CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.23)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Podatność CVE-2025-8032 dotyczy błędu w ładowaniu dokumentów XSLT, który nieprawidłowo propagował dokument źródłowy, co pozwalało na obejście polityki CSP. Problem został naprawiony w wersjach Firefox 141, Firefox ESR 128.13, Firefox ESR 140.1, Thunderbird 141, Thunderbird 128.13 oraz Thunderbird 140.1.
Niewystarczające zabezpieczenie w funkcji 'Kopiuj jako cURL' może być wykorzystane do oszukania użytkownika w celu wykonania nieoczekiwanego kodu. Podatność została naprawiona w wersjach Firefox 141, Firefox ESR 128.13, Firefox ESR 140.1, Thunderbird 141, Thunderbird 128.13 oraz Thunderbird 140.1.
Thunderbird wykonywał adresy URL `javascript:` używane w tagach `object` i `embed`. Ta podatność została naprawiona w Thunderbirdzie w wersjach 141, 128.13 oraz 140.1.
W systemie AlertEnterprise Guardian 4.1.14.2.2.1 odkryto problem, który pozwala na ominięcie zatwierdzenia menedżera za pomocą parametru isAddedByApprover w wywołaniu API Request%20Building%20Access requestSubmit. W celu zabezpieczenia systemu, należy zaktualizować go do wersji równej lub wyższej od podanych numerów kompilacji.
W systemie AlertEnterprise Guardian 4.1.14.2.2.1 odkryto problem, który pozwala na ominięcie zatwierdzenia menedżera poprzez zmianę identyfikatora użytkownika w wywołaniu API Request%20Building%20Access requestSubmit. W celu zabezpieczenia systemu, zaleca się aktualizację do wersji równej lub wyższej od podanych numerów kompilacji.
Usługa internetowa Ai2 playground (playground.allenai.org) do czatu LLM do 2025-06-03 jest podatna na Insecure Direct Object Reference (IDOR), co pozwala atakującym na uzyskanie wrażliwych informacji poprzez enumerację kluczy wątków w URL.
Wtyczka Orion Login with SMS dla WordPressa jest podatna na obejście uwierzytelniania we wszystkich wersjach do 1.0.5 włącznie. Problem wynika z funkcji olws_handle_verify_phone(), która nie wykorzystuje wystarczająco silnej wartości OTP oraz nie wprowadza ograniczeń co do liczby prób wprowadzenia kodu.
Wtyczka Nginx Cache Purge Preload dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do i włącznie z 2.1.1. Problem wynika z niewystarczającej sanitizacji parametru $_SERVER['HTTP_REFERERER'], co umożliwia atakującym z dostępem na poziomie Administratora wykonanie kodu na serwerze.
WRC-BE36QS-B i WRC-W701-B zawierają podatność na wstrzyknięcie poleceń systemowych ('OS Command Injection') w WebGUI, spowodowaną niewłaściwą neutralizacją specjalnych elementów. W przypadku wykorzystania tej luki, zdalny atakujący, który ma dostęp do WebGUI, może wykonać dowolne polecenie systemowe.
A race condition was found in the Linux kernel between handle_posix_cpu_timers() and posix_cpu_timer_del(). An exiting non-autoreaping task can be reaped by its parent after unlock_task_sighand(), causing synchronization issues.
Wtyczka Extensions For CF7 (Contact form 7 Database, Conditional Fields and Redirection) dla WordPressa jest podatna na nieautoryzowane usuwanie plików z powodu niewystarczającej walidacji ścieżek plików w polu 'delete-file' we wszystkich wersjach do 3.2.8 włącznie. Umożliwia to nieautoryzowanym atakującym usunięcie dowolnych plików na serwerze podczas usuwania zgłoszenia przez administratora.
Wtyczka WP JobHunt dla WordPressa jest podatna na niebezpieczne bezpośrednie odniesienie do obiektu we wszystkich wersjach do 7.2 włącznie, przez funkcję cs_remove_profile_callback(). Brak walidacji na kluczu kontrolowanym przez użytkownika umożliwia atakującym z poziomem dostępu Subskrybenta i wyżej usuwanie kont innych użytkowników, w tym administratorów.
W kodzie Public Chat Room 1.0 odkryto krytyczną podatność. Problem dotyczy nieznanej funkcjonalności pliku /login.php, gdzie manipulacja argumentem Username prowadzi do wstrzyknięcia SQL.
W podatności CVE-2025-7945 odkryto krytyczny błąd w urządzeniach D-Link DIR-513 do daty 20190831. Problem dotyczy funkcji formSetWanDhcpplus w pliku /goform/formSetWanDhcpplus, gdzie manipulacja argumentem curTime prowadzi do przepełnienia bufora.
Serwer Lara Translate MCP, używany w API Lara Translate, zawiera podatność na wstrzykiwanie poleceń w wersjach 0.0.11 i poniżej. Problem wynika z niesanitarnych parametrów wejściowych w wywołaniu child_process.exec, co pozwala atakującemu na wstrzyknięcie dowolnych poleceń systemowych.
Cadwyn, który tworzy gotowe do produkcji wersjonowanie API podobne do Stripe w FastAPI, ma w wersjach przed 5.4.3 podatność na atak typu Reflected XSS w parametrze wersji punktu końcowego '/docs'. Atakujący może wykonać kod JavaScript w sesji użytkownika aplikacji opartej na Cadwyn za pomocą ataku jednego kliknięcia.
Podatność typu Insecure Direct Object Reference (IDOR) w Liner do 2025-06-03 umożliwia atakującym uzyskanie wrażliwych informacji poprzez spreparowane parametry space_id, thread_id i message_id w punkcie końcowym v1/space/{space_id}/thread/{thread_id}/message/{message_id}.
Podatność typu Insecure Direct Object Reference (IDOR) w Dippy (chat.dippy.ai) w wersji 2 umożliwia atakującym uzyskanie wrażliwych informacji poprzez parametr conversation_id w punkcie końcowym conversation_history.
In Jakarta Mail versions prior to 2.0.2, it is possible to perform an SMTP Injection by utilizing the UTF-8 characters and to separate different messages.
W systemie sprzedaży i zarządzania zapasami Campcodes w wersji 1.0 odkryto krytyczną podatność. Dotyczy ona nieznanego kodu w pliku /pages/settings_update.php komponentu Setting Handler, gdzie manipulacja argumentem ID prowadzi do wstrzykiwania SQL.