CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.18)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Python-Multipart versions prior to 0.0.22 have a Path Traversal vulnerability when using non-default configuration options UPLOAD_DIR and UPLOAD_KEEP_FILENAME=True. An attacker can write uploaded files to arbitrary filesystem locations via a crafted filename.
QGIS before commit 76a693cd91650f9b4e83edac525e5e4f90d954e9 has a remote code execution vulnerability in the GitHub Actions workflow 'pre-commit checks' because it uses the pull_request_target trigger and executes untrusted pull request code in a privileged context. This can lead to repository compromise.
AnythingLLM before version 1.10.0 has a critical Path Traversal vulnerability in the DrupalWiki integration, allowing a malicious admin (or an attacker who convinces an admin to configure a malicious DrupalWiki URL) to write arbitrary files to the server. This can lead to Remote Code Execution (RCE).
AnythingLLM before version 1.10.0, when configured to use Qdrant as the vector database with an API key, can expose this key in plain text to unauthenticated users via the `/api/setup-complete` endpoint. Leakage of the key allows an attacker full read/write access to the Qdrant vector database.
W systemie zarządzania autobusami Hisense TransTech Smart Bus Management System do wersji 20260113 znaleziono lukę. Manipulacja argumentem 'key' w funkcji Page_Load pliku TireMng.aspx może prowadzić do ataku typu SQL injection, który można przeprowadzić zdalnie.
D-Link DIR-615 up to version 4.10 has an OS command injection vulnerability in the file /wiz_policy_3_machine.php in the Web Management Interface. Manipulation of the ipaddr argument allows remote command execution. The exploit is public, and the product is no longer supported.
Skipper to router HTTP i reverse proxy dla kompozycji usług. W wersjach przed 0.24.0, użytkownicy z uprawnieniami do tworzenia Ingress i usługi typu ExternalName mogli tworzyć trasy, które umożliwiały im dostęp do wewnętrznych usług za pośrednictwem Skippera.
BentoML to biblioteka Pythona do budowania systemów serwujących zoptymalizowanych dla aplikacji AI i wnioskowania modeli. W wersjach przed 1.4.34, konfiguracja `bentofile.yaml` w BentoML umożliwia ataki typu path traversal poprzez różne pola ścieżek plików, co pozwala na wykradanie dowolnych plików z systemu plików.
CVE-2025-30248 is a DLL hijacking vulnerability in the WD Discovery Installer from Western Digital, version 5.2.730 on Windows. It allows a local attacker to execute arbitrary code by placing a crafted DLL in the installer's search path.
Podatność typu SQL Injection występuje w strukturze dla uwierzytelnionego użytkownika administracyjnego. Może to pozwolić atakującemu na wykonanie nieautoryzowanych zapytań do bazy danych.
Multiple denial of service vulnerabilities have been found in React Server Components packages (react-server-dom-parcel, react-server-dom-turbopack, react-server-dom-webpack). Specially crafted HTTP requests to Server Function endpoints can cause server crashes, out-of-memory exceptions, or excessive CPU usage.
W projekcie Online Music Site 1.0 odkryto lukę, która dotyczy nieznanej funkcjonalności pliku /Administrator/PHP/AdminDeleteUser.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL, co może być wykorzystane przez atakującego zdalnie.
W gix-date znaleziono błąd, który pozwala funkcji `gix_date::parse::TimeBuf::as_str` generować ciągi zawierające nieprawidłowe znaki nie-UTF8. Problem ten narusza wewnętrzne zasady bezpieczeństwa komponentu `TimeBuf`, co prowadzi do nieokreślonego zachowania podczas przetwarzania tych wadliwych ciągów.
A flaw in KubeVirt Containerized Data Importer (CDI) allows cloning PersistentVolumeClaims (PVCs) from unauthorized namespaces. This vulnerability results in unauthorized data access via the DataImportCron PVC source mechanism.
W interfejsie administracyjnym oprogramowania TP-Link Archer MR600 v5 odkryto podatność na wstrzykiwanie poleceń, która pozwala uwierzytelnionym atakującym na wykonywanie poleceń systemowych za pomocą odpowiednio przygotowanego wejścia w konsoli dewelopera przeglądarki. Może to prowadzić do zakłócenia działania usługi lub pełnego przejęcia systemu.
A vulnerability in Shenzhen Tenda W30E V2 firmware versions up to and including V16.01.0.19(5037) allows account passwords to be changed through the maintenance interface without requiring verification of the existing password. This enables unauthorized password changes when access to the affected endpoint is obtained.
A vulnerability in Shenzhen Tenda W30E V2 firmware versions up to and including V16.01.0.19(5037) discloses sensitive account credentials in cleartext within HTTP responses generated by the maintenance interface. Because the management interface is accessible over unencrypted HTTP by default, credentials may be exposed to network-based interception.
A vulnerability in Shenzhen Tenda W30E V2 firmware versions up to and including V16.01.0.19(5037) allows an authenticated low-privileged user to change the administrator password. The attack involves sending a crafted request directly to the user management API, bypassing role-based restrictions enforced by the web interface.
Reliance on untrusted inputs in a security decision in Microsoft Office allows an unauthorized attacker to bypass a security feature locally.
Crucial Storage Executive installer versions prior to 11.08.082025.00 contain a DLL preloading vulnerability. During installation with elevated privileges, the installer loads Windows DLLs using an uncontrolled search path, which can cause a malicious DLL placed alongside the installer to be loaded instead of the intended system library.