CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.10.04)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Wtyczka tagDiv Composer dla WordPressa jest podatna na instancjonowanie obiektów PHP we wszystkich wersjach do i włącznie z 5.3 poprzez parametr modułu. Umożliwia to nieautoryzowanym atakującym instancjonowanie obiektu PHP.
Wersje pakietu expand-object od 0.0.0 są podatne na zanieczyszczenie prototypu w funkcji expand() w pliku index.js. Funkcja ta rozszerza podany ciąg na obiekt i pozwala na ustawienie zagnieżdżonej właściwości bez sprawdzania kluczy pod kątem wrażliwych właściwości, takich jak __proto__.
Wersje pakietu bigint-buffer od 0.0.0 są podatne na przepełnienie bufora w funkcji toBigIntLE(). Atakujący mogą wykorzystać tę podatność do awarii aplikacji.
Wersje pakietu spatie/browsershot od 0.0.0 są podatne na atak typu Server-side Request Forgery (SSRF) w funkcji setUrl(), z powodu braku ograniczeń na dane wejściowe użytkownika. Umożliwia to atakującym dostęp do localhost i wylistowanie wszystkich jego katalogów.
Podatność w rozszerzeniu jupyterlab-git pozwala na wykonanie polecenia w powłoce użytkownika bez jego zgody, gdy użytkownik otworzy repozytorium Git o nazwie zawierającej ciąg substytucji polecenia. Problem występuje w systemach macOS oraz większości dystrybucji Linuksa.
Podatność CVE-2024-45199 dotyczy oprogramowania insightsoftware Hive JDBC w wersji do 2.6.13, które ma lukę umożliwiającą zdalne wykonanie kodu. Atakujący mogą wstrzykiwać złośliwe parametry do URL JDBC, co prowadzi do wstrzyknięcia JNDI podczas łączenia z bazą danych.
API Platform Core to system do tworzenia API opartych na hypermedia, w tym REST i GraphQL. W wersjach przed 4.0.22 i 3.4.17, grant GraphQL na właściwości mógł być buforowany z różnymi obiektami, co prowadziło do problemów z bezpieczeństwem.
API Platform Core to system do tworzenia API opartych na hipertekstach, w tym REST i GraphQL. Wykorzystując specjalny typ węzła Relay, można obejść skonfigurowane zabezpieczenia operacji. Ta podatność została naprawiona w wersjach 4.0.22 i 3.4.17.
CrushFTP 10 before 10.8.4 and 11 before 11.3.1 allows authentication bypass and takeover of the crushadmin account (unless a DMZ proxy instance is used), as exploited in the wild in March and April 2025. The vulnerability is a race condition in the AWS4-HMAC (S3-compatible) authorization method of the HTTP component. The server first verifies user existence via login_user_pass() without password, authenticating the session through HMAC verification. Sending a mangled AWS4-HMAC header stabilizes the attack, causing an index-out-of-bounds error that prevents session cleanup.
Moduł generator-jhipster-entity-audit umożliwia audyt encji i stronę dziennika audytu. W wersjach przed 5.9.1, moduł ten pozwalał na niebezpieczną refleksję, gdy wybrano Javers jako ramy audytu encji, co mogło prowadzić do zdalnego wykonania kodu.
Gladinet CentreStack through 16.1.10296.56315 (fixed in 16.4.10315.56368) has a deserialization vulnerability due to the CentreStack portal's hardcoded machineKey use, as exploited in the wild in March 2025. This enables threat actors (who know the machineKey) to serialize a payload for server-side deserialization to achieve remote code execution.
Wersja 2.6.21 sterownika JDBC insightsoftware Spark zawiera podatność na zdalne wykonanie kodu. Atakujący mogą wstrzykiwać złośliwe parametry do URL JDBC, co prowadzi do wstrzyknięcia JNDI podczas łączenia się sterownika JDBC z bazą danych.
Rozszerzenie XWiki JIRA umożliwia integrację między XWiki a JIRA, w tym użycie makra JIRA. Zalogowany użytkownik XWiki może edytować swoją stronę profilu i wykorzystać makro JIRA, podając fałszywy adres URL JIRA, co może prowadzić do wyświetlenia zawartości lokalnego pliku na serwerze XWiki.
In XZ Utils versions 5.3.3alpha to 5.8.0, there is a bug in the multithreaded .xz decoder in liblzma that can lead to crashes with invalid input. The bug results in heap use after free and writing to an address based on the null pointer plus an offset.
A stack-based buffer overflow in Ivanti Connect Secure before version 22.7R2.6, Ivanti Policy Secure before version 22.7R1.4, and Ivanti ZTA Gateways before version 22.8R2.2. It allows a remote unauthenticated attacker to achieve remote code execution.
A flaw was found in the Gnome help application (Yelp) that allows arbitrary script execution from help documents. This vulnerability enables malicious users to inject help documents that may exfiltrate user files to an external environment.
A flaw was found in the libsoup library in the sniff_feed_or_html() and skip_insignificant_space() functions, which may lead to a heap buffer over-read.
A flaw was found in the libsoup library in the sniff_unknown() function, which may lead to a heap buffer over-read. This vulnerability could allow an attacker to read sensitive data from memory.
A flaw was found in the libsoup library in the soup_uri_decode_data_uri() function, which may crash when processing malformed data URIs. This vulnerability allows an attacker to cause a denial of service (DoS).
A flaw was found in the libsoup library in the append_param_quoted() function, which may cause a buffer overflow and under-read.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS