CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.10.02)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
A heap-based buffer overflow was found in the __vsyslog_internal function of the glibc library. This issue occurs when the openlog function was not called, or called with the ident argument set to NULL, and the program name exceeds 1024 bytes, resulting in an application crash or local privilege escalation.
A use-after-free vulnerability in the Linux kernel's netfilter: nf_tables component can be exploited to achieve local privilege escalation. The nft_verdict_init() function allows positive values as drop error within the hook verdict, leading to a double free in nf_hook_slow().
W podatności CVE-2024-23507 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w InstaWP Connect. Problem dotyczy wersji od n/a do 0.1.0.9 włącznie.
W podatności CVE-2024-22305 występuje obejście autoryzacji poprzez klucz kontrolowany przez użytkownika w budowniczym formularzy kontaktowych Kali Forms dla WordPress. Problem ten dotyczy wersji od n/a do 2.3.36.
W podatności CVE-2024-22290 występuje problem Cross-Site Request Forgery (CSRF) w niestandardowych widgetach dashboardu AboZain, O7abeeb oraz UnitOne, co umożliwia atak Cross-Site Scripting (XSS). Dotyczy to widgetów od wersji n/a do 1.3.1.
Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Better Anchor Links autorstwa Ludka Melichara umożliwia atak typu Cross-Site Scripting (XSS). Problem dotyczy wersji wtyczki od n/a do 1.7.5.
Podatność typu przepełnienie całkowitej liczby w Mbed TLS w wersjach 2.x przed 2.28.7 oraz 3.x przed 3.5.2 umożliwia atakującym spowodowanie odmowy usługi (DoS) poprzez funkcję mbedtls_x509_set_extension().
Wtyczka Contact Form Entries dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu niewystarczającej walidacji plików w funkcji 'view_page' w wersjach do 1.3.2 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami administratora lub wyższymi przesyłanie dowolnych plików na serwerze dotkniętej witryny.
A vulnerability in the network package before version 0.7.0 allows arbitrary command injection. The mac_address_for function fails to sanitize input, enabling an attacker to inject commands via child_process exec.
Wtyczka Woostify Sites Library dla WordPressa w wersjach przed 1.4.8 nie posiada autoryzacji w akcji AJAX, co pozwala na to, aby każdy uwierzytelniony użytkownik, taki jak subskrybent, mógł aktualizować dowolne opcje bloga i ustawiać je na 'aktywowane'. Może to prowadzić do ataku typu DoS przy użyciu określonej nazwy opcji.
A buffer overflow was found in Shim in the 32-bit system. The overflow happens due to an addition operation involving a user-controlled value parsed from the PE binary being used by Shim. This value is further used for memory allocation operations, leading to a heap-based buffer overflow. This flaw causes memory corruption and can lead to a crash or data integrity issues during the boot phase.
Podatność polegająca na wstawieniu wrażliwych informacji do wysyłanych danych występuje w InstaWP Connect w wersjach od n/a do 0.1.0.9. Może to prowadzić do nieautoryzowanego ujawnienia danych użytkowników.
W podatności CVE-2024-22283 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie Delhivery Logistics Courier. Problem ten dotyczy wersji od n/a do 1.0.107.
Wtyczka WP Overnight PDF Invoices & Packing Slips dla WooCommerce zawiera podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem dotyczy wersji od n/a do 3.7.5.
A flaw was found in the redirect_uri validation logic in Keycloak. This issue may allow a bypass of otherwise explicitly allowed hosts. A successful attack may lead to an access token being stolen, making it possible for the attacker to impersonate other users.
The Path Traversal vulnerability in VGuard by Biges Safe Life Technologies Electronics Inc. allows for Absolute Path Traversal. This issue affects VGuard versions before 500.0003.R008.4011.C0012.B351.C.
An issue discovered in provectus kafka-ui 0.4.0 through 0.7.2 allows remote attackers to execute arbitrary code via the q parameter of /api/clusters/local/topics/{topic}/messages. No fixed release is available; the project has had no commit since 2024-04-08.
A segment fault (SEGV) flaw was found in libtiff that could be triggered by passing a crafted tiff file to the TIFFReadRGBATileExt() API. This flaw allows a remote attacker to cause a heap-buffer overflow, leading to a denial of service.
An out-of-memory flaw was found in libtiff that could be triggered by passing a crafted tiff file to the TIFFRasterScanlineSize64() API. This flaw allows a remote attacker to cause a denial of service via a crafted input with a size smaller than 379 KB.
A remote code execution vulnerability was found in Shim. The Shim boot support trusts attacker-controlled values when parsing an HTTP response. This flaw allows an attacker to craft a specific malicious HTTP request, leading to a completely controlled out-of-bounds write primitive and complete system compromise.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS