CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.10.04)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Wtyczka WordPress File Upload jest podatna na zdalne wykonanie kodu we wszystkich wersjach do i włącznie z 4.24.12 poprzez parametr cookie 'wfu_ABSPATH'. Umożliwia to nieautoryzowanym atakującym wykonanie kodu na serwerze.
Wtyczka WordPress File Upload jest podatna na zdalne wykonanie kodu, nieautoryzowane odczytywanie plików oraz usuwanie plików we wszystkich wersjach do i włącznie z 4.24.15. Problem wynika z braku odpowiedniej sanitizacji parametru 'source' oraz możliwości zdefiniowania ścieżki katalogu przez użytkownika.
An issue was discovered in Aviatrix Controller before 7.1.4191 and 7.2.x before 7.2.4996. Due to improper neutralization of special elements used in an OS command, an unauthenticated attacker is able to execute arbitrary code by sending shell metacharacters to /v1/api in cloud_type or src_cloud_type.
I, Librarian w wersjach do 5.11.1 jest podatny na atak typu Server-Side Request Forgery (SSRF) z powodu niewłaściwej walidacji danych wejściowych w pliku classes/security/validation.php.
Bangkok Medical Software HOSxP XE v4.64.11.3 was discovered to contain a hardcoded IDEA Key-IV pair in the HOSxPXE4.exe and HOS-WIN32.INI components. This allows attackers to access sensitive information.
W podatności XXE (XML External Entity) w Intersec Geosafe-ea w wersjach 2022.12, 2022.13 i 2022.14, atakujący mogą przeprowadzać odczyt dowolnych plików z uprawnieniami działającego procesu, wykonywać żądania SSRF lub powodować Denial of Service (DoS) za pomocą nieokreślonych wektorów.
W Ovidentia 8.3 zidentyfikowano problem związany z funkcją przesyłania plików, która nie blokuje przesyłania plików wykonywalnych. Użytkownik może przesłać plik .png zawierający kod PHP, a następnie zmienić jego nazwę na .php, co umożliwia zdalne wykonanie kodu.
W sterowniku SmSerl64.sys w Motorola SM56 Modem WDM Driver v6.12.23.0 występuje podatność, która pozwala użytkownikom o niskich uprawnieniach na mapowanie pamięci fizycznej za pomocą specjalnie przygotowanych żądań IOCTL. Może to prowadzić do eskalacji uprawnień, wykonania kodu z wysokimi uprawnieniami oraz ujawnienia informacji.
Występuje podatność w sterowniku snxppamd.sys w SUNIX Parallel Driver x64 - 10.1.0.0, która pozwala użytkownikom o niskich uprawnieniach na odczyt i zapis dowolnych portów I/O za pomocą specjalnie przygotowanych żądań IOCTL. Może to prowadzić do eskalacji uprawnień, wykonania kodu z wysokimi uprawnieniami oraz ujawnienia informacji.
Występuje podatność w sterowniku snxpsamd.sys w SUNIX Serial Driver x64 - 10.1.0.0, która pozwala użytkownikom o niskich uprawnieniach na odczyt i zapis dowolnych portów I/O za pomocą specjalnie przygotowanych żądań IOCTL. Może to być wykorzystane do eskalacji uprawnień, wykonania kodu z wysokimi uprawnieniami oraz ujawnienia informacji.
Problem w komponencie snxpcamd.sys karty SUNIX Multi I/O w wersji 10.1.0.0 umożliwia atakującym wykonywanie dowolnych operacji odczytu i zapisu poprzez dostarczanie spreparowanych żądań IOCTL.
W interfejsie webowym mostu bezprzewodowego 501 istnieje wiele podatności na wstrzykiwanie poleceń, które mogą prowadzić do zdalnego wykonania poleceń przez uwierzytelnionego użytkownika. Sukces w wykorzystaniu tych podatności pozwala atakującemu na wykonywanie dowolnych poleceń jako użytkownik z uprawnieniami na systemie operacyjnym.
W interfejsie webowym mostu bezprzewodowego 501 występuje wiele podatności na wstrzykiwanie poleceń, które mogą prowadzić do zdalnego wykonania poleceń przez uwierzytelnionego użytkownika. Sukces w wykorzystaniu tych podatności pozwala atakującemu na wykonywanie dowolnych poleceń jako użytkownik z uprawnieniami na systemie operacyjnym.
A file upload bypass vulnerability in AdPortal 3.0.39 allows a remote attacker to execute arbitrary code via the file upload functionality.
A Cross Site Scripting (XSS) vulnerability in iPublish Media Solutions AdPortal 3.0.39 allows a remote attacker to escalate privileges via the shippingAsBilling parameter in updateuserinfo.html.
A Server-Side Template Injection (SSTI) vulnerability was found in AdPortal 3.0.39. A remote attacker can exploit the shippingAsBilling and firstname parameters in the updateuserinfo.html file to execute arbitrary code.
Podatność CVE-2025-22350 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce WpIndeed Ultimate Learning Pro. Problem ten dotyczy wersji Ultimate Learning Pro od n/a do 3.9.
W urządzeniach SiWx91x algorytm SHA2/224 zwraca skrót o długości 256 bitów zamiast 224 bitów. Taka nieprawidłowa długość skrótu wywołuje asercję w oprogramowaniu, co prowadzi do odmowy usługi (DoS).
Invoice Ninja w wersjach przed 5.10.43 umożliwia zdalne wykonanie kodu z preautoryzowanej trasy, gdy atakujący zna APP_KEY. Problem jest zaostrzony przez pliki .env dostępne w repozytorium produktu, które zawierają domyślne wartości APP_KEY.
W systemie AC500 V3 istnieje podatność, która pozwala na wykonanie poleceń przez atakującego. Po skutecznym wykorzystaniu podatności CVE-2024-12429 (przechodzenie przez katalogi), uwierzytelniony atakujący może wstrzyknąć dowolne polecenia do specjalnie przygotowanego pliku, które następnie zostaną wykonane przez użytkownika root.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS