CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.18)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
A vulnerability in the WiFi driver of Samsung Mobile Processors Exynos 1380, 1480, 2400, and 1580 is caused by improper handling of an NL80211 vendor command, leading to a buffer overflow.
A vulnerability was discovered in the L2 layer of Samsung Mobile Processor, Wearable Processor, and Modem Exynos models 980, 990, 850, 1080, 2400, 1580, 9110, W920, W930, Modem 5123, and Modem 5400. Incorrect handling of RRC packets leads to a Denial of Service.
OpenCTI before version 6.8.1 contains a vulnerability in the GraphQL mutation WorkspacePopoverDeletionMutation that allows deletion of workspace-related objects (e.g., dashboards, investigation cases) without proper authorization. An attacker can supply another user's active UUID and delete the entire workspace because the API does not validate ownership.
Coolify versions up to and including v4.0.0-beta.420.6 are vulnerable to a stored XSS attack in the project creation workflow. An authenticated low-privileged user can create a project with a malicious name containing JavaScript, which executes in the admin's browser when the project or resource is deleted. Version 4.0.0-beta.420.7 contains a patch.
Coolify before version 4.0.0-beta.420.7 contains a Remote Code Execution (RCE) vulnerability in the application deployment workflow. A low-privileged member can inject arbitrary Docker Compose directives during project creation or updates, allowing to mount the host filesystem and execute commands with root privileges, bypassing container isolation.
Muffon is a cross-platform music streaming client for desktop. Versions prior to 2.3.0 have a one-click Remote Code Execution (RCE) vulnerability. An attacker can exploit this by embedding a crafted `muffon://` link on a website they control, and when a victim visits the site or clicks the link, the browser triggers Muffon's custom URL handler, leading to RCE without further interaction.
A malicious actor with access to the adjacent network could obtain unauthorized access to a UniFi Protect Camera by exploiting a discovery protocol vulnerability in the Unifi Protect Application (Version 6.1.79 and earlier).
Wtyczka UCRM Argentina AFIP invoices (w wersji 1.2.0 i wcześniejszych) zawiera podatność typu Cross-Site Scripting (XSS), która może umożliwić eskalację uprawnień, jeśli administrator zostanie nakłoniony do odwiedzenia spreparowanej złośliwej strony.
In Samsung Magician versions 6.3.0 through 8.3.2 on Windows, the installer creates a temporary folder with weak permissions during installation. This allows a non-admin user to perform DLL hijacking and escalate privileges.
A vulnerability was discovered in the Camera of Samsung Mobile and Wearable Processors Exynos 1330, 1380, 1480, 2400, 1580, and 2500. Improper validation of user-space input in the issimian device driver leads to information disclosure and denial of service.
W LoginWP - Pro występuje luka związana z brakiem autoryzacji, która pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy wersji od n/a do 4.0.8.5.
Podatność typu Stored XSS w menedżerze Webclip dla iPhone'a, związana z niewłaściwą neutralizacją danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji menedżera Webclip od n/a do 0.5 włącznie.
Podatność CVE-2024-30516 dotyczy niewłaściwej walidacji określonej ilości w pakiecie rezerwacyjnym SaasProject, co pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji pakietu rezerwacyjnego od n/a do 1.6.27.
Podatność CVE-2024-30461 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Tumult Hype Animations, co pozwala na ataki typu DOM-Based XSS. Problem ten dotyczy wersji od n/a do 1.9.11.
A vulnerability in ComfyUI-Manager prior to version 3.38 allows remote attackers to potentially manipulate its configuration and critical data. This is due to the application storing its files in an insufficiently protected location accessible via the web interface.
Zimbra Collaboration (ZCS) w wersjach 10 przed 10.0.18 oraz 10.1 przed 10.1.13 umożliwia przeprowadzenie ataku typu stored XSS w Classic UI poprzez dyrektywy @import w arkuszach stylów CSS w wiadomościach e-mail HTML.
W systemie rezerwacji produktów online w wersji 1.0 odkryto lukę bezpieczeństwa w pliku /handgunner-administrator/register_code.php, która dotyczy nieznanej funkcji komponentu obsługi rejestracji użytkowników. Manipulacja argumentami fname/lname/address/city/province/country/zip/tel_no/email/username prowadzi do wstrzyknięcia SQL.
Podatność CVE-2023-49186 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w KlbTheme Machic Core, co prowadzi do ataków typu DOM-Based XSS. Problem ten dotyczy wersji Machic Core od n/a do 1.2.6.
W systemie rezerwacji produktów Online Product Reservation System w wersji 1.0 zidentyfikowano podatność w nieznanej funkcji komponentu Administracja Backend. Manipulacja prowadzi do niewłaściwej autoryzacji, co może być wykorzystane przez atakującego zdalnie.
W podatności CVE-2025-69087 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w aplikacji jwsthemes FreeAgent. Problem dotyczy wersji FreeAgent od n/a do 2.1.2.