CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.18)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Konektor Kafka Connect BigQuery przed wersją 2.11.0 ma lukę umożliwiającą odczyt dowolnych plików. Problem wynika z braku walidacji zewnętrznych konfiguracji poświadczeń przed ich przekazaniem do bibliotek autoryzacyjnych Google.
RustFS to rozproszony system przechowywania obiektów zbudowany w języku Rust. W wersjach od 1.0.0-alpha.1 do 1.0.0-alpha.79, nieprawidłowe podpisy RPC powodują, że serwer loguje wspólny sekret HMAC oraz oczekiwany podpis, co naraża sekret na odczyt przez osoby przeglądające logi i umożliwia fałszowanie wywołań RPC.
Tenda AX-1806 v1.0.0.1 was discovered to contain a stack overflow in the security parameter of the sub_4C408 function. This vulnerability allows attackers to cause a Denial of Service (DoS) via a crafted request.
Tenda AX-1806 v1.0.0.1 was discovered to contain a stack overflow in the timeZone parameter of the fromSetSysTime function. This vulnerability allows attackers to cause a Denial of Service (DoS) via a crafted request.
User provided uploads to the Easy Discuss component for Joomla aren't properly validated. Uploads are purely checked by file extensions, no mime type checks are happening.
SteelSeries Nahimic 3 1.10.7 allows Directory traversal.
In ConnectWise PSA versions older than 2026.1, Time Entry notes stored in the Time Entry Audit Trail may be rendered without applying output encoding to certain content. Under specific conditions, this may allow stored script code to execute in the context of a user’s browser when the affected content is displayed.
TheLibrarians web_fetch tool can be used to retrieve the Adminer interface content, which can then be used to log into the internal TheLibrarian backend system. The vendor has fixed the vulnerability in all affected versions.
The Librarian `supervisord` status page can be retrieved by the `web_fetch` tool, which can be used to retrieve running processes within TheLibrarian backend. The vendor has fixed the vulnerability in all affected versions.
The Librarian contains an internal port scanning vulnerability, facilitated by the `web_fetch` tool, which can be used with SSRF-style behavior to perform GET requests to internal IP addresses and services, enabling scanning of the Hertzner cloud environment that TheLibrarian uses. The vendor has fixed the vulnerability in all affected versions.
The Librarian contains an information leakage vulnerability through the `web_fetch` tool, which can be used to retrieve arbitrary external content provided by an attacker, which can be used to proxy requests through The Librarian infrastructure. The vendor has fixed the vulnerability in all versions of TheLibrarian.
Podatność CVE-2025-14510 dotyczy nieprawidłowej implementacji algorytmu uwierzytelniania w systemie ABB Ability OPTIMAX. Problem ten występuje w wersjach 6.1, 6.2 oraz od 6.3.0 do przed 6.3.1-251120 i od 6.4.0 do przed 6.4.1-251120.
W wersjach Apache Airflow przed 3.1.6 oraz 2.11.1, pola proxy w połączeniach mogły zawierać adresy URL z wbudowanymi informacjami uwierzytelniającymi. Te pola nie były domyślnie traktowane jako wrażliwe, co prowadziło do ich ujawnienia w logach.
In Apache Airflow versions before 3.1.6, when rendered template fields in a Dag exceed [core] max_templated_field_length, sensitive values could be exposed in cleartext in the Rendered Templates UI. This occurred because serialization of those fields used a secrets masker instance that did not include user-registered mask_secret() patterns, so secrets were not reliably masked before truncation and display. Users are recommended to upgrade to 3.1.6 or later, which fixes this issue.
HCL MyXalytics is affected by improper management of a static JWT signing secret in the web application, where the secret lacks rotation, introducing a security risk.
The Membership Plugin – Restrict Content plugin for WordPress is vulnerable to Missing Authentication in all versions up to, and including, 3.2.16 via the 'rcp_stripe_create_setup_intent_for_saved_card' function due to missing capability check. Additionally, the plugin does not check a user-controlled key, which makes it possible for unauthenticated attackers to leak Stripe SetupIntent client_secret values for any membership.
Wielokrotne kamery sieciowe serii TRIFORA 3 firmy TOA Corporation mają podatność na wstrzyknięcie poleceń systemowych. Umożliwia to zalogowanemu użytkownikowi z niskimi uprawnieniami ('użytkownik monitorujący') lub wyższymi wykonanie dowolnego polecenia systemowego.
W systemie Supermicro MBD-X13SEM-F występuje podatność w logice walidacji firmware'u BMC. Atakujący może zaktualizować firmware systemu za pomocą specjalnie przygotowanego obrazu.
W firmware BMC Supermicro MBD-X12STW-F występuje podatność w logice walidacji. Atakujący może zaktualizować firmware systemu za pomocą specjalnie przygotowanego obrazu.
Delta Electronics DIAView has Command Injection vulnerability.