CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.10.02)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
An issue in xui-xray v1.8.3 allows attackers to obtain sensitive information via a default password.
Wtyczka Dropbox Folder Share dla WordPressa jest podatna na atak typu Server-Side Request Forgery w wersjach do 1.9.7 włącznie, poprzez parametr 'link'. Atakujący bez uwierzytelnienia mogą wysyłać żądania webowe do dowolnych lokalizacji, co może prowadzić do zapytań i modyfikacji informacji z wewnętrznych usług.
OP-TEE to środowisko zaufane (TEE) zaprojektowane jako towarzyszące dla niesecure'nego jądra Linux działającego na rdzeniach Arm Cortex-A. W wersjach od 3.20 do 3.22 funkcja `shdr_verify_signature` może prowadzić do podwójnego zwolnienia pamięci, co może skutkować nieprzewidywalnym zachowaniem systemu.
CVE-2023-4665 describes an incorrect execution-assigned permissions vulnerability in Saphira Connect that allows privilege escalation.
CVE-2023-4664 describes an Incorrect Default Permissions vulnerability in Saphira Saphira Connect that allows Privilege Escalation. This issue affects Saphira Connect versions before 9.
Adobe ColdFusion versions 2018u18 (and earlier), 2021u8 (and earlier) and 2023u2 (and earlier) are affected by an Improper Access Control vulnerability that could result in a Security feature bypass. An attacker could leverage this vulnerability to access the administration CFM and CFC endpoints. Exploitation of this issue does not require user interaction.
Acrobat Reader versions 23.003.20284 (and earlier), 20.005.30516 (and earlier) and 20.005.30514 (and earlier) are affected by an out-of-bounds write vulnerability that could result in arbitrary code execution in the context of the current user. Exploitation of this issue requires user interaction in that a victim must open a malicious file.
Wtyczka Logowanie za pomocą numeru telefonu dla WordPressa jest podatna na atak typu Cross-Site Request Forgery w wersjach do 1.5.6 włącznie. Brak walidacji nonce w funkcji 'lwp_update_password_action' umożliwia nieautoryzowanym atakującym zmianę hasła użytkownika poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora strony do wykonania określonej akcji, na przykład kliknięcia w link.
Wtyczka Simplr Registration Form Plus+ dla WordPressa jest podatna na niebezpieczne bezpośrednie odniesienia do obiektów w wersjach do 2.4.5 włącznie. Problem wynika z tego, że wtyczka umożliwia użytkownikom kontrolowany dostęp do obiektów, co pozwala na ominięcie autoryzacji i dostęp do zasobów systemowych.
Wtyczka BAN Users dla WordPressa jest podatna na eskalację uprawnień w wersjach do 1.5.3 włącznie, z powodu braku sprawdzenia uprawnień w funkcji 'w3dev_save_ban_user_settings_callback'. Umożliwia to uwierzytelnionym atakującym, posiadającym minimalne uprawnienia, takie jak subskrybent, modyfikację ustawień wtyczki w celu uzyskania dostępu do funkcji blokowania i odblokowywania użytkowników oraz ustawienia roli odblokowanego użytkownika.
Podatność CVE-2023-38156 dotyczy usługi Azure HDInsight, w której występuje luka w zabezpieczeniach związana z wstrzykiwaniem JDBC w Apache Ambari. Może to prowadzić do podniesienia uprawnień przez atakującego.
Microsoft Streaming Service Proxy Elevation of Privilege Vulnerability. Technical details are not provided in the description.
Heap buffer overflow in libwebp in Google Chrome prior to 116.0.5845.187 and libwebp 1.3.2 allowed a remote attacker to perform an out of bounds memory write via a crafted HTML page. (Chromium security severity: Critical)
The issue was addressed with improved handling of caches. This issue is fixed in tvOS 16.3, iOS 16.3 and iPadOS 16.3, macOS Monterey 12.6.8, macOS Big Sur 11.7.9, iOS 15.7.8 and iPadOS 15.7.8, macOS Ventura 13.2, watchOS 9.3. Processing a font file may lead to arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited against versions of iOS released before iOS 15.7.1.
In onCreate of WindowState.java, there is a logic error that allows launching a background activity. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.
On ASUS RT-AX55 3.0.0.4.386.51598 devices, authenticated attackers can perform OS command injection via the /start_apply.htm qos_bw_rulelist parameter. Similar issues affect token generation, refresh, check, and code authentication modules (CVE-2023-41345 through CVE-2023-41348).
W Trusted Firmware-M do wersji TF-Mv1.8.0, w przypadku platform integrujących akcelerator CryptoCell, występuje problem z algorytmem Chacha20-Poly1305. Funkcja weryfikacji jednoczęściowej nie porównuje pełnych 16 bajtów, a jedynie pierwsze 4 bajty, co może prowadzić do błędnej identyfikacji nieautoryzowanych danych jako autoryzowane.
A buffer overflow issue was addressed with improved memory handling. This issue is fixed in iOS 16.6.1 and iPadOS 16.6.1, macOS Monterey 12.6.9, macOS Ventura 13.5.2, iOS 15.7.9 and iPadOS 15.7.9, macOS Big Sur 11.7.10. Processing a maliciously crafted image may lead to arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited.
A validation issue was addressed with improved logic. This issue is fixed in watchOS 9.6.2, iOS 16.6.1 and iPadOS 16.6.1. A maliciously crafted attachment may result in arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited.
A use-after-free vulnerability exists in the af_unix component of the Linux kernel, exploitable for local privilege escalation. The unix_stream_sendpage() function adds data to the receive queue without locking, leading to a race with the garbage collector and use of a freed skb.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS