CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.18)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
W ClipBucket v5, przed wersją 5.5.3 - #40, występuje podatność typu Time-of-Check to Time-of-Use (TOCTOU) w funkcjonalności przesyłania awatarów i obrazów tła. Aplikacja przenosi przesłane pliki do lokalizacji dostępnej przez sieć przed ich walidacją, co stwarza możliwość wykonania dowolnego kodu PHP przez atakującego przed usunięciem pliku.
In LIBPNG prior to version 1.6.55, an out-of-bounds read vulnerability exists in the png_set_quantize() function. When called with no histogram and the number of colors in the palette exceeds twice the maximum supported by the display, certain palettes cause an infinite loop reading past the end of a heap buffer. The triggering images are valid per the PNG specification.
Seria specjalnie przygotowanych, nieautoryzowanych wiadomości może wyczerpać dostępną pamięć i spowodować awarię serwera MongoDB.
Emmett to framework mający na celu uproszczenie procesu deweloperskiego. W wersjach przed 1.3.11, właściwość cookies w mmett_core.http.wrappers.Request nie obsługuje wyjątków CookieError podczas parsowania błędnych nagłówków Cookie, co pozwala nieautoryzowanym atakującym na wywołanie błędów HTTP 500 i spowodowanie odmowy usługi.
Docmost to otwarte oprogramowanie do współpracy i dokumentacji. W wersjach od 0.20.0 do 0.25.0 funkcjonalność publicznego udostępniania stron nieprawidłowo zabezpiecza tytuły stron przed wstrzyknięciem HTML, co umożliwia ataki typu Stored Cross-Site Scripting (XSS).
Nieprawidłowa kontrola generowania kodu ('iniekcja kodu') w Microsoft Defender dla systemu Linux umożliwia nieautoryzowanemu atakującemu wykonanie kodu w sąsiedniej sieci.
Nieprawidłowe zarządzanie uprawnieniami w systemie Windows Remote Desktop umożliwia autoryzowanemu atakującemu lokalne podniesienie uprawnień.
W GitHub Copilot i Visual Studio występuje warunkowa podatność wyścigu typu time-of-check time-of-use (TOCTOU), która pozwala autoryzowanemu atakującemu na wykonanie kodu przez sieć.
W Menedżerze okien pulpitu występuje problem z dostępem do zasobów przy użyciu niekompatybilnego typu ('pomieszanie typów'), co pozwala autoryzowanemu atakującemu na lokalne podniesienie uprawnień.
W GitHub Copilot i Visual Studio Code występuje niewłaściwe neutralizowanie specjalnych elementów używanych w poleceniach, co prowadzi do podatności na wstrzyknięcie poleceń. Atakujący może wykorzystać tę lukę, aby obejść funkcję zabezpieczeń przez sieć.
Nieprawidłowe neutralizowanie specjalnych elementów używanych w poleceniach ('iniekcja poleceń') w Github Copilot umożliwia nieautoryzowanemu atakującemu wykonanie kodu przez sieć.
Zaufanie do niezweryfikowanych danych wejściowych w decyzji bezpieczeństwa w Microsoft Office Word umożliwia nieautoryzowanemu atakującemu ominięcie lokalnej funkcji zabezpieczeń.
Awaria mechanizmu ochrony w ramach MSHTML umożliwia nieautoryzowanemu atakującemu ominięcie funkcji zabezpieczeń w sieci.
Deserializacja nieufnych danych w Microsoft Office Outlook umożliwia nieautoryzowanemu atakującemu przeprowadzenie ataku typu spoofing w sieci.
Awaria mechanizmu ochrony w Windows Shell umożliwia nieautoryzowanemu atakującemu ominięcie funkcji zabezpieczeń w sieci.
Nieprawidłowa autoryzacja w systemie Windows Storage umożliwia autoryzowanemu atakującemu lokalne podniesienie uprawnień.
Wersje InDesign Desktop 21.1, 20.5.1 i wcześniejsze są podatne na atak typu przepełnienie bufora w stercie, co może prowadzić do wykonania dowolnego kodu w kontekście aktualnego użytkownika. Wykorzystanie tej podatności wymaga interakcji użytkownika, ponieważ ofiara musi otworzyć złośliwy plik.
Wersje After Effects 25.6 i wcześniejsze są podatne na lukę typu Use After Free, która może prowadzić do wykonania dowolnego kodu w kontekście aktualnego użytkownika. Wykorzystanie tej luki wymaga interakcji użytkownika, ponieważ ofiara musi otworzyć złośliwy plik.
Substance3D - Designer w wersjach 15.1.0 i wcześniejszych jest podatny na lukę typu out-of-bounds write, która może prowadzić do wykonania dowolnego kodu w kontekście aktualnego użytkownika. Wykorzystanie tej luki wymaga interakcji użytkownika, ponieważ ofiara musi otworzyć złośliwy plik.
Substance3D - Designer w wersjach 15.1.0 i wcześniejszych jest podatny na lukę typu out-of-bounds write, która może prowadzić do wykonania dowolnego kodu w kontekście aktualnego użytkownika. Wykorzystanie tej luki wymaga interakcji użytkownika, ponieważ ofiara musi otworzyć złośliwy plik.