CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.10.04)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Podatność SQL Injection w dingfanzuCMS w wersji 1.0 umożliwia lokalnemu atakującemu wykonanie dowolnego kodu poprzez niewłaściwe filtrowanie treści w module shopId w pliku 'checkOrder.php'.
Oprogramowanie do zdalnej pomocy SimpleHelp w wersji 5.5.7 i wcześniejszych pozwala użytkownikom z uprawnieniami administratora na przesyłanie dowolnych plików w dowolne miejsce w systemie plików poprzez przesłanie spreparowanego pliku zip (tzw. zip slip). Może to być wykorzystane do wykonania dowolnego kodu na hoście w kontekście użytkownika serwera SimpleHelp.
SimpleHelp remote support software v5.5.7 and before is vulnerable to multiple path traversal vulnerabilities that enable unauthenticated remote attackers to download arbitrary files from the SimpleHelp host via crafted HTTP requests. These files include server configuration files containing various secrets and hashed user passwords.
Oprogramowanie do zdalnej pomocy SimpleHelp w wersji 5.5.7 i wcześniejszych ma podatność, która pozwala technikom o niskich uprawnieniach na tworzenie kluczy API z nadmiernymi uprawnieniami. Klucze te mogą być wykorzystane do eskalacji uprawnień do roli administratora serwera.
W urządzeniu HI-SCAN 6040i Hitrax HX-03-19-I odkryto twardo zakodowane dane uwierzytelniające, które umożliwiają dostęp do wsparcia technicznego i serwisu dostawcy.
Problem w usłudze AsDB urządzenia HI-SCAN 6040i Hitrax HX-03-19-I umożliwia atakującym enumerację poświadczeń użytkowników za pomocą odpowiednio skonstruowanych żądań protokołu GIOP.
Problem w funkcji USB Autorun w urządzeniu HI-SCAN 6040i Hitrax umożliwia atakującym wykonanie dowolnego kodu poprzez przesłanie spreparowanego skryptu z urządzenia USB.
W Sentry, narzędziu do śledzenia błędów i monitorowania wydajności, odkryto krytyczną podatność w implementacji SAML SSO. Umożliwia ona atakującemu przejęcie dowolnego konta użytkownika przy użyciu złośliwego dostawcy tożsamości SAML oraz innej organizacji na tej samej instancji Sentry.
Problem dotyczy niewłaściwego zarządzania pamięcią, co może pozwolić aplikacji na wykonanie dowolnego kodu z uprawnieniami jądra. Został naprawiony w kilku wersjach systemów operacyjnych Apple.
Problem został rozwiązany poprzez poprawę kontroli. Wystąpienie tej podatności może prowadzić do nieoczekiwanego zakończenia działania aplikacji lub wykonania dowolnego kodu.
Problem w natywnych klientach Amazon WorkSpaces (podczas korzystania z protokołu PCoIP) może umożliwić atakującemu dostęp do zdalnych sesji poprzez atak typu man-in-the-middle.
Problem w natywnych klientach Amazon WorkSpaces (przy użyciu protokołu Amazon DCV), Amazon AppStream 2.0 oraz klientów Amazon DCV może umożliwić atakującemu dostęp do zdalnych sesji poprzez atak typu man-in-the-middle.
Programowalne sterowniki logiczne XINJE XL5E-16T i XD5E-24R-E w wersjach V3.5.3b-V3.7.2a mają podatność w obsłudze wiadomości Modbus. W przypadku nawiązania połączenia TCP z tymi sterownikami w lokalnej sieci (LAN), wysłanie określonej wiadomości Modbus może spowodować awarię PLC, co przerywa normalne działanie programów.
Wersja V3.7.2a urządzenia XINJE XL5E-16T zawiera lukę, która pozwala atakującym na wywołanie ataku typu Denial of Service (DoS) poprzez specjalnie przygotowaną wiadomość Modbus.
Podatność CVE-2025-22799 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL w produkcie Neon Product Designer dla WooCommerce, co pozwala na atak typu SQL Injection. Problem ten dotyczy wersji Neon Product Designer od n/a do 2.2.0 włącznie.
W podatności CVE-2025-22795 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w formularzu kontaktowym Multilang Contact Form w wersjach od n/a do 1.5. Problem ten umożliwia atakującym wstrzykiwanie złośliwego kodu JavaScript.
Podatność CVE-2025-22793 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Bold pagos en linea w wersjach od n/a do 3.1.4.
Podatność typu Path Traversal w dodatkach Element Invader dla Elementora umożliwia lokalne włączenie plików PHP. Problem dotyczy wersji dodatków ElementInvader dla Elementora od n/a do 1.2.6 włącznie.
W systemie rezerwacji kursów ComMotion występuje podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji systemu od n/a do 6.0.6.
Podatność typu Cross-Site Request Forgery (CSRF) w Background Control swedish boy umożliwia atak typu Path Traversal. Problem ten dotyczy wersji Background Control od n/a do 1.0.5 włącznie.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS