CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.21)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Podatność w aplikacji yt-grabber-tui pozwala na skonfigurowanie ścieżki do wykonywalnego pliku yt-dlp. Atakujący z dostępem do pliku konfiguracyjnego może zastąpić ten plik złośliwym kodem lub utworzyć dowiązanie symboliczne do dowolnego wykonywalnego pliku, co prowadzi do wykonania złośliwego kodu z uprawnieniami użytkownika.
In the Linux kernel xfrm subsystem, xfrm_alloc_spi can assign SPI value 0, which is invalid (meaning no SPI). This adds the state to the byspi list, but __xfrm_state_delete does not remove it, leading to use-after-free on subsequent list traversal.
A vulnerability in the Linux kernel's af_alg mechanism allowed concurrent writes to the same af_alg socket, causing unpredictable data interleaving and potential inconsistencies in internal socket state.
Podatność CVE-2025-9902 dotyczy oprogramowania QRMenu, które pozwala na obejście autoryzacji poprzez klucz kontrolowany przez użytkownika, co może prowadzić do nadużycia uprawnień. Problem ten występuje w wersjach QRMenu od 1.05.12 do wersji z dnia 05.09.2025.
Baza danych w chmurze przedsiębiorstwa opracowana przez Ragic ma podatność na nieautoryzowane przesyłanie plików, co pozwala zdalnym atakującym z uprawnieniami na przesyłanie i uruchamianie złośliwych skryptów, umożliwiając tym samym wykonanie dowolnego kodu na serwerze.
SOOP-CLM opracowany przez PiExtract ma podatność na ukrytą funkcjonalność, która pozwala uprzywilejowanym zdalnym atakującym wykorzystać tę ukrytą funkcjonalność do wykonania dowolnego kodu na serwerze.
EMCLI zawiera podatność o wysokim stopniu zagrożenia, która wynika z niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach systemu operacyjnego. Może to prowadzić do wykonania dowolnego kodu.
W systemie zarządzania salonem Best Salon Management System w wersji 1.0 odkryto lukę bezpieczeństwa. Manipulacja argumentem serv_id w pliku /booking.php prowadzi do wstrzykiwania SQL, co umożliwia zdalne przeprowadzenie ataku.
W systemie zarządzania szkołą ProjectsAndPrograms do wersji 6b6fae5426044f89c08d0dd101c7fa71f9042a59 odkryto podatność, która pozwala na manipulację w nieznanej części systemu, prowadzącą do braku autoryzacji. Atak można przeprowadzić zdalnie, a exploit został upubliczniony.
W systemie zarządzania szkołą ProjectsAndPrograms do wersji 6b6fae5426044f89c08d0dd101c7fa71f9042a59 zidentyfikowano podatność, która umożliwia nieograniczone przesyłanie plików poprzez manipulację argumentem File w pliku /assets/uploadSllyabus.php. Atak można przeprowadzić zdalnie.
W systemie zarządzania szkołą ProjectsAndPrograms do wersji 6b6fae5426044f89c08d0dd101c7fa71f9042a59 zidentyfikowano lukę, która umożliwia nieograniczone przesyłanie plików poprzez manipulację argumentem File w pliku /assets/uploadNotes.php. Luka ta może być zdalnie wykorzystywana przez atakujących.
W systemie zarządzania szkołą ProjectsAndPrograms do wersji 6b6fae5426044f89c08d0dd101c7fa71f9042a59 wykryto podatność. Manipulacja argumentem File w pliku /assets/changeSllyabus.php pozwala na nieograniczone przesyłanie plików. Atak może być przeprowadzony zdalnie.
W systemie zarządzania szkołą ProjectsAndPrograms do wersji 6b6fae5426044f89c08d0dd101c7fa71f9042a59 wykryto podatność, która dotyczy nieznanej funkcji pliku /assets/createNotice.php. Manipulacja argumentem File prowadzi do nieograniczonego przesyłania plików.
Zidentyfikowano słabość w systemie zarządzania szkołą ProjectsAndPrograms do wersji 6b6fae5426044f89c08d0dd101c7fa71f9042a59. Manipulacja argumentem File w pliku /assets/editNotes.php może prowadzić do nieograniczonego przesyłania plików.
Zidentyfikowano podatność w sklepie internetowym Inferno Online Clothing Store, która dotyczy nieznanej funkcji w pliku /log.php. Manipulacja argumentami cemail lub password prowadzi do możliwości wstrzyknięcia SQL.
Wykryto podatność w urządzeniu UTT HiPER 2620G do wersji 3.1.4, która dotyczy funkcji strcpy w pliku /goform/fNTP. Manipulacja argumentem NTPServerIP prowadzi do przepełnienia bufora, co umożliwia zdalne przeprowadzenie ataku.
Wykryto podatność w urządzeniach Tomofun Furbo 360 i Furbo Mini, związana z nieznaną funkcją komponentu Root Account Handler. Manipulacja tą funkcją prowadzi do wykorzystania twardo zakodowanego hasła.
Vulnerability in Oracle Configurator product of Oracle E-Business Suite (component: Runtime UI) affects versions 12.2.3-12.2.14. It is easily exploitable by an unauthenticated attacker with network access via HTTP, potentially resulting in unauthorized access to critical data or complete access to all Oracle Configurator data. CVSS 3.1 Base Score is 7.5 (Confidentiality impact).
W systemie zarządzania salonem Best Salon Management System w wersji 1.0 odkryto lukę bezpieczeństwa. Manipulacja argumentem ServiceId w pliku /panel/add_invoice.php prowadzi do wstrzykiwania SQL, co umożliwia zdalne wykorzystanie tej podatności.
Zidentyfikowano podatność w systemie zarządzania salonem Best Salon Management System w wersji 1.0. Problem dotyczy nieznanej funkcjonalności pliku /panel/edit-appointment.php, gdzie manipulacja argumentem editid prowadzi do wstrzykiwania SQL.