CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.18)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Plex Media Server w wersjach do 1.42.2.10156 umożliwia uzyskanie stałego tokena dostępu za pomocą wywołania /myplex/account przy użyciu tymczasowego tokena dostępu.
A directory traversal vulnerability was found in Vatilon version 1.12.37-20240124. It allows an attacker to access sensitive directories and files outside the intended scope.
In Vatilon version 1.12.37-20240124, user credentials were found to be transmitted in plaintext. This means that passwords and logins can be intercepted by an attacker during network transmission.
An authentication bypass vulnerability in the /cgi-bin/jvsweb.cgi endpoint of Revotech I6032W-FHW allows attackers to access sensitive information and escalate privileges via a crafted HTTP request.
An exposure of sensitive system information to an unauthorized control sphere vulnerability affects several QNAP operating system versions. Remote attackers can exploit the vulnerability to read application data. Fixed versions include QTS 5.2.8.3332 build 20251128 and later, QuTS hero h5.2.8.3321 build 20251117 and later, and QuTS hero h5.3.1.3250 build 20250912 and later.
In gpsd versions prior to commit `ffa1d6f40bca0b035fc7f5e563160ebb67199da7`, an unsigned integer underflow exists in the `nextstate()` function in `gpsd/packet.c`. When parsing a NAVCOM packet, the payload length is calculated as `lexer->length = (size_t)c - 4` without checking if the input byte `c` is less than 4, resulting in a very large value and a loop consuming 100% CPU.
Zgłoszono podatność w HBS 3 Hybrid Backup Sync, która dotyczy zewnętrznej kontroli nazwy pliku lub ścieżki. Atakujący z dostępem do lokalnej sieci może wykorzystać tę podatność do odczytu lub modyfikacji plików lub katalogów.
An SQL injection vulnerability affects MARS (Multi-Application Recovery Service). Remote attackers can exploit it to execute unauthorized code or commands.
A path traversal vulnerability affects Qfiling. Remote attackers can exploit it to read the contents of unexpected files or system data.
A buffer overflow vulnerability affects several QNAP operating system versions. If a remote attacker gains a user account, they can exploit it to modify memory or crash processes.
A buffer overflow vulnerability affects several QNAP operating system versions. If a remote attacker gains a user account, they can exploit it to modify memory or crash processes.
A buffer overflow vulnerability affects several QNAP operating system versions. If a remote attacker gains a user account, they can exploit it to modify memory or crash processes.
Zidentyfikowano słabość w systemie zarządzania treścią code-projects w wersji 1.0. Problem dotyczy nieznanego przetwarzania pliku /admin/delete.php, co może prowadzić do wstrzyknięcia SQL poprzez manipulację argumentem del.
W systemie zarządzania treścią code-projects w wersji 1.0 zidentyfikowano podatność, która dotyczy nieznanej funkcji pliku search.php. Manipulacja argumentem Value prowadzi do wstrzykiwania SQL.
W Yonyou KSOA 9.0 odkryto podatność, która dotyczy nieznanej funkcjonalności pliku /worksheet/work_edit.jsp. Manipulacja argumentem Report prowadzi do wstrzyknięcia SQL, co może być wykorzystane zdalnie.
W Yonyou KSOA 9.0 odkryto lukę, która dotyczy nieznanej funkcjonalności pliku /worksheet/work_update.jsp. Manipulacja argumentem Report prowadzi do wstrzykiwania SQL, co może być wykorzystane zdalnie.
Wykryto podatność w Yonyou KSOA 9.0, która dotyczy nieznanej funkcji w pliku /kp/PrintZPYG.jsp. Manipulacja argumentem zpjhid prowadzi do wstrzyknięcia SQL, co umożliwia zdalne przeprowadzenie ataku.
W wersji UTT 进取 512W 1.7.7-171114 znaleziono lukę, która dotyczy funkcji strcpy w pliku /goform/formFtpServerDirConfig. Manipulacja argumentem filename może prowadzić do przepełnienia bufora, co umożliwia zdalne przeprowadzenie ataku.
Wykryto podatność w UTT 进取 512W w wersji 1.7.7-171114, dotyczącą funkcji strcpy w pliku /goform/formFtpServerShareDirSelcet. Manipulacja argumentem oldfilename prowadzi do przepełnienia bufora, co może być wykorzystane zdalnie.
A vulnerability has been detected in UTT 进取 512W version 1.7.7-171114. The strcpy function in the file /goform/formConfigCliForEngineerOnly allows a buffer overflow via the addCommand argument. The attack can be launched remotely, and the exploit is publicly available.