected Backup 8.4 pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez spreparowane żądanie opcode 13, które uruchamia klasę LaunchCompoundFileAnalyzer do przesyłania danych żądania do metody System.getRunTime.exec.
W podatności CVE-2011-4674 występuje luka typu SQL injection w pliku popup.php w Zabbix w wersjach 1.8.3 i 1.8.4, a także prawdopodobnie w innych wersjach przed 1.8.9. Umożliwia to zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru only_hostid.
Podatność SQL injection w pliku modules/sharedaddy.php w wtyczce Jetpack dla WordPressa umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id.
Wielokrotne podatności typu SQL injection w Valid tiny-erp w wersji 1.6 i wcześniejszych umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr SearchField w akcji wyszukiwania na kilku stronach, w tym _partner_list.php oraz proioncategory_list.php.
Wtyczka AdRotate w wersji 3.6.6 oraz wcześniejszych przed wersją 3.6.8 dla WordPressa zawiera podatność na atak typu SQL injection w pliku adrotate/adrotate-out.php. Umożliwia to zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr track (znany również jako URL przekierowania).
Podatność SQL injection w pliku wp-users.php w wtyczce WordPress Users w wersji 1.3 i prawdopodobnie wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr uid w pliku index.php.
IBM Tivoli Netcool/Reporter w wersji 2.2 przed 2.2.0.8 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez nieokreślony program CGI używany z serwerem Apache HTTP.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS