CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.30)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Wtyczka Visualizer: Tables and Charts Manager dla WordPressa jest podatna na deserializację nieufnych danych poprzez parametr 'remote_data' w wersjach do 3.7.9 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami co najmniej 'contributor' wywoływanie plików przy użyciu wrappera PHAR, co może prowadzić do wykonania złośliwych działań.
Wtyczka FreeMind WP Browser dla WordPressa jest podatna na atak Cross-Site Request Forgery w wersjach do 1.2 włącznie. Problem wynika z braku ochrony nonce w funkcji FreemindOptions() znajdującej się w pliku ~/freemind-wp-browser.php.
Wtyczka AnyMind Widget dla WordPressa jest podatna na atak Cross-Site Request Forgery w wersjach do 1.1 włącznie. Brak ochrony nonce w funkcji createDOMStructure() w pliku ~/anymind-widget-id.php umożliwia nieautoryzowanym atakującym wstrzykiwanie złośliwych skryptów na stronę.
Wtyczka Free Live Chat Support dla WordPressa jest podatna na atak Cross-Site Request Forgery w wersjach do 1.0.11 włącznie. Brak ochrony nonce w funkcji livesupporti_settings() w pliku ~/livesupporti.php umożliwia nieautoryzowanym atakującym wstrzykiwanie złośliwych skryptów na stronę.
Wtyczka DX Share Selection dla WordPressa jest podatna na atak Cross-Site Request Forgery w wersjach do 1.4 włącznie. Brak ochrony nonce w funkcji dxss_admin_page() w pliku ~/dx-share-selection.php umożliwia atakującym wstrzykiwanie złośliwych skryptów na stronę.
Wtyczka Button Widget Smartsoft dla WordPressa jest podatna na atak Cross-Site Request Forgery w wersjach do 1.0.1 włącznie. Brak walidacji nonce na stronie smartsoftbutton_settings umożliwia nieautoryzowanym atakującym aktualizację ustawień wtyczki oraz wstrzykiwanie złośliwych skryptów webowych poprzez sfałszowane żądanie.
Wtyczka WP All Import jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w pliku wp_all_import_get_gz.php w wersjach do 3.6.7 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami administratora i wyżej przesyłanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu.
AnyDesk 7.0.9 allows a local user to gain SYSTEM privileges via a symbolic link. The user can write to their own %APPDATA% folder (used for ad.trace and chat), but the product runs as SYSTEM when writing chat-room data there.
The Apache Spark UI offers the possibility to enable ACLs via the configuration option spark.acls.enable. With an authentication filter, this checks whether a user has access permissions to view or modify the application. If ACLs are enabled, a code path in HttpSecurityFilter can allow someone to perform impersonation by providing an arbitrary user name. A malicious user might then be able to reach a permission check function that will ultimately build a Unix shell command based on their input, and execute it. This will result in arbitrary shell command execution as the user Spark is currently running as. This affects Apache Spark versions 3.0.3 and earlier, versions 3.1.1 to 3.1.2, and versions 3.2.0 to 3.2.1.
A DLL hijack vulnerability in ShowMyPC 3606 on Windows allows an attacker to overwrite the file %temp%\ShowMyPC\-ShowMyPC3606\wodVPN.dll, executing arbitrary malicious code contained in that file.
Multiple arbitrary file upload vulnerabilities were discovered in Arox School ERP Pro v1.0. The flaws exist in the Add Photo function in photogalleries.inc.php and the import staff excel function in 1finance_master.inc.php.
A buffer overflow in the httpd daemon on TP-Link TL-WR841N V12 (firmware 3.16.9) allows an authenticated remote attacker to execute arbitrary code via a GET request to the System Tools page of the Wi-Fi network. This also affects versions V11 and V10.
An unrestricted file upload vulnerability in Strapi 4.1.12's Add New Assets function allows XSS attacks via a crafted PDF file. The project documentation notes that users with Media Library upload permissions can upload PDFs containing JavaScript, and all files in the public assets folder are externally accessible.
An elevation of privilege vulnerability in Windows Client Server Run-time Subsystem (CSRSS). Details are not provided in the description.
Z powodu braku weryfikacji uwierzytelnienia, API usługi licencyjnej SAP Business One w wersji 10.0 pozwala nieautoryzowanemu atakującemu na wysyłanie złośliwych żądań HTTP przez sieć. Po pomyślnym wykorzystaniu tej podatności, atakujący może uczynić całą aplikację niedostępną.
W systemie Novastar-VNNOX-iCare Novaicare w wersji 7.16.0 odkryto problem, który umożliwia eskalację uprawnień atakującego. Atakujący mogą uzyskać dostęp do informacji korporacyjnych oraz szczegółów serwera SMTP, usuwać użytkowników, przeglądać role i inne nieokreślone skutki.
URL injection vulnerability in Driva inSync 6.9.0 for macOS allows an attacker to force a visit to an arbitrary URL via the port parameter in the Electron App.
A command injection vulnerability in Druva inSync 6.9.0 for macOS allows attackers to execute arbitrary commands via a crafted payload to the local HTTP server due to an unsanitized call to the Python os.system library.
An issue was discovered in Druva 6.9.0 for macOS that allows attackers to gain escalated local privileges via the inSyncDecommission component.
An issue was discovered in Druva 6.9.0 for macOS, where the inSyncUpgradeDaemon component allows attackers to gain escalated local privileges.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS