CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.10.02)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Podatność typu Cross-site Scripting (XSS) w wtyczce BoldThemes ReConstruction pozwala na odzwierciedlone ataki XSS. Problem dotyczy wersji ReConstruction od n/a do 1.4.7 włącznie.
Vulnerability in the Oracle Agile PLM Framework product of Oracle Supply Chain (component: Software Development Kit, Process Extension). The supported version that is affected is 9.3.6. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Agile PLM Framework. Successful attacks of this vulnerability can result in unauthorized access to critical data or complete access to all Oracle Agile PLM Framework accessible data.
Repozytorium WesHacks na GitHubie udostępnia oficjalny kod źródłowy strony konkursowej Hackathonu Muweilah Wesgreen. Strona `schedule.html` przed 17 listopada 2024 roku zawierała linki do `Leostop`, strony hostującej złośliwy plik JavaScript, który był uruchamiany podczas działania bootstrap oraz jQuery.
W podatności o nazwie Insecure Permissions w Micro-star International MSI Center Pro 2.1.37.0, lokalny atakujący może wykonać dowolny kod poprzez plik Device_DeviceID.dat.bak znajdujący się w folderze C:\ProgramData\MSI\One Dragon Center\Data.
W usłudze wssrvc.exe programu QuickHeal Antivirus Pro w wersji v24.0 oraz Quick Heal Total Security w wersji v24.0 występuje problem, który pozwala uwierzytelnionym atakującym na eskalację uprawnień.
A privilege escalation vulnerability in Palo Alto Networks PAN-OS software allows a PAN-OS administrator with access to the management web interface to perform actions on the firewall with root privileges. Cloud NGFW and Prisma Access are not impacted by this vulnerability.
W podatności CVE-2024-52424 występuje atak typu Cross-Site Request Forgery (CSRF) w wtyczce wp-login customizer, który umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji wtyczki od n/a do 1.0 włącznie.
Wiele produktów Cisco jest podatnych na lukę w dekoderze ramek Ethernet w silniku detekcji Snort, która może pozwolić nieautoryzowanemu, sąsiedniemu atakującemu na spowodowanie stanu odmowy usługi (DoS). Luka ta wynika z niewłaściwego przetwarzania warunków błędów podczas obsługi ramek Ethernet.
W podatności CVE-2024-52436 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do ataku typu Blind SQL Injection w wtyczce Post SMTP autorstwa Saada Iqbala. Problem dotyczy wersji Post SMTP od n/a do 2.9.9 włącznie.
W podatności CVE-2024-52435 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Shahjada WPDM – Premium Packages. Problem dotyczy wersji WPDM – Premium Packages od n/a do 6.0.5 włącznie.
W podatności CVE-2024-52428 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wtyczki Ads Booster by Ads Pro w wersjach od n/a do 1.12.
W platformie RSA NetWitness (NW) przed wersją 12.5.1, nawet po odebraniu dostępu konkretnego użytkownika z aktywną sesją przez administratora, wewnętrzny aktor zagrożenia mógł podszyć się pod tego użytkownika i uzyskać nieautoryzowany dostęp do wrażliwych danych.
W systemie AbsysNet w wersji 2.3.1 odkryto podatność typu IDOR (Insecure Direct Object Reference). Umożliwia ona zdalnemu atakującemu uzyskanie sesji nieautoryzowanego użytkownika poprzez atak brute-force na identyfikator sesji w punkcie końcowym '/cgi-bin/ocap/'.
W podatności CVE-2024-3370 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w szablonie strony internetowej Egebilgi Software. Problem dotyczy szablonu strony internetowej przed datą 29.04.2024.
Out-of-range pointer offset vulnerability in Cesanta Mongoose Web Server v7.14. An attacker can send an unexpected TLS packet and cause a segmentation fault.
Integer overflow vulnerability in Cesanta Mongoose Web Server v7.14. An attacker can send an unexpected TLS packet and cause a segmentation fault.
Atakujący z niskimi uprawnieniami zdalnie może modyfikować właściwości usługi BACNet z powodu nieprawidłowego przypisania uprawnień do krytycznych zasobów, co może prowadzić do ataku typu DoS ograniczonego do komunikacji BACNet.
Atakujący z niskimi uprawnieniami zdalnie może określić dowolny plik w systemie plików, co może prowadzić do zapisu dowolnych plików z uprawnieniami roota.
Atakujący z niskimi uprawnieniami zdalnie może nadpisać dowolny plik w systemie plików, co prowadzi do awarii usługi (DoS) oraz utraty danych.
Podatność CVE-2024-41969 pozwala atakującemu z niskimi uprawnieniami zdalnie modyfikować konfigurację usługi CODESYS V3 z powodu braku odpowiedniej autoryzacji. Może to prowadzić do pełnego dostępu do systemu oraz/lub ataku typu DoS.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS