Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.06)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W podatności CVE-2008-1164 występuje luka typu SQL injection w pliku index.php w phpComasy 0.8, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr mod_project_id w akcji project_detail.
Podatność na przejście do katalogu w wbudowanym serwerze HTTP w SCI Photo Chat Server 3.4.9 i wcześniejszych wersjach pozwala zdalnym atakującym na odczyt dowolnych plików poprzez użycie sekwencji "..\" lub "../" w poleceniu GET.
W funkcji useragent w pliku useragent.c w Squid Analysis Report Generator (Sarg) 2.2.3.1 występuje przepełnienie bufora na stosie, które pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez długi nagłówek User-Agent serwera proxy Squid.
Podatność typu SQL injection w komponencie Garys Cookbook (com_garyscookbook) w wersji 1.1.1 i wcześniejszych dla Mambo i Joomla! umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id w akcji szczegółowej w pliku index.php.
Podatność w oprogramowaniu DESlock+ w wersji 3.2.6 i starszych, gdy obecne są sterowniki DLMFENC.sys 1.0.0.26 i DLMFDISK.sys 1.2.0.27, umożliwia lokalnemu użytkownikowi podniesienie uprawnień poprzez wysłanie specjalnie spreparowanego żądania DLMFENC_IOCTL do urządzenia \.\DLKPFSD_Device, co nadpisuje wskaźnik i prowadzi do wykonania kodu w kontekście jądra systemu.
Podatność w sterowniku DLMFDISK.sys wersji 1.2.0.27 w programie DESlock+ 3.2.6 i wcześniejszych umożliwia lokalnym użytkownikom podniesienie uprawnień poprzez wysłanie specjalnie spreparowanego żądania DLKFDISK_IOCTL do urządzenia \.\DLKFDisk_Control, co nadpisuje strukturę danych związaną z zamontowanym pseudosystemem plików. Błąd ten jest znany jako podatność „ring0 SYSTEM”.
Nieokreślona podatność w vdccm przed wersją 0.10.1 w SynCE (SynCE-dccm) może umożliwić atakującym spowodowanie odmowy usługi za pomocą nieokreślonych wektorów.
Funkcja Utils::runScripts w pliku src/utils.cpp w wersjach 0.92 do 0.10.0 SynCE (SynCE-dccm) umożliwia zdalnym atakującym wykonywanie dowolnych poleceń poprzez metaznaki powłoki w określonym ciągu przesyłanym do portu TCP 5679.
Funkcja outboxWriteUnsent w klasie FTPThread w SendFile.jar dla Beehive Software SendFile.NET używa zakodowanych na sztywno poświadczeń do serwera FTP, co umożliwia zdalnym atakującym uzyskanie uprawnień.
W pliku w_editeur.c w XWine 1.0.1 dla systemu Debian GNU/Linux lokalni użytkownicy mogą nadpisywać lub drukować dowolne pliki za pomocą ataku symlink na tymczasowy plik temporaire.
Podatność na wstrzykiwanie SQL w pliku index.php w eazyPortal 1.0 i wcześniejszych wersjach umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą ciasteczka session_vars.
Podatność typu format string w wbudowanym komponencie Internet Explorer dla Mirabilis ICQ 6 build 6043 umożliwia zdalnym serwerom wykonanie dowolnego kodu lub spowodowanie awarii (denial of service) poprzez nieokreślone wektory związane z generowaniem kodu HTML.
W module pobierania w Koobi Pro 5.7 występuje podatność na wstrzykiwanie SQL, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL za pomocą parametru categ w pliku index.php. Problem ten dotyczy również wersji Koobi CMS 4.2.4, 4.2.5 i 4.3.0.
W podatności CVE-2008-1116 występuje niebezpieczna metoda w kontrolce ActiveX Web Scan Object (OL2005.dll) w Rising Antivirus Online Scanner, która pozwala zdalnym atakującym na wymuszenie pobrania i wykonania dowolnego kodu poprzez ustawienie właściwości BaseURL i wywołanie metody UpdateEngine.
Telefon IP Cisco Unified Wireless 7921, korzystający z protokołu PEAP, nie weryfikuje certyfikatów serwera, co umożliwia zdalnym punktom dostępowym kradzież haszowanych haseł oraz przeprowadzanie ataków typu man-in-the-middle (MITM).
W programach Mozilla Thunderbird przed wersją 2.0.0.12 oraz SeaMonkey przed wersją 1.1.8 występuje przepełnienie bufora w stercie, które może pozwolić zdalnym atakującym na wykonanie dowolnego kodu poprzez spreparowany typ MIME w wiadomości e-mail. Problem ten jest związany z nieprawidłową alokacją pamięci podczas podglądu wiadomości.
W Urulu 2.1 występuje podatność na atak typu SQL injection w pliku server/widgetallocator.php, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr connectionId w index.php z użyciem (1) statprt/js/request lub (2) dyn/js/request w PATH_INFO.
W kontrolce ActiveX PVATLCalendar.PVCalendar.1 w pliku pvcalendar.ocx występują wielokrotne przepełnienia bufora na stosie, które mogą pozwolić zdalnym atakującym na wykonanie dowolnego kodu. Problem ten dotyczy komponentu harmonogramu w Symantec Backup Exec dla systemu Windows Server w wersjach 11d 11.0.6235, 11.0.7170 oraz 12.0 12.0.1364.
Podatność CVE-2008-1078 dotyczy pakietów am-utils i net-fs w systemach Gentoo, rPath Linux oraz innych dystrybucjach. Umożliwia lokalnym użytkownikom nadpisywanie dowolnych plików poprzez atak symlink na tymczasowy plik expn[PID].
Podatność SQL injection w pliku index.php komponentu Simpleboard (com_simpleboard) w wersji 1.0.3 dla Mambo i Joomla! umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr catid w akcji widoku.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS