Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.06)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W glFusion w wersji 1.1.2 i wcześniejszych występuje wiele podatności na wstrzykiwanie SQL w funkcji ExecuteQueries w pliku listfactory.class.php. Atakujący zdalnie mogą wykonywać dowolne polecenia SQL poprzez parametry (1) order i (2) direction w pliku search.php.
W Community CMS 0.5 występuje kilka podatności na wstrzykiwanie SQL, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL. Podatności te dotyczą parametrów (1) article_id w pliku view.php oraz (2) a w akcji zdarzenia w pliku calendar.php, dostępnych przez index.php.
W podatności CVE-2009-4792 występuje luka typu SQL injection w pliku includes/content/member_content.php w systemie CMS BandSite w wersji 1.1.4. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr memid w pliku members.php.
Wielokrotne podatności na wstrzykiwanie SQL w Family Connections (FCMS) przed wersją 1.8.2 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez różne parametry w plikach PHP, takie jak letter w addressbook.php, id w recipes.php, year w register.php, poll_id w home.php oraz email w lostpw.php.
Wielokrotne podatności na przejście katalogu w Sysax Multi Server 4.5 umożliwiają zdalnym uwierzytelnionym użytkownikom odczyt lub modyfikację dowolnych plików za pomocą spreparowanych poleceń FTP.
Nieokreślona podatność w IBM Cognos 8 Business Intelligence przed wersją 8.4.1 FP1, która ma nieznany wpływ oraz wektory ataku.
W kontrolce ActiveX Tetradyne w HP Operations Manager w wersjach 7.5, 8.10 i 8.16 występuje wiele przepełnień bufora na stosie. Atakujący zdalnie mogą wykonać dowolny kod, przekazując długi argument do metod (1) LoadFile lub (2) SaveFile, związanych z plikami srcvw32.dll i srcvw4.dll.
Wielokrotne podatności na zdalne włączenie pliku PHP w komponencie MojoBlog w wersji RC 0.15 dla Joomla! umożliwiają zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrze mosConfig_absolute_path w plikach wp-comments-post.php oraz wp-trackback.php.
Podatność SQL injection w komponencie Quick News (com_quicknews) dla Joomla! umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr newsid w akcji view_item w pliku index.php.
Podatność SQL injection w komponencie Joaktree (com_joaktree) w wersji 1.0 dla Joomla! umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr treeId w pliku index.php.
Wielokrotne podatności na wstrzykiwanie SQL w Theeta CMS, prawdopodobnie w wersji 0.01, umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr start w plikach (1) forum.php, (2) thread.php w katalogu community oraz (3) blog/index.php.
TUKEVA Password Reminder w wersjach przed 1.0.0.4 używa twardo zakodowanego hasła dla pliku rem.accdb, co umożliwia lokalnym użytkownikom odkrycie poświadczeń za pomocą połączenia DBI.
Wielokrotne podatności na zdalne włączenie pliku PHP w NukeHall 0.3 i wcześniejszych wersjach umożliwiają zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrze spaw_root w plikach (1) blocks.php, (2) messages.php i (3) stories.php w katalogu admin/modules/.
Wielokrotne nieokreślone podatności w narzędziu do przetwarzania PDF w komponencie Attachment Service w oprogramowaniu BlackBerry Enterprise Server (BES) w wersjach 4.1.3 do 4.1.7 oraz 5.0.0, a także w BlackBerry Professional Software 4.1.4, mogą umożliwić zdalnym atakującym, przy wsparciu użytkownika, spowodowanie odmowy usługi (uszkodzenie pamięci) lub potencjalne wykonanie dowolnego kodu poprzez spreparowany załącznik .pdf.
Przepełnienie bufora w Hitachi Cosminexus V4 do V8, Processing Kit for XML oraz Developer's Kit for Java, używanych w produktach takich jak uCosminexus, Electronic Form Workflow, Groupmax oraz IBM XL C/C++ Enterprise Edition 7 i 8, umożliwia zdalnym atakującym wywołanie nieznanego wpływu poprzez wykorzystanie API do przetwarzania obrazów GIF przez aplikację Java.
Nieokreślona podatność w komponencie New Java Plug-in w Oracle Java SE oraz Java for Business JDK i JRE 6 Update 18 i 19 pozwala zdalnym atakującym wpływać na poufność, integralność i dostępność systemu za pomocą nieznanych wektorów.
Nieokreślona podatność w komponencie Java Deployment Toolkit w Oracle Java SE oraz Java for Business JDK i JRE 6 Update 10 do 19 umożliwia zdalnym atakującym wpływanie na poufność, integralność i dostępność systemu za pomocą nieznanych wektorów.
Przepełnienie całkowitej liczby w funkcji AgentX::receive_agentx w AgentX++ 1.4.16, używanej w serwerze RealNetworks Helix oraz Helix Mobile Server w wersjach 11.x do 13.x, umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez żądanie z odpowiednio skonstruowaną długością ładunku.
W funkcji AgentX::receive_agentx w AgentX++ 1.4.16 występuje przepełnienie bufora na stosie, które może być wykorzystane przez zdalnych atakujących do wykonania dowolnego kodu. Problem ten dotyczy również serwerów RealNetworks Helix Server i Helix Mobile Server w wersjach 11.x do 13.x oraz innych produktów.
W funkcjonalności uwierzytelniania NTLM w serwerze RealNetworks Helix Server i Helix Mobile Server w wersjach 11.x, 12.x i 13.x występuje przepełnienie bufora oparte na stercie, które może być wykorzystane przez zdalnych atakujących za pomocą nieprawidłowych danych zakodowanych w base64.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS