CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.30)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Komponent 'NagVis' w Checkmk jest podatny na zdalne wykonanie kodu. Uwierzytelniony atakujący z uprawnieniami administratora może przesłać złośliwy plik PHP i zmodyfikować określone ustawienia, aby wykonać zawartość pliku jako PHP.
Podatność związana z nieprawidłowym przypisaniem uprawnień w Bowo Admin i Site Enhancements (ASE) umożliwia eskalację uprawnień. Problem ten dotyczy wersji ASE od n/a do 7.6.2.1 włącznie.
Podatność CVE-2025-24602 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w WP24 Domain Check, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji WP24 Domain Check od n/a do 1.10.14.
Podatność CVE-2025-24599 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu Tribulant Software Newsletters, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji Newsletters od n/a do 4.9.9.6 włącznie.
Podatność CVE-2025-24598 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WP Mailster, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji WP Mailster od n/a do 1.8.17.0 włącznie.
Podatność CVE-2025-23645 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wtyczce Find Content IDs w wersjach od n/a do 1.0 włącznie.
Podatność CVE-2025-22794 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji World Cup Predictor, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten występuje w wersjach od n/a do 1.9.8 włącznie.
Podatność CVE-2025-22700 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w kodzie Traveler Code. Problem ten dotyczy wersji Traveler Code od n/a do poniżej 3.1.3.
Urządzenia Netgear FVS336Gv2 i FVS336Gv3, które osiągnęły koniec wsparcia, są podatne na lukę typu injection w interfejsie Telnet. Uwierzytelniony zdalny atakujący może wykonać dowolne polecenia systemowe jako root, wysyłając spreparowane polecenia 'util backup_configuration'.
Podatność CVE-2025-1014 dotyczy niewłaściwego sprawdzania długości certyfikatu podczas dodawania go do magazynu certyfikatów. W praktyce przetwarzane były jedynie zaufane dane.
Wystąpił wyścig podczas równoczesnej delazifikacji, co mogło prowadzić do wykorzystania po zwolnieniu pamięci (use-after-free). Podatność ta została naprawiona w wersjach Firefox 135, Firefox ESR 115.20, Firefox ESR 128.7, Thunderbird 128.7 oraz Thunderbird 135.
Błąd w generowaniu kodu WebAssembly mógł prowadzić do awarii. Atakujący mógł wykorzystać tę podatność do uzyskania wykonania kodu.
Podatność CVE-2025-1010 dotyczy błędu use-after-free w API Custom Highlight, który może prowadzić do awarii aplikacji. Została naprawiona w wersjach Firefox 135, Firefox ESR 115.20, Firefox ESR 128.7, Thunderbird 128.7 oraz Thunderbird 135.
A post-authentication command injection vulnerability in the management commands of the legacy DSL CPE Zyxel VMG4325-B10A firmware version 1.00(AAFR.4)C0_20170615 could allow an authenticated attacker to execute operating system (OS) commands on an affected device via Telnet.
A post-authentication command injection vulnerability in the CGI program of the legacy DSL CPE Zyxel VMG4325-B10A firmware version 1.00(AAFR.4)C0_20170615 could allow an authenticated attacker to execute operating system (OS) commands on an affected device by sending a crafted HTTP POST request.
Multiple path traversal vulnerabilities have been discovered in the Admiror Gallery extension for Joomla in version branch 4.x, caused by improper handling of input variables. These allow an attacker to access files outside the intended directory.
W firmware płyty głównej Supermicro MBD-X12DPG-OA6 występuje problem z weryfikacją obrazu, który pozwala atakującemu z uprawnieniami administratora na przesłanie specjalnie przygotowanego obrazu. Może to prowadzić do przepełnienia stosu z powodu niekontrolowanej wartości fat->fsd.max_fld.
W urządzeniu Supermicro MBD-X12DPG-OA6 występuje problem z weryfikacją obrazu firmware'u. Atakujący może przesłać specjalnie przygotowany obraz, który spowoduje przepełnienie stosu z powodu braku sprawdzenia pola fld->used_bytes.
Występuje podatność w projekcie uwierzytelniania obrazu firmware BMC w płycie głównej Supermicro MBD-X12DPG-OA6. Atakujący może zmodyfikować firmware, aby obejść inspekcję BMC oraz proces weryfikacji podpisu.
Jellystat to darmowa i otwarta aplikacja statystyczna dla Jellyfin. W dotkniętych wersjach Jellystat bezpośrednio wykorzystuje dane wejściowe użytkownika w trasach, co może prowadzić do podatności na przejście ścieżki. Funkcjonalność ta jest dostępna tylko dla administratorów, co ogranicza możliwości nadużyć.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS