CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.10.02)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
W M-Files Web Companion przed wersją 23.10 oraz przed wersjami LTS Service Release przed 23.8 LTS SR1 występuje niewystarczające blokowanie, co umożliwia zdalne wykonanie kodu poprzez określone typy plików.
W M-Files Web Companion przed wersją 23.10 oraz przed wersjami LTS Service Release 23.8 LTS SR1 występuje luka, która umożliwia zdalne wykonanie kodu poprzez wykonanie pobranego zawartości.
Wtyczka Slimstat Analytics dla WordPressa jest podatna na atak typu SQL Injection poprzez shortcode w wersjach do 5.0.9 włącznie, z powodu niewystarczającego zabezpieczenia parametrów dostarczanych przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie co najmniej 'contributor' dodawanie dodatkowych zapytań SQL do już istniejących zapytań.
Wtyczka Essential Blocks dla WordPressa jest podatna na wstrzykiwanie obiektów PHP w wersjach do 4.2.0 włącznie, poprzez deserializację nieufnych danych wejściowych w funkcji get_products. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie obiektu PHP.
W M-Files Classic Web przed wersją 23.10 oraz przed wersjami LTS Service Release 23.2 LTS SR4 i 23.8 LTS SR1 występuje podatność na XSS typu stored. Umożliwia ona atakującemu wykonanie skryptu w przeglądarce użytkownika za pomocą przechowywanego dokumentu HTML.
Wtyczka WP Cerber Security dla WordPressa jest podatna na przechowywane ataki typu cross-site scripting (XSS) poprzez parametr log podczas logowania do serwisu w wersjach do 9.1 włącznie. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane za każdym razem, gdy użytkownik uzyska dostęp do zainfekowanej strony.
Wtyczka CleanTalk do WordPressa, odpowiedzialna za skanowanie bezpieczeństwa i złośliwego oprogramowania, jest podatna na nieautoryzowaną interakcję użytkownika w wersjach do 2.50 włącznie. Brak odpowiednich kontroli uprawnień w kilku akcjach AJAX oraz ujawnienie nonce w źródle strony panelu administracyjnego umożliwia atakującym z uprawnieniami subskrybenta i wyżej wywoływanie funkcji oraz usuwanie i/lub przesyłanie plików.
Wtyczka iPanorama 360 – WordPress Virtual Tour Builder jest podatna na atak typu SQL Injection w wersjach do 1.8.0 włącznie, z powodu niewystarczającego zabezpieczenia parametrów dostarczanych przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie co najmniej 'contributor' dodawanie dodatkowych zapytań SQL do już istniejących.
Proself Enterprise/Standard Edition Ver5.62 and earlier, Proself Gateway Edition Ver1.65 and earlier, and Proself Mail Sanitize Edition Ver1.08 and earlier allow a remote unauthenticated attacker to conduct XML External Entity (XXE) attacks. By processing a specially crafted request containing malformed XML data, arbitrary files on the server containing account information may be read by the attacker.
Wtyczka MpOperationLogs dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez nagłówki IP w wersjach do 1.0.1 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.
The Linux kernel before version 6.5.4 has a use-after-free vulnerability in fs/ext4/extents_status.c, related to the ext4_es_insert_extent function.
W repozytorium GitHub vim/vim przed wersją 9.0.2010 występuje podatność typu Use After Free. Może to prowadzić do nieprzewidzianego zachowania aplikacji oraz potencjalnego wycieku danych.
A vulnerability in Microsoft Office allows for privilege escalation through graphic manipulation. An attacker can exploit this flaw to gain elevated privileges on the system.
Podatność CVE-2023-36419 dotyczy usługi Azure HDInsight, w szczególności harmonogramu zadań Apache Oozie, który jest narażony na atak XXE (XML External Entity). Atakujący może wykorzystać tę lukę do podniesienia uprawnień w systemie.
A buffer overflow in Macrium Reflect 8.1.7544 and below allows attackers to escalate privileges or execute arbitrary code.
The HTTP/2 protocol allows a denial of service (server resource consumption) due to the ability to quickly reset many streams through request cancellation. This attack has been exploited in the wild from August to October 2023.
Mbed TLS w wersjach 2.x przed 2.28.5 oraz 3.x przed 3.5.0 zawiera podatność typu Buffer Overflow. Może to prowadzić do nieautoryzowanego dostępu do pamięci i potencjalnego wykonania złośliwego kodu.
Podatność CVE-2023-44209 dotyczy lokalnego podwyższania uprawnień z powodu niewłaściwego zarządzania miękkimi linkami. Affected są produkty Acronis Cyber Protect Cloud Agent (Linux, macOS, Windows) przed wersją 29051 oraz Acronis Cyber Protect 17 (Linux, macOS, Windows) przed wersją 41186.
The issue was addressed with improved checks. This issue is fixed in iOS 16.7.1 and iPadOS 16.7.1. A local attacker may be able to elevate their privileges. Apple is aware of a report that this issue may have been actively exploited against versions of iOS before iOS 16.6.
An information disclosure vulnerability in Milesight UR5X, UR32L, UR32, UR35, and UR41 routers before version 35.3.0.7 allows attackers to access sensitive router components. This flaw can be exploited to leak confidential information.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS