CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.29)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
W podatności CVE-2025-28860 występuje atak typu Cross-Site Request Forgery (CSRF) w generatorze kanałów Google News Editors Picks. Problem ten umożliwia przeprowadzenie ataku typu Stored XSS i dotyczy wersji od n/a do 2.1 włącznie.
Podatność typu Cross-Site Request Forgery (CSRF) w integracji Rankchecker.io umożliwia przechowywanie ataków XSS. Problem ten dotyczy wersji integracji Rankchecker.io od n/a do 1.0.9 włącznie.
Biblioteka SAML2 w SimpleSAMLphp, przed wersjami 4.17.0 i 5.0.0-alpha.20, jest podatna na atak związany z myleniem podpisów w powiązaniu HTTP-Redirect. Atakujący posiadający dowolną podpisaną odpowiedź SAML mogą spowodować, że aplikacja zaakceptuje niespodpisaną wiadomość.
Improper neutralization in Microsoft Management Console allows an unauthorized attacker to bypass a security feature locally.
Heap-based buffer overflow in Windows NTFS allows an unauthorized attacker to execute code locally.
Integer overflow or wraparound in Windows Fast FAT Driver allows an unauthorized attacker to execute code locally.
Use after free in Windows Win32 Kernel Subsystem allows an authorized attacker to elevate privileges locally.
Podatność eskalacji uprawnień w plikach CxUIUSvc64.exe i CxUIUSvc32.exe sterowników audio Synaptics pozwala lokalnemu autoryzowanemu atakującemu na załadowanie biblioteki DLL w procesie z podwyższonymi uprawnieniami.
W FreeType w wersjach 2.13.0 i poniżej występuje podatność związana z zapisem poza przydzielonym obszarem pamięci podczas próby analizy struktur subglyph związanych z plikami TrueType GX i czcionkami zmiennymi. W wyniku błędnego przypisania wartości do bufora, możliwe jest zapisanie do 6 wartości typu long poza przydzielonym obszarem.
A vulnerability in SIMATIC IPC devices allows an authenticated attacker to bypass EFI variable protection and disable the BIOS password without authorization by directly communicating with the flash controller.
A vulnerability in SIMATIC IPC devices allows an authenticated attacker to modify EFI variables without authorization by directly communicating with the flash controller. The issue stems from insufficient protection of EFI variables, potentially enabling changes to Secure Boot configuration.
Wtyczka WPCS – WordPress Currency Switcher Professional dla WordPressa jest podatna na wykonanie dowolnego shortcode'a we wszystkich wersjach do i włącznie z 1.2.0.4. Problem wynika z braku odpowiedniej walidacji wartości przed wykonaniem do_shortcode.
Z powodu niewystarczającej walidacji danych wejściowych, SAP Commerce (Swagger UI) umożliwia nieautoryzowanemu atakującemu wstrzyknięcie złośliwego kodu z zdalnych źródeł, co może być wykorzystane do przeprowadzenia ataku typu cross-site scripting (XSS). Może to prowadzić do poważnego wpływu na poufność, integralność i dostępność danych w SAP Commerce.
Brak weryfikacji uprawnień w SAP NetWeaver (ABAP Class Builder) umożliwia atakującemu uzyskanie wyższych poziomów dostępu, niż powinien mieć. Skutkiem udanego wykorzystania tej podatności może być ujawnienie bardzo wrażliwych informacji.
Vela to framework automatyzacji pipeline'ów (CI/CD) oparty na technologii kontenerów Linux, napisany w Golang. W wersjach przed 0.25.3 i 0.26.3, atakujący mógł przejąć własność repozytorium oraz jego sekrety na poziomie repozytorium poprzez sfałszowanie ładunku webhooka z określonymi nagłówkami i danymi w ciele.
umatiGateway to oprogramowanie do łączenia serwerów OPC Unified Architecture z brokerem MQTT przy użyciu wiadomości JSON. Interfejs użytkownika może być potencjalnie dostępny publicznie, co umożliwia przeglądanie i modyfikowanie konfiguracji.
Podatność dotyczy nieprawidłowego wyświetlania wiadomości e-mail MIME, które twierdziły, że zawierają zaszyfrowaną wiadomość OpenPGP, podczas gdy w rzeczywistości zawierały podpisaną wiadomość OpenPGP. Problem ten został naprawiony w Thunderbird 136 oraz Thunderbird 128.8.
W podatności CVE-2025-26933 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne dołączenie pliku. Problem dotyczy wtyczki WC Place Order Without Payment w wersjach od n/a do 2.6.7.
Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce WPBookit od Iqonic Design umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji WPBookit od n/a do 1.0.1 włącznie.
W aplikacji GE Vernova Enervista UR Setup występuje luka związana z brakiem uwierzytelnienia dla krytycznej funkcji, co umożliwia obejście uwierzytelnienia z powodu braku autoryzacji serwera SSH. Brak uwierzytelnienia połączenia klienta stwarza możliwość przeprowadzenia ataku typu man-in-the-middle w sieci.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS