CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.29)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Wtyczka WooCommerce Recover Abandoned Cart dla WordPressa jest podatna na wstrzykiwanie obiektów PHP we wszystkich wersjach do 24.4.0 włącznie, poprzez deserializację niezaufanego wejścia z ciasteczka 'raccookie_guest_email'. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie obiektów PHP.
Wtyczka Awesome Import & Export dla WordPressa jest podatna na wykonanie dowolnych zapytań SQL oraz eskalację uprawnień z powodu braku sprawdzenia uprawnień w funkcji renderImport() w wersjach do 4.1.1 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta i wyżej wykonanie dowolnych zapytań SQL, co może prowadzić do utworzenia nowego konta administratora.
NVIDIA Hopper HGX dla 8-GPU zawiera podatność w kontrolerze zarządzania HGX (HMC), która może umożliwić złośliwemu użytkownikowi z dostępem administracyjnym do BMC dostęp do HMC jako administrator. Udane wykorzystanie tej podatności może prowadzić do wykonania kodu, odmowy usługi, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.
Aplikacja mobilna Mahavitran IOS w wersji 16.1 oraz wcześniejszych wykorzystuje metodę GET do przetwarzania żądań zawierających wrażliwe informacje, takie jak nazwa użytkownika i hasło. To może prowadzić do ujawnienia tych danych poprzez historię przeglądarki, referery, logi serwera i inne źródła.
Na podatnych platformach działających na Arista EOS z skonfigurowanym OpenConfig, żądanie gNOI może być wykonane, gdy powinno zostać odrzucone. Może to prowadzić do sytuacji, w której użytkownicy uzyskują dostęp do danych, które nie powinny być dostępne.
Istnieje podatność na niekontrolowany element ścieżki wyszukiwania, która może umożliwić złośliwemu aktorowi przeprowadzenie ataku DLL hijacking i wykonanie dowolnego kodu z podwyższonymi uprawnieniami.
The Wildfly Elytron integration lacks sufficient measures to prevent multiple failed authentication attempts within a short time frame. This flaw makes the CLI more susceptible to brute force attacks.
W podatności CVE-2024-9149 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w szablonie strony e-commerce Wind Media. Problem dotyczy wersji szablonu przed 1.5.
W przeglądarce Firefox 135 oraz kliencie pocztowym Thunderbird 135 występują błędy związane z bezpieczeństwem pamięci. Niektóre z tych błędów wykazywały oznaki uszkodzenia pamięci, co może umożliwić uruchomienie dowolnego kodu przy odpowiednim wysiłku.
Opcja wyboru mogła częściowo zasłaniać komunikat potwierdzający wyświetlany przed uruchomieniem aplikacji zewnętrznych. Może to być wykorzystane do oszukania użytkownika i nieoczekiwanego uruchomienia aplikacji zewnętrznej. Problem ten dotyczy tylko wersji przeglądarki Firefox na system Android.
W przeglądarkach Firefox i Thunderbird występują błędy związane z bezpieczeństwem pamięci w wersjach 135 oraz w wersjach ESR 115.20 i 128.7. Niektóre z tych błędów wykazywały oznaki uszkodzenia pamięci, co może prowadzić do możliwości wykonania dowolnego kodu.
Podatność pozwala na pobieranie lokalnych plików z archiwum ZIP poprzez URL-e jar:. Ignorowanie części po nullu umożliwia ukrycie kodu w rozszerzeniu internetowym, które może być podszyte pod inny typ pliku, na przykład obraz.
Na procesorach 64-bitowych, podczas kompilacji wartości zwracanych i32 w WASM przez JIT, mogą być pobierane bity z pozostałej pamięci. Może to prowadzić do traktowania tych wartości jako inny typ.
W xslt/txNodeSorter występuje niespójny komparator, który może prowadzić do potencjalnie wykorzystywalnego dostępu poza granice. Problem dotyczy wersji 122 i nowszych.
Wystąpiła możliwość wywołania błędu use-after-free w procesie zawartości połączenia WebTransport, co mogło prowadzić do potencjalnie eksploatowalnego awarii. Podatność ta została naprawiona w wersjach Firefox 136, Firefox ESR 115.21, Firefox ESR 128.8, Thunderbird 136 oraz Thunderbird 128.8.
Na systemie Windows, skompromitowany proces zawartości mógł wykorzystać błędne dane StreamData przesyłane przez AudioIPC, co mogło prowadzić do wystąpienia błędu use-after-free w procesie przeglądarki. To mogło skutkować ucieczką z piaskownicy.
VMware ESXi, Workstation, and Fusion contain an information disclosure vulnerability due to an out-of-bounds read in HGFS. A malicious actor with administrative privileges to a virtual machine may be able to exploit this issue to leak memory from the vmx process.
VMware ESXi contains an arbitrary write vulnerability. A malicious actor with privileges within the VMX process may trigger an arbitrary kernel write leading to an escape of the sandbox.
NAKIVO Backup & Replication before 11.0.0.88174 allows absolute path traversal for reading files via getImageByPath to /c/router, which may lead to remote code execution across the enterprise because PhysicalDiscovery has cleartext credentials.
W ArcGIS Server występuje podatność na wstrzykiwanie SQL, która pozwala na modyfikację właściwości kolumn podczas operacji EDYTU przez zdalnego użytkownika z podwyższonymi, nieadministracyjnymi uprawnieniami. Wykorzystanie tej podatności wymaga zaawansowanych uprawnień specyficznych dla aplikacji.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS