CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.18)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Zidentyfikowano podatność w urządzeniu D-Link DIR-823X 250416, która dotyczy nieznanej funkcji pliku /goform/set_server_settings w komponencie obsługi parametrów konfiguracyjnych. Manipulacja argumentami terminal_addr/server_ip/server_port prowadzi do wstrzyknięcia poleceń systemowych.
W systemie UTT HiPER 810 w wersji 1.7.4-141218 zidentyfikowano podatność, która dotyczy funkcji sub_4407D4 w pliku /goform/formReleaseConnect komponentu rehttpd. Manipulacja argumentem Isp_Name może prowadzić do wstrzyknięcia poleceń.
W systemie zarządzania społeczeństwem itsourcecode w wersji 1.0 odkryto podatność, która dotyczy nieznanej funkcji w pliku /admin/edit_activity.php. Manipulacja argumentem activity_id prowadzi do wstrzyknięcia SQL.
W systemie zarządzania społeczeństwem itsourcecode w wersji 1.0 odkryto podatność, która dotyczy nieznanej funkcji w pliku /admin/edit_expenses.php. Manipulacja argumentem expenses_id prowadzi do wstrzykiwania SQL.
W systemie zarządzania społeczeństwem itsourcecode w wersji 1.0 znaleziono lukę, która dotyczy nieznanego przetwarzania pliku /admin/delete_expenses.php. Manipulacja argumentem expenses_id prowadzi do wstrzykiwania SQL.
W systemie zarządzania społeczeństwem itsourcecode w wersji 1.0 wykryto podatność, która dotyczy nieznanego kodu w pliku /admin/edit_admin.php. Manipulacja argumentem admin_id prowadzi do wstrzyknięcia SQL, co może być przeprowadzone zdalnie.
In Wekan prior to version 8.20, non-administrative users can access migration functionality due to insufficient permission checks, potentially resulting in unauthorized migration operations.
Router Tenda G300-F w wersji oprogramowania 16.01.14.2 i wcześniejszych zawiera podatność na wstrzykiwanie poleceń systemowych w funkcjonalności diagnostyki WAN (formSetWanDiag). Wdrożenie to konstruuje polecenie powłoki, które wywołuje curl i włącza dane kontrolowane przez atakującego bez odpowiedniego neutralizowania.
An IDOR vulnerability in WeKan before version 8.19 allows cross-board ID tampering during checklist creation. The implementation does not verify that the supplied cardId belongs to the supplied boardId, enabling unauthorized access to checklists in other boards.
An IDOR vulnerability in WeKan before version 8.19 allows cross-board ID tampering during checklist creation. The implementation does not verify that the supplied cardId belongs to the supplied boardId, enabling unauthorized access to checklists from other boards.
WeKan versions prior to 8.19 have an authorization weakness in the attachment upload API due to insufficient validation of identifiers (boardId, cardId, swimlaneId, listId). This allows an attacker to upload attachments with mismatched object relationships.
Wykryto podatność bezpieczeństwa w yuan1994 tpadmin do wersji 1.3.12, która dotyczy nieznanej części biblioteki /public/static/admin/lib/webuploader/0.1.5/server/preview.php komponentu WebUploader. Manipulacja prowadzi do deserializacji, a atak może być przeprowadzony zdalnie.
W systemie SourceCodester Online Class Record System w wersji 1.0 zidentyfikowano podatność, która dotyczy nieznanego przetwarzania pliku /admin/message/search.php. Manipulacja argumentem 'term' może prowadzić do wstrzyknięcia SQL.
W systemie SourceCodester Online Class Record System w wersji 1.0 odkryto podatność, która dotyczy nieznanego kodu w pliku /admin/subject/controller.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL, co umożliwia zdalne wykorzystanie tej podatności.
W systemie zarządzania salonem piękności PHPGurukul w wersji 1.1 odkryto podatność, która dotyczy nieznanej części pliku /admin/accepted-appointment.php. Manipulacja argumentem delid prowadzi do wstrzyknięcia SQL.
W systemie SourceCodester Online Class Record System w wersji 1.0 znaleziono lukę, która dotyczy nieznanej funkcjonalności pliku /admin/login.php. Manipulacja argumentem user_email prowadzi do wstrzyknięcia SQL.
Wykryto podatność w UTT HiPER 810G do wersji 1.7.7-171114, dotycząca funkcji strcpy w pliku /goform/formFireWall komponentu Interfejsu Zarządzania. Manipulacja argumentem GroupName prowadzi do przepełnienia bufora, co umożliwia zdalny atak.
Wykryto podatność bezpieczeństwa w urządzeniu D-Link DWR-M921 w wersji 1.1.50, dotycząca funkcji sub_419F20 w pliku /boafrm/formUSSDSetup komponentu USSD Configuration Endpoint. Manipulacja argumentem ussdValue prowadzi do wstrzyknięcia poleceń, co może być zrealizowane zdalnie.
Zidentyfikowano słabość w urządzeniu D-Link DIR-823X 250416, która dotyczy nieznanej funkcji pliku /goform/set_language. Manipulacja argumentem langSelection może prowadzić do wstrzyknięcia poleceń systemowych.
W projekcie kodu Social Networking Site 1.0 odkryto lukę bezpieczeństwa, która dotyczy nieznanej funkcji w pliku /delete_post.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL, co umożliwia zdalne przeprowadzenie ataku.