CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.30)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Crafter CMS Crafter Studio 3.0.1 is affected by an XML External Entity (XXE) vulnerability. An unauthenticated attacker can create a site with specially crafted XML, allowing out-of-band retrieval of OS files.
Crafter CMS Crafter Studio 3.0.1 contains a directory traversal vulnerability that allows unauthenticated attackers to view files from the operating system.
In Crafter CMS Crafter Studio 3.0.1 an unauthenticated attacker can create a site with specially crafted XML, allowing out-of-band retrieval of OS files.
Drupal core does not properly sanitize certain filenames on uploaded files, which can lead to files being interpreted as the incorrect extension and served as the wrong MIME type or executed as PHP for certain hosting configurations. This issue affects Drupal Core 9.0 versions prior to 9.0.8, 8.9 prior to 8.9.9, 8.8 prior to 8.8.11, and 7 prior to 7.74.
W Modicon M221 (wszystkie wersje) występuje podatność CWE-334: Mała przestrzeń losowych wartości, która może umożliwić atakującemu złamanie kluczy szyfrujących, jeśli przechwyci ruch między oprogramowaniem EcoStruxure Machine - Basic a kontrolerem Modicon M221.
W podatności CWE-326: Niewystarczająca siła szyfrowania w Modicon M221 (wszystkie wersje) istnieje możliwość, że atakujący może złamać klucz szyfrowania, gdy przechwyci ruch między oprogramowaniem EcoStruxure Machine - Basic a kontrolerem Modicon M221.
A CWE-428 Windows Unquoted Search Path vulnerability exists in EcoStruxure Building Operation Enterprise Server installer V1.9 - V3.1 and Enterprise Central installer V2.0 - V3.1 that could allow any local Windows user with write permission on at least one of the subfolders of the Connect Agent service binary path to gain the privilege of the user who started the service.
Archive_Tar through 1.4.10 has :// filename sanitization only to address phar attacks, and thus any other stream-wrapper attack (such as file:// to overwrite files) can still succeed.
W podatności CVE-2020-7564 występuje klasyczny przepełnienie bufora w serwerze WWW na urządzeniach Modicon M340, Modicon Quantum oraz Modicon Premium, co może prowadzić do nieautoryzowanego zapisu i wykonania poleceń podczas przesyłania specjalnie przygotowanego pliku przez FTP.
W podatności CWE-787: Out-of-bounds Write występującej w serwerze WWW na urządzeniach Modicon M340, Modicon Quantum oraz Modicon Premium Legacy, a także ich modułach komunikacyjnych, może dojść do uszkodzenia danych, awarii lub wykonania kodu podczas przesyłania specjalnie przygotowanego pliku na kontroler za pomocą FTP.
W podatności CWE-125: Odczyt poza granicami występuje w serwerze WWW na urządzeniach Modicon M340, Modicon Quantum oraz Modicon Premium Legacy i ich modułach komunikacyjnych. Może to prowadzić do błędu segmentacji lub przepełnienia bufora podczas przesyłania specjalnie przygotowanego pliku na kontroler za pomocą FTP.
Zidentyfikowano podatność w rodzinie CPU SIMATIC S7-300 (w tym związane z nimi CPU ET200 i warianty SIPLUS), CPU SIMATIC TDC555 oraz SINUMERIK 840D sl. Wysyłanie wielu specjalnie przygotowanych pakietów do dotkniętych urządzeń może spowodować awarię usługi na porcie 102.
Podatność w Microsoft Teams umożliwia zdalne wykonanie kodu. Atakujący może wykorzystać tę lukę, aby przejąć kontrolę nad systemem ofiary.
A local elevation of privilege vulnerability in the Windows kernel. Technical details are not provided in the description.
A vulnerability in Ilex International Sign&go Workstation Security Suite 7.1 allows privilege escalation via a symlink attack on the log file. An attacker can exploit a symlink at ProgramData\Ilex\S&G\Logs\000-sngWSService1.log to gain elevated privileges.
Inappropriate implementation in V8 in Google Chrome prior to 86.0.4240.183 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page.
MISP versions up to 2.4.133 allows SSRF (Server-Side Request Forgery) in the REST client via the use_full_path parameter with an arbitrary URL.
A cross-site scripting (XSS) vulnerability in QNAP QTS systems could allow remote attackers to inject malicious code. Fixed in specific QTS versions.
In Snap7 server version 1.4.1, a vulnerability allows an attacker to send a crafted packet with the COTP protocol where the last-data-unit flag is set to No and the S7 writes a var function, causing the Snap7 server to crash.
A vulnerability in the Pulse Connect Secure < 9.1R9 admin web interface could allow an authenticated attacker to perform an arbitrary code execution using uncontrolled gzip extraction.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS