CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.29)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Wtyczka BWL Advanced FAQ Manager dla WordPressa jest podatna na nieautoryzowaną modyfikację danych, co może prowadzić do odmowy usługi z powodu braku sprawdzenia uprawnień w akcji AJAX 'baf_set_notice_status' we wszystkich wersjach do 2.1.4 włącznie. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie Subskrybenta i wyżej, aktualizację wartości opcji na stronie WordPress.
W systemie NASA cFS (Core Flight System) Aquila istnieje możliwość wprowadzenia oprogramowania pokładowego w stan, który uniemożliwia uruchomienie jakiejkolwiek aplikacji zewnętrznej, co prowadzi do odmowy usługi na platformie.
NASA cFS (Core Flight System) Aquila jest podatna na błąd segmentacji, który może być wywołany przez wysłanie złośliwego polecenia telekomendowego do Modułu Zarządzania Pamięcią.
NASA cFS (Core Flight System) Aquila jest podatny na atak typu path traversal w module OSAL, co umożliwia nadpisanie dowolnego pliku w systemie.
W urządzeniu Audi Universal Traffic Recorder 2.88 odkryto problem związany z podatnością na atak typu denial of service. Wykorzystuje ono te same domyślne dane logowania dla wszystkich urządzeń oraz nie implementuje odpowiedniej autoryzacji dla wielu urządzeń, co umożliwia atakującym zablokowanie dostępu właściciela.
W podatności CVE-2025-30567 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do ataku typu 'Path Traversal' w WP01. Problem ten dotyczy wersji WP01 od n/a do 2.6.2 włącznie.
Wtyczka inwentaryzacyjna GLPI obsługuje różne zadania dla agentów GLPI, w tym odkrywanie sieci i inwentaryzację. W wersjach przed 1.5.0 występuje luka w kontroli dostępu, która została naprawiona w wersji 1.5.0.
W urządzeniach D-Link DIR-823X w wersjach 240126 i 240802 występuje podatność na wstrzykiwanie poleceń, która pozwala autoryzowanemu atakującemu na wykonanie dowolnych poleceń na zdalnych urządzeniach. Atakujący może to osiągnąć, wysyłając żądanie POST do /goform/set_prohibiting.
VMware Tools dla systemu Windows zawiera podatność na obejście uwierzytelniania z powodu niewłaściwej kontroli dostępu. Złośliwy użytkownik z nieadministracyjnymi uprawnieniami na gościnnej maszynie wirtualnej może uzyskać możliwość wykonywania niektórych operacji o wysokich uprawnieniach w tej maszynie.
W RTU IEC 61850 występuje podatność związana z funkcjonalnością klienta i serwera, która może wpłynąć na dostępność w przypadku renegocjacji otwartego połączenia TLS IEC61850 w określonych sytuacjach czasowych, gdy komunikacja IEC61850 jest aktywna.
Wtyczka EZ SQL Reports Shortcode Widget i DB Backup dla WordPressa jest podatna na atak Cross-Site Request Forgery w wersjach od 4.11.13 do 5.25.08. Problem wynika z braku lub nieprawidłowej walidacji nonce w funkcji 'ELISQLREPORTS_menu'.
Wtyczka WP Church Donation dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez kilka parametrów formularza darowizny we wszystkich wersjach do 1.7 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.
W systemie SirsiDynix Horizon Information Portal (IPAC20) występuje podatność na atak typu SQL Injection w wersji 3.25_9382. Problem dotyczy pliku ipac.jsp w instrukcji SELECT WHERE, w części zmiennej uri= w drugiej części zmiennej full=.
Wykryto podatność w urządzeniach H3C Magic NX15, Magic NX30 Pro, Magic NX400, Magic R3010 oraz Magic BE18000 do wersji V100R014. Problem dotyczy nieznanej funkcjonalności pliku /api/wizard/getWifiNeighbour w komponencie obsługi żądań HTTP POST, co prowadzi do wstrzykiwania poleceń.
Wykryto podatność w urządzeniach H3C Magic NX15, Magic NX30 Pro, Magic NX400, Magic R3010 oraz Magic BE18000 do wersji V100R014. Podatność ta dotyczy nieznanej funkcjonalności pliku /api/wizard/getDualbandSync w komponencie obsługi żądań HTTP POST, co prowadzi do wstrzykiwania poleceń.
Wykryto podatność w urządzeniach H3C Magic NX15, Magic NX30 Pro, Magic NX400, Magic R3010 oraz Magic BE18000 do wersji V100R014. Klasyfikowana jest jako krytyczna, a dotyczy nieznanej funkcji pliku /api/wizard/getssidname w komponencie obsługi żądań HTTP POST, co prowadzi do wstrzykiwania poleceń.
Wykryto podatność w urządzeniach H3C Magic NX15, Magic NX30 Pro, Magic NX400, Magic R3010 oraz Magic BE18000 do wersji V100R014, klasyfikowaną jako krytyczną. Problem dotyczy nieznanego przetwarzania pliku /api/wizard/networkSetup w komponencie obsługi żądań HTTP POST, co prowadzi do wstrzykiwania poleceń.
Wykryto krytyczną podatność w urządzeniach H3C Magic NX30 Pro i Magic NX400 do wersji V100R014. Podatność ta dotyczy nieznanego kodu w pliku /api/wizard/getNetworkConf, co prowadzi do możliwości wstrzyknięcia poleceń.
Wykryto krytyczną podatność w urządzeniu H3C Magic NX30 Pro do wersji V100R007, która dotyczy nieznanej części pliku /api/wizard/getNetworkStatus w komponencie obsługi żądań HTTP POST. Manipulacja prowadzi do wstrzyknięcia poleceń.
Zidentyfikowano krytyczną podatność w urządzeniach H3C Magic NX15, Magic NX30 Pro, Magic NX400, Magic R3010 oraz Magic BE18000 do wersji V100R014. Problem dotyczy nieznanej funkcjonalności pliku /api/esps w komponencie obsługi żądań HTTP POST, co prowadzi do wstrzykiwania poleceń.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS