CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.23)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
W oprogramowaniu pmTicket Project-Management-Software do wersji 2ef379da2075f4761a2c9029cf91d073474e7486 zidentyfikowano krytyczną podatność. Manipulacja argumentem user_id w funkcji getUserLanguage w pliku classes/class.database.php prowadzi do możliwości wykonania ataku typu SQL injection, który można przeprowadzić zdalnie.
W oprogramowaniu Eluktronics Control Center w wersji 5.23.51.41 wykryto krytyczną podatność na wstrzykiwanie poleceń. Luka znajduje się w nieznanej funkcji pliku \AiStoneService\MyControlCenter\Command, w komponencie obsługi skryptów PowerShell. Atak wymaga dostępu lokalnego, a szczegóły exploit zostały ujawnione publicznie.
W systemie Metasoft 美特软件 MetaCRM w wersjach do 6.4.2 odkryto krytyczną podatność. Problem dotyczy nieznanej części pliku /debug.jsp, co prowadzi do niewłaściwej autoryzacji. Atak można przeprowadzić zdalnie.
Wykryto krytyczną podatność w urządzeniu TOTOLINK T6 w wersji 4.1.5cu.748_B20211015. Problem dotyczy funkcji setTelnetCfg w pliku /cgi-bin/cstecgi.cgi, gdzie manipulacja argumentem telnet_enabled z wartością 1 prowadzi do braku uwierzytelnienia.
W systemie darowizn kościelnych w wersji 1.0 zidentyfikowano krytyczną podatność. Problem dotyczy nieznanej funkcji w pliku /members/search.php, gdzie manipulacja argumentem 'Username' prowadzi do ataku typu SQL injection.
W systemie Church Donation System w wersji 1.0 odkryto krytyczną podatność, która dotyczy nieznanego przetwarzania pliku /members/login_admin.php. Manipulacja argumentem Username prowadzi do ataku typu SQL injection.
W systemie Church Donation System w wersji 1.0 odkryto krytyczną podatność, która dotyczy pliku /members/update_password_admin.php. Manipulacja argumentem new_password prowadzi do wstrzyknięcia SQL, co umożliwia zdalne przeprowadzenie ataku.
W systemie rezerwacji miejsc w kinie Campcodes Online Movie Theater w wersji 1.0 odkryto krytyczną podatność. Manipulacja argumentem ID w pliku /admin/manage_seat.php prowadzi do wstrzyknięcia SQL, co może być wykorzystane przez atakującego zdalnie.
eslint-config-prettier versions 8.10.1, 9.1.1, 10.1.6, and 10.1.7 contain embedded malicious code for a supply chain compromise. Installing an affected package executes an install.js file that launches the node-gyp.dll malware on Windows.
W systemie Church Donation System w wersji 1.0 odkryto krytyczną podatność, która dotyczy nieznanego przetwarzania pliku /members/giving.php. Manipulacja argumentem Amount prowadzi do wstrzykiwania SQL.
W systemie darowizn kościelnych w wersji 1.0 odkryto krytyczną podatność, która dotyczy nieznanego kodu w pliku /members/offering.php. Manipulacja argumentem trcode prowadzi do wstrzyknięcia SQL.
W systemie Church Donation System w wersji 1.0 odkryto krytyczną podatność, która dotyczy nieznanej części pliku /members/Tithes.php. Manipulacja argumentem trcode prowadzi do wstrzykiwania SQL, co umożliwia zdalne przeprowadzenie ataku.
W systemie darowizn kościelnych w wersji 1.0 odkryto krytyczną podatność. Problem dotyczy nieznanej funkcjonalności pliku /reg.php, gdzie manipulacja argumentem 'mobile' prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie.
W systemie Church Donation System w wersji 1.0 odkryto krytyczną podatność. Dotyczy ona nieznanej funkcjonalności pliku /login.php, gdzie manipulacja argumentem Username prowadzi do wstrzyknięcia SQL.
W systemie Jinher OA w wersji 1.1 zidentyfikowano podatność, która została oceniona jako problematyczna. Dotyczy ona nieznanego przetwarzania pliku XmlHttp.aspx, co prowadzi do odniesienia do zewnętrznych jednostek XML.
W systemie Jinher OA w wersji 1.2 zidentyfikowano podatność, która dotyczy nieznanego kodu w pliku ProjectScheduleDelete.aspx. Manipulacja ta prowadzi do odniesienia do zewnętrznego bytu XML, co stwarza ryzyko ataku.
A vulnerability was found in the Linux kernel's network scheduling subsystem (net/sched). During an enqueue operation, a child qdisc may be unexpectedly emptied, triggering qlen_notify() and potentially causing a use-after-free due to class reactivation. The fix ensures qdisc_tree_reduce_backlog always notifies the parent when the child class becomes empty.
Zidentyfikowano niekompletne rozwiązanie dla CVE-2025-23084 w Node.js, które dotyczy nazw urządzeń Windows, takich jak CON, PRN i AUX. Podatność ta wpływa na użytkowników systemu Windows korzystających z API `path.join`.
Wersja V8 używana w Node.js v24.0.0 zmieniła sposób obliczania hashy dla ciągów znaków przy użyciu rapidhash. Ta implementacja ponownie wprowadza podatność HashDoS, ponieważ atakujący, który może kontrolować ciągi do zhashowania, może generować wiele kolizji hashy.
W systemie Food Ordering Review System w wersji 1.0 zidentyfikowano krytyczną podatność, która dotyczy nieznanego kodu w pliku /pages/signup_function.php. Manipulacja argumentem fname prowadzi do wstrzykiwania SQL, co może być wykorzystane zdalnie.