CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.10.04)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Wtyczka Integração entre Eduzz i Woocommerce dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji 'wep_opcoes' we wszystkich wersjach do 1.7.5 włącznie. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie Subskrybenta i wyżej, edytowanie domyślnej roli rejestracyjnej w procesie rejestracji wtyczki na Administratora.
Wtyczka Add custom page template dla WordPressa jest podatna na wstrzykiwanie kodu PHP, co prowadzi do zdalnego wykonania kodu we wszystkich wersjach do i włącznie z 2.0.1. Problem wynika z niewystarczającej sanitizacji parametru 'template_name'.
Wtyczka Create custom forms for WordPress z pluginem smart form dla inteligentnych firm jest podatna na wykonanie dowolnego shortcode'a we wszystkich wersjach do i włącznie z 1.2.4. Problem wynika z braku odpowiedniej walidacji wartości przed wykonaniem do_shortcode.
NETSCOUT nGeniusONE w wersjach przed 6.4.0 P11 b3245 ma słabą konfigurację Sudo, co może prowadzić do nieautoryzowanego dostępu do systemu.
ScreenConnect versions 25.2.3 and earlier may be susceptible to a ViewState code injection attack. To obtain the necessary machine keys, privileged system level access must be obtained.
Commvault Web Server has an unspecified vulnerability that can be exploited by a remote, authenticated attacker. According to the Commvault advisory: "Webservers can be compromised through bad actors creating and executing webshells."
Halo to narzędzie do budowy stron internetowych typu open source. Przed wersją 2.20.13 istniała podatność, która pozwalała atakującym na obejście kontroli walidacji typów plików, co umożliwiało przesyłanie złośliwych plików, w tym plików wykonywalnych i HTML.
Craft to elastyczny, przyjazny dla użytkownika system zarządzania treścią (CMS), który umożliwia tworzenie niestandardowych doświadczeń cyfrowych. Wersje od 3.0.0-RC1 do przed 3.9.15, 4.0.0-RC1 do przed 4.14.15 oraz 5.0.0-RC1 do przed 5.6.17 są podatne na zdalne wykonanie kodu.
Wtyczka Service Finder Bookings dla WordPressa, używana w motywie Service Finder - Directory and Job Board, jest podatna na eskalację uprawnień we wszystkich wersjach do 5.1 włącznie. Problem wynika z braku ograniczeń dotyczących ról użytkowników w funkcji 'nsl_registration_store_extra_input'.
Wtyczka JobSearch WP Job Board dla WordPressa jest podatna na obejście uwierzytelnienia we wszystkich wersjach do i włącznie z 2.9.2. Problem wynika z niewłaściwej konfiguracji funkcji 'jobsearch_xing_response_data_callback', 'set_access_tokes' oraz 'google_callback'.
Wtyczka Mayosis Core dla WordPressa jest podatna na nieautoryzowane odczyty plików w wersjach do 5.4.1 włącznie, poprzez plik library/wave-audio/peaks/remote_dl.php. Umożliwia to nieautoryzowanym atakującym odczyt zawartości dowolnych plików na serwerze, co może zawierać wrażliwe informacje.
Wtyczka BM Content Builder dla WordPressa jest podatna na nieautoryzowaną modyfikację danych, co może prowadzić do eskalacji uprawnień. Problem wynika z braku sprawdzenia uprawnień w akcji AJAX ux_cb_tools_import_item_ajax we wszystkich wersjach do 3.16.2.1 włącznie.
API interfejsu graficznego Quantum StorNext przed wersją 7.2.4 umożliwia dostęp do wewnętrznej konfiguracji StorNext oraz nieautoryzowaną modyfikację niektórych parametrów konfiguracyjnych oprogramowania za pomocą niedokumentowanych poświadczeń użytkownika. Dotyczy to StorNext RYO, StorNext Xcellis Workflow Director oraz ActiveScale Cold Storage przed wersją 7.2.4.
API interfejsu graficznego Quantum StorNext przed wersją 7.2.4 umożliwia potencjalne zdalne wykonanie dowolnego kodu (RCE) poprzez przesłanie pliku. Dotyczy to również StorNext RYO, StorNext Xcellis Workflow Director oraz ActiveScale Cold Storage przed wersją 7.2.4.
Motyw Vikinger dla WordPressa jest podatny na eskalację uprawnień we wszystkich wersjach do i włącznie z 1.9.30. Problem wynika z niewystarczających ograniczeń user_meta w funkcji 'vikinger_user_meta_update_ajax'.
OpenPLC w wersji od 3 do 64f9c11 zawiera błąd związany z uszkodzeniem pamięci w pliku server.cpp, ponieważ wątek może uzyskać dostęp do argumentów handleConnections po tym, jak macierzysta ramka stosu stanie się niedostępna.
Mitsubishi Electric CC-Link IE TSN modules (including Remote I/O, Analog-Digital Converter, Digital-Analog Converter, FPGA, Remote Station Communication LSI CP620 with GbE-PHY, MELSEC iQ-R Series CC-Link IE TSN Master/Local Module, Ethernet Interface Module, CC-Link IE TSN Master/Local Station Communication LSI CP610, MELSEC iQ-F Series FX5 CC-Link IE TSN Master/Local Module, FX5 Ethernet Module, FX5-ENET/IP Ethernet Module, and MELSEC iQ-R Series CPU module) contain an improper validation of specified quantity in input vulnerability. A remote unauthenticated attacker can send specially crafted UDP packets to cause a Denial of Service condition.
React Router w wersjach 7.0 przed 7.5.2 umożliwia modyfikację danych przed renderowaniem poprzez dodanie nagłówka do żądania. To pozwala na całkowite sfałszowanie zawartości i modyfikację wszystkich wartości obiektu danych przekazywanego do HTML.
React Router, używany w aplikacjach React, ma podatność od wersji 7.2.0 do 7.5.2, która pozwala na wymuszenie przełączenia aplikacji w tryb SPA poprzez dodanie nagłówka do żądania. W przypadku aplikacji korzystających z SSR, wymuszenie tego trybu prowadzi do błędu, który całkowicie psuje stronę.
Ładowarka AC Vestel w wersji 3.75.0 zawiera podatność, która może umożliwić atakującemu dostęp do plików zawierających wrażliwe informacje, takie jak dane uwierzytelniające. Te informacje mogą być wykorzystane do dalszego kompromitowania urządzenia.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS