CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.10.02)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
W podatności CVE-2024-51632 występuje atak typu Cross-Site Request Forgery (CSRF) w wtyczce Sam Hoe SH Slideshow, który umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji SH Slideshow od n/a do 4.3 włącznie.
Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Sticky Social Bar, która pozwala na przeprowadzenie ataków CSRF. Problem dotyczy wersji wtyczki od n/a do 2.0 włącznie.
W podatności CVE-2024-50534 występuje problem Cross-Site Request Forgery (CSRF) w aplikacji World Prayer Time, który umożliwia przeprowadzenie ataku Stored XSS. Dotyczy to wersji aplikacji od n/a do 2.0 włącznie.
Podatność typu Cross-Site Request Forgery (CSRF) w Domain Sharding autorstwa Davida Garcii umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Domain Sharding od n/a do 1.2.1 włącznie.
W podatności CVE-2024-50532 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Events Manager Pro – extended w wersjach od n/a do 0.1.
W podatności CVE-2024-50522 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji WeChat Subscribers Lite w wersjach od n/a do 1.6.6.
Podatność CVE-2024-50519 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Jigoshop – Store Exporter w wersjach od n/a do 1.5.8. Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
Podatność w pakiecie Incoming Goods Suite umożliwia użytkownikowi z nieuprzywilejowanym dostępem do systemu (np. lokalnie lub przez SSH) eskalację uprawnień do poziomu administracyjnego z powodu użycia obrazów kontenerów Docker działających z uprawnieniami roota. Wykorzystanie tej błędnej konfiguracji pozwala atakującemu na uzyskanie administracyjnej kontroli nad całym systemem.
W procedurze odczytu plików X_B i SAT w eDrawings, dostępnej w wersjach SOLIDWORKS 2024 i 2025, występują podatności związane z przepełnieniem bufora w pamięci oraz niezainicjowaną zmienną. Te podatności mogą umożliwić atakującemu wykonanie dowolnego kodu podczas otwierania specjalnie przygotowanego pliku X_B lub SAT.
Wtyczka Classified Listing – Classified ads & Business Directory dla WordPressa jest podatna na nieautoryzowaną modyfikację danych, co może prowadzić do eskalacji uprawnień. Problem wynika z błędnej konfiguracji funkcji 'rtcl_import_settings' we wszystkich wersjach do 3.1.15.1 włącznie.
Podatność związana z niewłaściwą walidacją określonego typu wejścia w produktach Mitsubishi Electric Corporation MELSEC iQ-F Series FX5-ENET w wersjach 1.100 do 1.200 oraz FX5-ENET/IP w wersjach 1.100 do 1.104 pozwala zdalnemu atakującemu na spowodowanie stanu Denial of Service w komunikacji Ethernet poprzez wysyłanie specjalnie przygotowanych pakietów SLMP.
Wersje pakietu @eslint/plugin-kit przed 0.2.3 są podatne na atak typu Regular Expression Denial of Service (ReDoS) z powodu niewłaściwej sanitizacji danych wejściowych. Atakujący może zwiększyć zużycie CPU i spowodować awarię programu, wykorzystując tę podatność.
In the Linux kernel's btrfs filesystem, when updating a delayed ref, the ref list is not reinitialized after deletion, which can lead to invalid memory access and system crash.
Harden-Runner od StepSecurity, używany do filtrowania ruchu sieciowego i zabezpieczeń w czasie rzeczywistym dla runnerów hostowanych na GitHubie oraz samodzielnych, zawiera wiele słabości związanych z wstrzykiwaniem poleceń w wersjach przed v2.10.2. Wersja 2.10.2 zawiera poprawkę eliminującą te podatności.
W podatności CVE-2024-52418 występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Gameplan od n/a do 1.5.10 włącznie.
Podatność typu Cross-site Scripting (XSS) w wtyczce BoldThemes ReConstruction pozwala na odzwierciedlone ataki XSS. Problem dotyczy wersji ReConstruction od n/a do 1.4.7 włącznie.
Vulnerability in the Oracle Agile PLM Framework product of Oracle Supply Chain (component: Software Development Kit, Process Extension). The supported version that is affected is 9.3.6. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Agile PLM Framework. Successful attacks of this vulnerability can result in unauthorized access to critical data or complete access to all Oracle Agile PLM Framework accessible data.
Repozytorium WesHacks na GitHubie udostępnia oficjalny kod źródłowy strony konkursowej Hackathonu Muweilah Wesgreen. Strona `schedule.html` przed 17 listopada 2024 roku zawierała linki do `Leostop`, strony hostującej złośliwy plik JavaScript, który był uruchamiany podczas działania bootstrap oraz jQuery.
W podatności o nazwie Insecure Permissions w Micro-star International MSI Center Pro 2.1.37.0, lokalny atakujący może wykonać dowolny kod poprzez plik Device_DeviceID.dat.bak znajdujący się w folderze C:\ProgramData\MSI\One Dragon Center\Data.
W usłudze wssrvc.exe programu QuickHeal Antivirus Pro w wersji v24.0 oraz Quick Heal Total Security w wersji v24.0 występuje problem, który pozwala uwierzytelnionym atakującym na eskalację uprawnień.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS