CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.10.02)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
W Keycloak znaleziono lukę, która pozwala użytkownikom o niskich uprawnieniach uzyskać dostęp do funkcji administracyjnych w niektórych punktach końcowych REST API. Ta wada umożliwia użytkownikom wykonywanie działań zarezerwowanych dla administratorów, co może prowadzić do naruszenia danych lub kompromitacji systemu.
An OS command injection vulnerability in Palo Alto Networks Expedition allows an unauthenticated attacker to run arbitrary OS commands as root in Expedition, resulting in disclosure of usernames, cleartext passwords, device configurations, and device API keys of PAN-OS firewalls.
A loop hole in the payment logic of Sparkshop v1.16 allows attackers to arbitrarily modify the number of products.
Wersje libcoap do 4.3.5-rc2 zawierają błąd dereferencji wskaźnika NULL, który może być wykorzystany przez zdalnego atakującego do wywołania odmowy usługi poprzez funkcję coap_handle_request_put_block w pliku src/coap_block.c.
A vulnerability in Buildah where cache mounts do not properly validate user-specified paths, allowing a `RUN` instruction in a Container file to mount an arbitrary host directory (read/write) into the container if accessible by the Buildah user.
A vulnerability has been identified in the Linux kernel related to the incorrect definition of the value for AMDGPU_DMUB_NOTIFICATION_MAX, potentially leading to out-of-bounds access in the array.
W podatności CVE-2024-47334 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w Zoho Flow. Problem ten dotyczy wersji Zoho Flow od n/a do 2.7.1 włącznie.
Podatność w narzędziu check_by_ssh pakietu Nagios nagios-plugins w wersji 2.4.5 umożliwia zdalne wykonanie dowolnego polecenia poprzez parametry ProxyCommand, LocalCommand i PermitLocalCommand z użyciem \${IFS}. Problem został sklasyfikowany zarówno jako naprawiony w commit e8810de, jak i jako zamierzone działanie.
Wersje oath-toolkit od 2.6.7 do 2.6.11 przed 2.6.12 zawierają podatność w pam_oath.so, która umożliwia eskalację uprawnień roota. Problem wynika z niewłaściwego zarządzania dostępem do pliku usersfile w kontekście kodu PAM działającego jako root.
A vulnerability in Nitro PDF Pro before version 13.70.8.82 and versions 14.x before 14.26.1.0 allows local privilege escalation in the MSI installer. This occurs because custom actions are performed unsafely in repair mode, and CertUtil is run in a conhost.exe window, allowing the use of CTRL+o to launch cmd.exe as NT AUTHORITY\SYSTEM.
Niebezpieczne uprawnienia w komponencie Bluetooth Low Energy (BLE) zegarka Fire-Boltt Artillery Smart Watch NJ-R6E-10.3 umożliwiają atakującym wywołanie odmowy usługi (DoS).
The Visual C++ Redistributable Installer contains an elevation of privilege vulnerability. An attacker could exploit this vulnerability to gain higher privileges on the system.
Remote code execution vulnerability in Microsoft Management Console (MMC). An unauthenticated attacker could potentially execute arbitrary code in the context of the user running the MMC console.
An issue in the getcolor function in utils.py of xhtml2pdf v0.2.13 allows attackers to cause a Regular expression Denial of Service (ReDoS) via supplying a crafted string.
OS command injection vulnerability in the admin web console of Ivanti CSA before version 5.0.2. A remote authenticated attacker with admin privileges can obtain remote code execution.
W routerze Motorola CX2L w wersji 1.0.2 i niższej występuje podatność na wstrzykiwanie poleceń. Podatność ta znajduje się w funkcji SetStationSettings, która bez odpowiedniego filtrowania danych wejściowych bezpośrednio wywołuje funkcję systemową do wykonywania poleceń.
Zidentyfikowano podatność w SINEC Security Monitor (wszystkie wersje < V4.9.0). Aplikacja nieprawidłowo neutralizuje specjalne elementy w danych wejściowych użytkownika do polecenia ```ssmctl-client```.
Zidentyfikowano podatność w Simcenter Femap V2306, V2401 i V2406, która dotyczy wszystkich wersji. Aplikacja jest podatna na przepełnienie bufora w stercie podczas analizy specjalnie przygotowanych plików BDF, co może umożliwić atakującemu wykonanie kodu w kontekście bieżącego procesu.
Zidentyfikowano podatność w HiMed Cockpit 12 pro, 14 pro+ oraz 18 pro, która dotyczy wersji od V11.5.1 do przed V11.6.2. Podatność ta pozwala na ucieczkę z ograniczonego środowiska Kiosk Mode, co może umożliwić lokalnemu atakującemu bez uwierzytelnienia dostęp do systemu operacyjnego.
Wszystkie wersje pakietu ggit są podatne na atak typu Command Injection poprzez API fetchTags(branch), które pozwala na wprowadzenie przez użytkownika nazwy gałęzi do pobrania. Wprowadzony ciąg jest następnie łączony z komendą git i przekazywany do niebezpiecznego procesu podrzędnego exec() w Node.js.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS