Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W podatności CVE-2004-2062 występuje luka typu SQL injection w pliku antiboard.php w wersjach AntiBoard 0.7.2 i wcześniejszych. Umożliwia ona zdalnym atakującym wykonywanie dowolnych zapytań SQL poprzez parametry (1) thread_id, (2) parent_id lub (3) mode.
Podatność SQL injection w oprogramowaniu PD9 Software MegaBBS w wersjach 2 i 2.1 pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametry sortdir lub criteria w pliku ladder-log.asp oraz memberid lub teamid w pliku view-profile.asp.
SCO OpenServer w wersjach 5.0.5 do 5.0.7 obsługuje kontrolę dostępu w stylu Xauthority tylko podczas logowania za pomocą scologin. To umożliwia zdalnym atakującym uzyskanie nieautoryzowanego dostępu do sesji X za pomocą innych metod logowania X.
Podatność SQL injection w pliku verify.asp w Asp-rider umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL oraz ominięcie uwierzytelnienia za pomocą parametru nazwy użytkownika.
Jądro systemu Solaris w wersjach 2.6, 7, 8 i 9 umożliwia lokalnym użytkownikom uzyskanie uprawnień poprzez ładowanie dowolnych modułów jądra (LKM), co może obejmować funkcję modload.
Podatność SQL injection w ikonboard.cgi w Ikonboard w wersjach od 3.1.0 do 3.1.3 umożliwia zdalnym atakującym wstrzykiwanie dowolnych poleceń SQL za pomocą parametrów (1) st lub (2) keywords.
Podatność typu SQL injection w pliku index.php w Invision Power Top Site List w wersji 1.1 RC 2 i wcześniejszych umożliwia zdalnym atakującym wykonanie dowolnych zapytań SQL poprzez parametr id w akcji komentarzy.
Podatność typu cross-site scripting (XSS) w pliku icq.cgi w Board Power 2.04PF umożliwia zdalnym atakującym wstrzykiwanie dowolnych skryptów webowych lub HTML za pomocą parametru action.
W PuTTY przed wersją 0.55 występują wielokrotne przepełnienia bufora w stercie w funkcji modpow, które pozwalają zdalnym atakującym na wykonanie dowolnego kodu poprzez pakiet SSH2 z argumentem bazowym większym niż argument mod. Może to również prowadzić do awarii klienta oraz potencjalnego wykonania dowolnego kodu przez złośliwe serwery podczas uwierzytelniania.
W podatności CVE-2004-1388 występuje błąd formatu w funkcji gpsd_report w demonie BerliOS GPD (gpsd, wcześniej pygps) w wersjach od 1.9.0 do 2.7. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu poprzez określone żądania GPS zawierające nieprawidłowo obsługiwane specyfikatory formatu w wywołaniach syslog.
W pakiecie cdrtools przed wersją 2.01, program cdrecord, gdy jest zainstalowany z ustawieniem setuid root, nieprawidłowo zrzuca uprawnienia przed wykonaniem programu określonego w zmiennej środowiskowej RSH, co pozwala lokalnym użytkownikom na uzyskanie wyższych uprawnień.
Podatność SQL injection w iWebNegar umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry string w plikach index.php, comments.php oraz na stronie logowania administratora.
CFPlugIn w frameworku Core Foundation w systemie Mac OS X pozwala na ładowanie bibliotek dostarczonych przez użytkownika, co może umożliwić lokalnym użytkownikom uzyskanie podwyższonych uprawnień.
Przepełnienie bufora oparte na stercie w bibliotece Netscape Network Security Services (NSS) umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez zmodyfikowane pole długości rekordu w wiadomości SSLv2 client hello.
ArGoSoft FTP w wersji 1.4.2.4 i wcześniejszych nie ogranicza liczby prób wprowadzenia błędnego hasła, co ułatwia zdalnym atakującym odgadywanie haseł za pomocą ataku siłowego.
MediaWiki w wersji 1.3.8 i wcześniejszych, w połączeniu z Apache mod_mime, nieprawidłowo obsługuje pliki z dwoma rozszerzeniami, takimi jak .php.rar. To umożliwia zdalnym atakującym przesyłanie i wykonywanie dowolnego kodu.
Wielokrotne podatności zdalnego dołączania plików w PHP w Sean Proctor PHP-Calendar przed wersją 0.10.1 umożliwiają zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrze phpc_root_path w plikach (1) includes/calendar.php lub (2) includes/setup.php.
Wiele podatności na zdalne dołączanie plików PHP w WHM AutoPilot 2.4.6.5 i wcześniejszych wersjach umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP. Atakujący mogą to osiągnąć, modyfikując parametr server_inc, aby wskazywał na URL na zdalnym serwerze, który zawiera złośliwy kod.
Cisco IOS 12.2(15) i wcześniejsze pozwala zdalnym atakującym wywołać odmowę usługi (odrzucenie połączeń VTY) poprzez spreparowane połączenie TCP do portu Telnet lub reverse Telnet.
Podatność na atak typu format string w funkcji logowania serwera IGI 2 Covert Strike w wersji 1.3 i wcześniejszych umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez specyfikatory formatu w poleceniach RCON.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS