CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.30)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
W przeglądarkach Firefox i Thunderbird występują błędy związane z bezpieczeństwem pamięci w wersjach 135 oraz w wersjach ESR 115.20 i 128.7. Niektóre z tych błędów wykazywały oznaki uszkodzenia pamięci, co może prowadzić do możliwości wykonania dowolnego kodu.
Podatność pozwala na pobieranie lokalnych plików z archiwum ZIP poprzez URL-e jar:. Ignorowanie części po nullu umożliwia ukrycie kodu w rozszerzeniu internetowym, które może być podszyte pod inny typ pliku, na przykład obraz.
Na procesorach 64-bitowych, podczas kompilacji wartości zwracanych i32 w WASM przez JIT, mogą być pobierane bity z pozostałej pamięci. Może to prowadzić do traktowania tych wartości jako inny typ.
W xslt/txNodeSorter występuje niespójny komparator, który może prowadzić do potencjalnie wykorzystywalnego dostępu poza granice. Problem dotyczy wersji 122 i nowszych.
Wystąpiła możliwość wywołania błędu use-after-free w procesie zawartości połączenia WebTransport, co mogło prowadzić do potencjalnie eksploatowalnego awarii. Podatność ta została naprawiona w wersjach Firefox 136, Firefox ESR 115.21, Firefox ESR 128.8, Thunderbird 136 oraz Thunderbird 128.8.
Na systemie Windows, skompromitowany proces zawartości mógł wykorzystać błędne dane StreamData przesyłane przez AudioIPC, co mogło prowadzić do wystąpienia błędu use-after-free w procesie przeglądarki. To mogło skutkować ucieczką z piaskownicy.
VMware ESXi, Workstation, and Fusion contain an information disclosure vulnerability due to an out-of-bounds read in HGFS. A malicious actor with administrative privileges to a virtual machine may be able to exploit this issue to leak memory from the vmx process.
VMware ESXi contains an arbitrary write vulnerability. A malicious actor with privileges within the VMX process may trigger an arbitrary kernel write leading to an escape of the sandbox.
NAKIVO Backup & Replication before 11.0.0.88174 allows absolute path traversal for reading files via getImageByPath to /c/router, which may lead to remote code execution across the enterprise because PhysicalDiscovery has cleartext credentials.
W ArcGIS Server występuje podatność na wstrzykiwanie SQL, która pozwala na modyfikację właściwości kolumn podczas operacji EDYTU przez zdalnego użytkownika z podwyższonymi, nieadministracyjnymi uprawnieniami. Wykorzystanie tej podatności wymaga zaawansowanych uprawnień specyficznych dla aplikacji.
W ArcGIS Server w wersjach 11.3 i niższych na systemach Windows i Linux występuje problem z niewłaściwą kontrolą dostępu, który w specyficznych okolicznościach może umożliwić zdalnemu, nisko uprzywilejowanemu uwierzytelnionemu atakującemu dostęp do zabezpieczonych usług. Sukces w wykorzystaniu tej podatności prowadzi do nieautoryzowanego dostępu do chronionych usług poza pierwotnie przypisanym zakresem autoryzacji atakującego.
FACTION to framework do generowania raportów z testów penetracyjnych i współpracy. Podatność pozwala atakującemu na ominięcie uwierzytelnienia i zarejestrowanie nowego użytkownika z uprawnieniami administratora bez żadnej autoryzacji.
W serwerze Abacus zidentyfikowano krytyczną podatność na wyciek goroutine w implementacji zdarzeń wysyłanych przez serwer (SSE). Problem występuje, gdy klienci rozłączają się z końcówki /stream, co prowadzi do niewłaściwego czyszczenia zasobów i blokowania goroutine.
A flaw in GRUB2's squash4 module improperly checks integer overflows when determining internal buffer sizes from filesystem geometry. A crafted filesystem can cause a smaller buffer allocation, leading to a heap-based out-of-bounds write during data reading. This could allow arbitrary code execution and bypass Secure Boot protections.
A flaw was found in the HFS filesystem driver in GRUB. When mounting an HFS volume, grub_fs_mount() performs a strcpy() on the user-provided volume name without validating its length, leading to a heap-based out-of-bounds write. This issue compromises GRUB's sensitive data integrity and may allow bypassing Secure Boot protection.
W Ansible aap-gateway znaleziono lukę, która może prowadzić do problemów z równoległym przetwarzaniem żądań w usłudze grpc. W wyniku warunków wyścigu mniej uprzywilejowany użytkownik może uzyskać token JWT użytkownika o wyższych uprawnieniach, co stwarza zagrożenie dla serwera.
In the GRUB HFS+ module, an integer overflow vulnerability occurs when calculating buffer sizes based on user-controlled filesystem metadata. This can lead to allocating a smaller buffer than needed and subsequent out-of-bounds write in the hfsplus_open_compressed_real() function.
A heap-based buffer overflow vulnerability in the UDF filesystem module of GRUB allows an attacker to bypass Secure Boot protections. By crafting a malicious filesystem image, arbitrary code execution can be achieved during the boot process.
Podatność CVE-2024-8261 dotyczy oprogramowania Proliz OBS i polega na obejściu autoryzacji poprzez klucz kontrolowany przez użytkownika, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów zabezpieczeń dostępu. Problem dotyczy wersji OBS przed 24.0927.
Podatność CVE-2025-27279 dotyczy niewłaściwego neutralizowania danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji lynk Flashfader. Problem ten dotyczy wersji Flashfader od n/a do 1.1.1 włącznie.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS