CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.10.02)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Podatność CVE-2024-43213 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w MultiVendorX WC Marketplace, co pozwala na ataki typu Reflected XSS. Problem ten dotyczy wersji WC Marketplace od n/a do 4.1.17.
W podatności CVE-2024-43163 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w Parcel Panel, co prowadzi do podatności na ataki typu Reflected XSS. Problem dotyczy wersji ParcelPanel od n/a do 4.3.2.
Aplikacje dotknięte tą podatnością zawierają odczyt poza granicami przydzielonej struktury podczas analizy specjalnie przygotowanych plików PDF. Może to umożliwić atakującemu wykonanie kodu w kontekście bieżącego procesu.
Podatność CVE-2024-43233 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w BannerSky BSK Forms Blacklist, co pozwala na ataki typu Reflected XSS. Problem ten dotyczy wersji BSK Forms Blacklist od n/a do 3.8.
A vulnerability in the Mitel 6800 Series, 6900 Series, and 6900w Series SIP Phones, including the 6970 Conference Unit, through R6.4.0.HF1 (R6.4.0.136) could allow an authenticated attacker with administrative privilege to conduct an argument injection attack, due to insufficient parameter sanitization during the boot process.
W oprogramowaniu Firewalla Box w wersjach przed 1.979 występuje podatność związana z słabymi poświadczeniami. Atakujący znajdujący się w bliskiej odległości może wykorzystać UUID licencji do uwierzytelnienia i uzyskania poświadczeń SSH przez interfejs Bluetooth Low-Energy (BTLE).
Płyty główne Micro-Star International serii Z (Z590, Z490, Z790) oraz serii B (B760, B560, B660, B460) z firmware 7D25v14, 7D25v17 do 7D25v19 oraz 7D25v1A do 7D25v1H zawierają podatność typu write-what-where w obsłudze SW dla SMI 0xE3. Dotyczy to płyt głównych z chipsetami Intel 300, 400, 500, 600, 700 oraz AMD 300, 400, 500, 600 i 700.
ThreatSonar Anti-Ransomware od TeamT5 nieprawidłowo weryfikuje zawartość przesyłanych plików. Zdalni atakujący z uprawnieniami administratora na platformie produktu mogą przesyłać złośliwe pliki, które mogą być wykorzystane do wykonania dowolnych poleceń systemowych na serwerze.
W OpenShift AI odkryto podatność, która umożliwia obejście uwierzytelniania oraz eskalację uprawnień pomiędzy modelami w tym samym namespace. Tokeny ServiceAccount są widoczne w interfejsie użytkownika i mogą być wykorzystane do uzyskania dostępu do innych modeli i API.
W podatności CVE-2024-7399 w serwerze Samsung MagicINFO 9 w wersjach przed 21.1050 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co pozwala atakującym na zapis dowolnych plików z uprawnieniami systemowymi.
W operatorze Remediation dla agentów Fence znaleziono lukę, która umożliwia zdalne wykonanie kodu (RCE) poprzez dostarczenie dowolnej komendy w argumentach --ssh-path/--telnet-path. Użytkownik z niskimi uprawnieniami, na przykład deweloper, może stworzyć specjalnie przygotowanego FenceAgentsRemediation, co pozwala na wykonanie dowolnych komend na podzie operatora.
Litestar to framework ASGI, który w wersjach 2.10.0 i wcześniejszych ma podatność w workflow `docs-preview.yml` na wstrzykiwanie zmiennych środowiskowych. Może to prowadzić do wycieku sekretów oraz manipulacji repozytorium.
W niektórych produktach Sonos przed wersją S1 Release 11.12 i S2 Release 15.9, sterownik bezprzewodowy mt_7615.ko nieprawidłowo weryfikuje elementy informacji podczas negocjacji czterostronnego uścisku WPA2. Brak tej weryfikacji prowadzi do przepełnienia bufora stosu, co może skutkować zdalnym wykonaniem kodu w jądrze.
Nieprawidłowa walidacja w rejestrze specyficznym dla modelu (MSR) może umożliwić złośliwemu programowi z dostępem ring0 modyfikację konfiguracji SMM, gdy blokada SMI jest włączona, co może prowadzić do wykonania dowolnego kodu.
In the Linux kernel's cifs module, during subrequest retry, smb2_async_writev() re-picks the server, causing in_flight counter mismatch and warnings. The fix removes the server re-pick in this function.
Motyw The Next dla WordPressa jest podatny na wstrzykiwanie obiektów PHP we wszystkich wersjach do i włącznie z 1.1.0 poprzez deserializację niezaufanego wejścia z wartości meta postu wpeden_post_meta. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Co-Author i wyżej wstrzyknięcie obiektu PHP.
Motyw News Flash dla WordPressa jest podatny na wstrzykiwanie obiektów PHP we wszystkich wersjach do i włącznie z 1.1.0 poprzez deserializację nieufnych danych wejściowych z wartości meta newsflash_post_meta. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Edytora i wyżej wstrzyknięcie obiektu PHP.
Motyw MultiPurpose dla WordPressa jest podatny na wstrzyknięcie obiektu PHP we wszystkich wersjach do i włącznie z 1.2.0 poprzez deserializację nieufnych danych wejściowych przez 'wpeden_post_meta'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej wstrzyknięcie obiektu PHP.
W pakiecie Pulp znaleziono lukę, która dotyczy kontroli dostępu opartej na rolach (RBAC). Podczas tworzenia obiektu RBAC, uprawnienia są przypisywane na podstawie najstarszego użytkownika z uprawnieniami do obiektu zadania, co prowadzi do nieprawidłowego przypisania uprawnień.
In Firefox, a select option could partially obscure security prompts. A malicious site could use this to trick a user into granting permissions. This issue only affects Android versions of Firefox and affects Firefox < 129.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS