CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.30)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
In the Linux kernel up to version 5.11.3, a vulnerability in the SCSI driver (drivers/scsi/scsi_transport_iscsi.c) allows an unprivileged user to craft Netlink messages, adversely affecting the system.
PHP object injection vulnerability in the Ajax endpoint of the backend in ForkCMS below version 5.8.3 allows an authenticated remote user to execute malicious code.
A remote code execution vulnerability in Microsoft Exchange Server allows an attacker to execute arbitrary code in the context of the system on the Exchange server.
A remote code execution vulnerability in Microsoft Exchange Server allows an attacker to execute arbitrary code on the server.
A remote code execution vulnerability in Microsoft Exchange Server allows an attacker to execute arbitrary code on the server.
A vulnerability exists in the SHA authentication scheme in Veritas Backup Exec before 21.2. An attacker can gain unauthorized access and execute arbitrary commands with system privileges.
A vulnerability exists in the SHA authentication scheme in Veritas Backup Exec before 21.2, which had not been disabled. An attacker could remotely exploit this scheme to gain unauthorized access to an Agent and execute privileged commands.
A vulnerability exists in the SHA authentication scheme in Veritas Backup Exec before 21.2. An attacker can gain unauthorized access and, using crafted input parameters, access an arbitrary file on the system with System privileges.
The fix for CVE-2020-9484 was incomplete. When using Apache Tomcat 10.0.0-M1 to 10.0.0, 9.0.0.M1 to 9.0.41, 8.5.0 to 8.5.61 or 7.0.0. to 7.0.107 with a configuration edge case that was highly unlikely to be used, the Tomcat instance was still vulnerable to CVE-2020-9494. Note that both the previously published prerequisites for CVE-2020-9484 and the previously published mitigations for CVE-2020-9484 also apply to this issue.
When responding to new h2c connection requests, Apache Tomcat versions 10.0.0-M1 to 10.0.0, 9.0.0.M1 to 9.0.41 and 8.5.0 to 8.5.61 could duplicate request headers and a limited amount of request body from one request to another meaning user A and user B could both see the results of user A's request.
Podatność CVE-2021-24105 pozwala atakującemu na wprowadzenie złośliwego pakietu do repozytoriów menedżerów pakietów, co może prowadzić do zdalnego wykonania kodu. Dotyczy to wielu menedżerów pakietów w różnych językach programowania, takich jak Python/pip, .NET/NuGet, Java/Maven oraz JavaScript/npm.
A vulnerability in the Win32k component of Windows allows elevation of privilege. An attacker could exploit it to gain higher privileges on the system.
OpenSLP używany w ESXi (7.0 przed ESXi70U1c-17325551, 6.7 przed ESXi670-202102401-SG, 6.5 przed ESXi650-202102101-SG) ma podatność na przepełnienie sterty. Złośliwy aktor znajdujący się w tej samej sieci co ESXi, mający dostęp do portu 427, może wywołać problem przepełnienia sterty w usłudze OpenSLP, co może prowadzić do zdalnego wykonania kodu.
A buffer overflow vulnerability exists in Yz1 versions 0.30 and 0.32, used in IZArc 4.4, ZipGenius 6.3.2.3116, and Explzh (extension) 8.14, related to filename handling. An attacker can execute arbitrary code by crafting a malicious archive file.
W urządzeniach PowerLogic ION7400, ION7650, ION83xx/84xx/85xx/8600, ION8650, ION8800, ION9000 oraz PM800 występuje podatność CWE-319 związana z przesyłaniem wrażliwych informacji w postaci niezaszyfrowanej. Może to prowadzić do ujawnienia danych logowania użytkowników, gdy złośliwy aktor przechwyci ruch sieciowy HTTP między użytkownikiem a urządzeniem.
W urządzeniach PowerLogic ION7400, ION7650, ION7700/73xx, ION83xx/84xx/85xx/8600, ION8650, ION8800, ION9000 oraz PM800 występuje podatność CWE-319, polegająca na przesyłaniu wrażliwych informacji w postaci niezaszyfrowanej. Może to prowadzić do ujawnienia danych logowania użytkowników, gdy złośliwy aktor przechwyci ruch sieciowy Telnet między użytkownikiem a urządzeniem.
Przepełnienie bufora w AIDA64 Engineer w wersji 6.00.5100 firmy FinalWire Ltd umożliwia atakującym wykonanie dowolnego kodu poprzez stworzenie specjalnie przygotowanego wejścia, które nadpisuje obsługę SEH.
Accellion FTA 9_12_411 and earlier is affected by OS command execution via a local web service call. The fixed version is FTA_9_12_416 and later.
Podatność CVE-2021-23840 dotyczy funkcji EVP_CipherUpdate, EVP_EncryptUpdate i EVP_DecryptUpdate w OpenSSL, które mogą powodować przepełnienie argumentu długości wyjścia, gdy długość wejścia jest bliska maksymalnej dozwolonej długości dla liczby całkowitej na danej platformie. W takich przypadkach funkcja zwraca wartość 1 (co oznacza sukces), ale wartość długości wyjścia jest ujemna, co może prowadzić do nieprawidłowego działania aplikacji lub ich awarii.
The systeminformation library for Node.js before version 5.3.1 contains a command injection vulnerability. The issue was fixed in version 5.3.1.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS