CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.10.08)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
W systemie Jinher OA w wersji 1.2 zidentyfikowano podatność, która dotyczy nieznanego kodu w pliku ProjectScheduleDelete.aspx. Manipulacja ta prowadzi do odniesienia do zewnętrznego bytu XML, co stwarza ryzyko ataku.
The Work The Flow File Upload plugin for WordPress up to version 2.5.2 allows unauthenticated attackers to upload arbitrary files due to missing file type validation in the jQuery-File-Upload-9.5.0 server and test files. This may enable remote code execution.
A vulnerability was found in the Linux kernel's network scheduling subsystem (net/sched). During an enqueue operation, a child qdisc may be unexpectedly emptied, triggering qlen_notify() and potentially causing a use-after-free due to class reactivation. The fix ensures qdisc_tree_reduce_backlog always notifies the parent when the child class becomes empty.
Wtyczka Integracja dla Google Sheets oraz Contact Form 7, WPForms, Elementor, Ninja Forms dla WordPressa jest podatna na wstrzykiwanie obiektów PHP we wszystkich wersjach do i włącznie z 1.1.1 poprzez deserializację nieufnych danych wejściowych w funkcji verify_field_val(). Umożliwia to nieautoryzowanym atakującym wstrzykiwanie obiektów PHP.
Wtyczka Integracja dla Pipedrive i Contact Form 7, WPForms, Elementor, Ninja Forms dla WordPressa jest podatna na wstrzykiwanie obiektów PHP we wszystkich wersjach do i włącznie z 1.2.3 poprzez deserializację nieufnych danych wejściowych w funkcji verify_field_val(). Umożliwia to nieautoryzowanym atakującym wstrzyknięcie obiektu PHP.
Zidentyfikowano niekompletne rozwiązanie dla CVE-2025-23084 w Node.js, które dotyczy nazw urządzeń Windows, takich jak CON, PRN i AUX. Podatność ta wpływa na użytkowników systemu Windows korzystających z API `path.join`.
Wersja V8 używana w Node.js v24.0.0 zmieniła sposób obliczania hashy dla ciągów znaków przy użyciu rapidhash. Ta implementacja ponownie wprowadza podatność HashDoS, ponieważ atakujący, który może kontrolować ciągi do zhashowania, może generować wiele kolizji hashy.
W systemie Food Ordering Review System w wersji 1.0 zidentyfikowano krytyczną podatność, która dotyczy nieznanego kodu w pliku /pages/signup_function.php. Manipulacja argumentem fname prowadzi do wstrzykiwania SQL, co może być wykorzystane zdalnie.
StudentManage v1.0 was found to contain a cross-site scripting (XSS) vulnerability in the Add A New Student module. This allows an attacker to inject malicious scripts into the page.
StudentManage v1.0 was discovered to contain a cross-site scripting (XSS) vulnerability in the Add A New Course module. This allows an attacker to inject malicious scripts into the page.
MRCMS v3.1.2 was discovered to contain a cross-site scripting (XSS) vulnerability in the /admin/group/save.do component. An attacker can inject a malicious script that will be executed in the administrator's browser.
Wersja 2.51.0 Perplexity AI GPT-4 zawiera lukę, która umożliwia zdalnemu atakującemu uzyskanie poufnych informacji poprzez komponent tokena w udostępnionym URL czatu.
StudentManage v1.0 was discovered to contain a cross-site scripting (XSS) vulnerability in the Add A New Teacher module. This allows an attacker to inject malicious scripts into the web page.
W systemie BossSoft CRM w wersji 6.0 odkryto krytyczną podatność, która dotyczy nieznanej funkcjonalności pliku /crm/module/HNDCBas_customPrmSearchDtl.jsp. Manipulacja argumentem cstid prowadzi do wstrzyknięcia SQL, co umożliwia zdalne przeprowadzenie ataku.
CrushFTP 10 before 10.8.5 and 11 before 11.3.4_23, when the DMZ proxy feature is not used, mishandles AS2 validation and consequently allows remote attackers to obtain admin access via HTTPS, as exploited in the wild in July 2025.
A reflected cross-site scripting (XSS) vulnerability was discovered in Agorum core open versions 11.9.2 and 11.10.1. An attacker can inject a malicious script into a request, which will be executed in the victim's browser.
An SSRF vulnerability in the TunnelServlet component of Agorum core open v11.9.2 and v11.10.1 allows attackers to forcefully initiate connections to arbitrary internal and external resources via a crafted request. This can lead to sensitive data exposure.
A SQL injection vulnerability was discovered in StudentManage v1.0 within the /admin/adminStudentUrl component. An attacker can exploit this flaw to manipulate database queries.
An incorrect access control vulnerability in the dynawebservice component of Agorum core open versions 11.9.2 and 11.10.1 allows unauthenticated attackers to access arbitrary files on the system.
Incorrect access control in Agorum core open versions 11.9.2 and 11.10.1 allows authenticated attackers to escalate privileges to Administrator.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS