Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.06)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wielokrotne podatności na zdalne dołączanie plików w PHP w justVisual 1.2 umożliwiają zdalnym atakującym wykonywanie dowolnego kodu PHP poprzez URL w parametrze fs_jVroot w plikach index.php, contact.php, pageTemplate.php oraz utilities.php.
Podatność SQL injection w pliku viewListing.php w linkSpheric 0.74 Beta 6 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr listID.
Podatność na przejście do katalogu w pliku modules.php w CMSphp 0.21 umożliwia zdalnym atakującym dołączenie i wykonanie dowolnych lokalnych plików poprzez użycie sekwencji .. (kropka kropka) w parametrze mod_file.
W podatności CVE-2009-3505 występuje luka typu SQL injection w pliku view_news.php w grze MMORPG Zone od Vastal I-Tech, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr news_id. Warto zauważyć, że wektor game_id jest już objęty CVE-2008-4460.
W podatności CVE-2009-3504 występuje luka typu SQL injection w pliku offers_buy.php w Alibaba Clone 3.0, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr id.
Wielokrotne podatności na wstrzykiwanie SQL w pliku search.aspx w BPowerHouse BPHolidayLettings 1.0 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametrów (1) rid i (2) tid.
Podatność SQL injection w pliku music.php w BPowerHouse BPMusic 1.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr music_id.
Podatność SQL injection w pliku students.php w BPowerHouse BPStudents 1.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr test w akcji podglądu.
Wielokrotne podatności na wstrzykiwanie SQL w BPowerHouse BPGames 1.0 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) cat_id w main.php oraz (2) game_id w game.php.
Podatność SQL injection w pliku employee.aspx w BPowerHouse BPLawyerCaseDocuments 1.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru cat.
Podatność na wstrzykiwanie SQL w pliku view_listing.php w Vastal I-Tech Agent Zone (znanym również jako The Real Estate Script) umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru id.
Podatność SQL injection w pliku view_mag.php w Vastal I-Tech DVD Zone umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr mag_id. Jest to inny wektor niż CVE-2008-4465.
Wielokrotne podatności na zdalne włączenie plików PHP w Loggix Project w wersji 9.4.5 i wcześniejszych umożliwiają zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrze pathToIndex w plikach Calendar.php, Comment.php, Rss.php, Trackback.php oraz LM_Downloads.php.
W komponentach Kinfusion SportFusion (com_sportfusion) w wersjach 0.2.2 do 0.2.3 dla Joomla! występuje podatność na wstrzykiwanie SQL. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr cid[0] w akcji teamdetail w pliku index.php.
Adobe Photoshop Elements 8.0 instaluje usługę Adobe Active File Monitor V8 z niebezpiecznym deskryptorem zabezpieczeń, co pozwala lokalnym użytkownikom na zatrzymanie usługi, wykonywanie dowolnych poleceń jako SYSTEM oraz ponowne uruchomienie usługi.
W Core FTP 2.1 w wersji 1612 występuje przepełnienie bufora na stosie, które pozwala zdalnym atakującym, przy pomocy użytkownika, na wykonanie dowolnego kodu poprzez wprowadzenie długiej nazwy hosta w wpisie serwera FTP w pliku kopii zapasowej.
W funkcji tworzenia nowej witryny w programie GlobalSCAPE CuteFTP Professional, Home i Lite w wersjach 8.3.3 oraz 8.3.3.0054 występuje przepełnienie bufora oparte na stercie. Umożliwia to zdalnym atakującym, przy pomocy użytkownika, spowodowanie awarii usługi (uszkodzenie pamięci) lub potencjalne wykonanie dowolnego kodu poprzez listę witryn zawierającą wpis z długą etykietą.
Antywirus TrustPort przed wersją 2.8.0.2266 oraz PC Security przed wersją 2.0.0.1291 stosują słabe uprawnienia (Wszyscy: Pełna kontrola) dla plików w katalogu %PROGRAMFILES%. To umożliwia lokalnym użytkownikom uzyskanie uprawnień poprzez zastąpienie plików wykonywalnych programami typu Trojan.
Interfejs w komponencie iCRM Basic (com_icrmbasic) w wersji 1.4.2.31 dla Joomla! nie wymaga uwierzytelnienia administracyjnego, co może prowadzić do nieokreślonych skutków oraz wektorów ataku zdalnego.
Podatność typu SQL injection w komponencie iCRM Basic (com_icrmbasic) w wersji 1.4.2.31 dla Joomla! umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr p3 w pliku index.php.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS