CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.10.04)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Wtyczka RapidLoad – Optimize Web Vitals Automatically dla WordPress jest podatna na nieautoryzowany dostęp do danych oraz ich modyfikację z powodu braku weryfikacji uprawnień w kilku funkcjach. Dotyczy to wszystkich wersji do i włącznie z 2.4.2.
W komponentach TeamViewer Patch & Asset Management przed wersją 24.12 na systemie Windows występują niewystarczające uprawnienia, które pozwalają lokalnie uwierzytelnionemu użytkownikowi na usuwanie dowolnych plików. Problem ten dotyczy zarządzania zdalnego w TeamViewer.
W podatności CVE-2024-11737 występuje niewłaściwa walidacja danych wejściowych, co może prowadzić do odmowy usługi oraz utraty poufności i integralności kontrolera, gdy do urządzenia zostanie wysłany nieautoryzowany, spreparowany pakiet Modbus.
A Cross Site Scripting (XSS) vulnerability was found in the profile.php of PHPGurukul Beauty Parlour Management System v1.1. Attackers can inject arbitrary HTML into the 'Firstname' and 'Last name' parameters, allowing remote code execution.
A SQL injection vulnerability was found in Phpgurukul's Beauty Parlour Management System v1.1 in `login.php` via the `emailcont` parameter. An attacker can manipulate this parameter to execute unauthorized database queries.
Mitel MiCollab through 9.8 SP2 could allow an authenticated attacker with administrative privilege to conduct a local file read, due to insufficient input sanitization. A successful exploit could allow the authenticated admin attacker to access resources that are constrained to the admin access level, and the disclosure is limited to non-sensitive system information. This vulnerability does not allow file modification or privilege escalation.
W wersjach Avenwu Whistle do 2.9.90 występuje podatność typu Cross-Site Request Forgery (CSRF), która umożliwia atakującym wykonywanie złośliwych wywołań API. Może to prowadzić do wykonania dowolnego kodu na maszynie ofiary.
W AirWave CLI występuje podatność na zdalne wykonanie kodu (RCE), która wymaga uwierzytelnienia. Jej wykorzystanie może pozwolić zdalnemu, uwierzytelnionemu atakującemu na uruchamianie dowolnych poleceń jako użytkownik z uprawnieniami na hosta.
A vulnerability in BYD Dilink Headunit System versions 3.0 to 4.0 allows attackers to bypass authentication via a brute-force attack. The flaw is due to the lack of login attempt restrictions.
The package manager pnpm prior to version 9.15.0 mishandles overrides and global cache. Overrides from one workspace leak into npm metadata saved in global cache, potentially leading to unauthorized code execution in other workspaces.
W wersjach Splunk Enterprise poniżej 9.3.2, 9.2.4 i 9.1.7 oraz wersjach poniżej 3.4.261 i 3.7.13 aplikacji Splunk Secure Gateway na platformie Splunk Cloud, użytkownik o niskich uprawnieniach, który nie posiada ról „admin” ani „power”, może przeprowadzić zdalne wykonanie kodu (RCE).
MOBATIME Network Master Clock - DTS 4801 umożliwia atakującym uzyskanie początkowego dostępu za pomocą SSH, wykorzystując domyślne dane logowania.
W MSA FieldServer Gateway w wersjach od 5.0.0 do 6.5.2 (naprawione w 7.0.0) odkryto problem związany z używaniem wspólnego konta administracyjnego. Uwierzytelnienie tego użytkownika opiera się na niebezpiecznym, statycznym sekrecie, który jest wspólny dla wszystkich dotkniętych wersji oprogramowania.
W MSA FieldServer Gateway w wersjach od 5.0.0 do 6.5.2 (naprawione w 7.0.0) odkryto problem, który pozwala atakującemu na ominięcie ograniczeń dostępu dla użytkowników wewnętrznych. Atakujący może uwierzytelnić się jako użytkownik wewnętrzny z sieci, jeśli zna jego hasło.
W urządzeniu COMFAST CF-WR630AX w wersji v2.7.0.2 odkryto podatność na twardo zakodowane hasło w pliku /etc/shadow, co umożliwia atakującym logowanie się jako root.
Nette Database w wersjach do 3.2.4 umożliwia wstrzykiwanie SQL w określonych sytuacjach, gdy nieufny filtr jest bezpośrednio przekazywany do metody where. Należy zauważyć, że dostawca twierdzi, iż jest to zamierzone zachowanie.
Zidentyfikowano podatność w różnych wersjach oprogramowania SIMATIC, w tym S7-PLCSIM, STEP 7, WinCC oraz SIMOCODE ES. Problemy dotyczą wersji przed określonymi aktualizacjami, co może prowadzić do potencjalnych zagrożeń bezpieczeństwa.
Zidentyfikowano podatność w różnych wersjach oprogramowania SIMATIC, w tym S7-PLCSIM, STEP 7 Safety, WinCC Unified oraz SIMOCODE ES. Problemy dotyczą wszystkich wersji wymienionych produktów oraz niektórych wersji przed określonymi aktualizacjami.
Zidentyfikowano podatność w urządzeniach RUGGEDCOM ROX MX5000, ROX MX5000RE, ROX RX1400, ROX RX1500, ROX RX1501, ROX RX1510, ROX RX1511, ROX RX1512, ROX RX1524, ROX RX1536 oraz ROX RX5000 (wszystkie wersje < V2.16.0). Funkcja CLI w interfejsie webowym tych urządzeń jest podatna na atak typu cross-site request forgery (CSRF).
Wtyczka Active Products Tables dla WooCommerce w WordPressie jest podatna na wykonanie dowolnego shortcode'a poprzez akcję AJAX woot_get_smth we wszystkich wersjach do i włącznie z 1.0.6.5. Problem wynika z braku odpowiedniej walidacji wartości przed wykonaniem do_shortcode.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS