CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.16)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Wersje DNG SDK 1.7.1 2410 i wcześniejsze są podatne na lukę typu out-of-bounds write, która może prowadzić do wykonania dowolnego kodu w kontekście aktualnego użytkownika. Wykorzystanie tej luki wymaga interakcji użytkownika, ponieważ ofiara musi otworzyć złośliwy plik.
Wersje Bridge 15.1.3, 16.0.1 i wcześniejsze są podatne na błąd przepełnienia całkowitego lub owinięcia, co może prowadzić do wykonania dowolnego kodu w kontekście aktualnego użytkownika. Wykorzystanie tej podatności wymaga interakcji użytkownika, ponieważ ofiara musi otworzyć złośliwy plik.
Wersje Bridge 15.1.3, 16.0.1 i wcześniejsze są podatne na lukę typu out-of-bounds write, która może prowadzić do wykonania dowolnego kodu w kontekście aktualnego użytkownika. Wykorzystanie tej luki wymaga interakcji użytkownika, ponieważ ofiara musi otworzyć złośliwy plik.
Substance3D - wersje Stager 3.1.6 i wcześniejsze są podatne na lukę typu out-of-bounds podczas analizowania spreparowanego pliku, co może prowadzić do odczytu poza końcem przydzielonej struktury pamięci. Atakujący może wykorzystać tę podatność do wykonania kodu w kontekście bieżącego użytkownika.
Substance3D - wersje Stager 3.1.6 i wcześniejsze są podatne na lukę typu out-of-bounds przy analizowaniu spreparowanego pliku, co może prowadzić do odczytu poza końcem przydzielonej struktury pamięci. Atakujący może wykorzystać tę podatność do wykonania kodu w kontekście bieżącego użytkownika.
Substance3D - wersje Stager 3.1.6 i wcześniejsze są podatne na lukę typu out-of-bounds podczas analizowania spreparowanego pliku, co może prowadzić do odczytu poza końcem przydzielonej struktury pamięci. Atakujący może wykorzystać tę podatność do wykonania kodu w kontekście bieżącego użytkownika.
Substance3D - wersje Stager 3.1.6 i wcześniejsze są podatne na lukę typu out-of-bounds write, która może prowadzić do wykonania dowolnego kodu w kontekście aktualnego użytkownika. Wykorzystanie tej luki wymaga interakcji użytkownika, ponieważ ofiara musi otworzyć złośliwy plik.
Substance3D - wersje Stager 3.1.6 i wcześniejsze są podatne na lukę typu out-of-bounds write, która może prowadzić do wykonania dowolnego kodu w kontekście aktualnego użytkownika. Wykorzystanie tej luki wymaga interakcji użytkownika, ponieważ ofiara musi otworzyć złośliwy plik.
Połączenia przyjmowane z portu proxy mogą nie być uwzględniane w łącznej liczbie zaakceptowanych połączeń, co może prowadzić do awarii serwera, jeśli całkowita liczba połączeń przekroczy dostępne zasoby. Dotyczy to tylko połączeń akceptowanych z portu proxy, oczekujących na nagłówek protokołu proxy.
SiYuan to system zarządzania wiedzą osobistą. W wersjach przed 3.5.5, punkt końcowy /api/file/getFile używał wrażliwych na wielkość liter porównań ciągów, co pozwalało atakującym na obejście ograniczeń i odczytanie chronionych plików konfiguracyjnych na systemach plików niewrażliwych na wielkość liter, takich jak Windows.
Worklenz to narzędzie do zarządzania projektami, w którym przed wersją 2.1.7 odkryto wiele podatności na wstrzykiwanie SQL. Dotyczyły one konstrukcji zapytań SQL w kontrolerach zarządzania projektami i zadaniami, punktach końcowych raportowania i danych finansowych, obsłudze socket.io w czasie rzeczywistym oraz funkcjach alokacji zasobów i harmonogramowania.
W ClipBucket v5, przed wersją 5.5.3 - #40, występuje podatność typu Time-of-Check to Time-of-Use (TOCTOU) w funkcjonalności przesyłania awatarów i obrazów tła. Aplikacja przenosi przesłane pliki do lokalizacji dostępnej przez sieć przed ich walidacją, co stwarza możliwość wykonania dowolnego kodu PHP przez atakującego przed usunięciem pliku.
In LIBPNG prior to version 1.6.55, an out-of-bounds read vulnerability exists in the png_set_quantize() function. When called with no histogram and the number of colors in the palette exceeds twice the maximum supported by the display, certain palettes cause an infinite loop reading past the end of a heap buffer. The triggering images are valid per the PNG specification.
Seria specjalnie przygotowanych, nieautoryzowanych wiadomości może wyczerpać dostępną pamięć i spowodować awarię serwera MongoDB.
Emmett to framework mający na celu uproszczenie procesu deweloperskiego. W wersjach przed 1.3.11, właściwość cookies w mmett_core.http.wrappers.Request nie obsługuje wyjątków CookieError podczas parsowania błędnych nagłówków Cookie, co pozwala nieautoryzowanym atakującym na wywołanie błędów HTTP 500 i spowodowanie odmowy usługi.
Docmost to otwarte oprogramowanie do współpracy i dokumentacji. W wersjach od 0.20.0 do 0.25.0 funkcjonalność publicznego udostępniania stron nieprawidłowo zabezpiecza tytuły stron przed wstrzyknięciem HTML, co umożliwia ataki typu Stored Cross-Site Scripting (XSS).
Nieprawidłowa kontrola generowania kodu ('iniekcja kodu') w Microsoft Defender dla systemu Linux umożliwia nieautoryzowanemu atakującemu wykonanie kodu w sąsiedniej sieci.
Nieprawidłowe zarządzanie uprawnieniami w systemie Windows Remote Desktop umożliwia autoryzowanemu atakującemu lokalne podniesienie uprawnień.
W GitHub Copilot i Visual Studio występuje warunkowa podatność wyścigu typu time-of-check time-of-use (TOCTOU), która pozwala autoryzowanemu atakującemu na wykonanie kodu przez sieć.
W Menedżerze okien pulpitu występuje problem z dostępem do zasobów przy użyciu niekompatybilnego typu ('pomieszanie typów'), co pozwala autoryzowanemu atakującemu na lokalne podniesienie uprawnień.