CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.10.04)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
In the Linux kernel, a slab-use-after-free vulnerability in the ksmbd server was fixed in the smb3_preauth_hash_rsp function. The ksmbd_user_session_put call should be made within smb3_preauth_hash_rsp to avoid freeing the session before use.
A vulnerability in the Linux kernel Vertexcom MSE102x driver was fixed, which could lead to a double-free of the TX skb. The issue occurred when the TX skb needed to be expanded — the original skb was freed instead of the temporary one, causing a second free in mse102x_tx_work() and a system crash.
In the Linux kernel's btrfs filesystem, when updating a delayed ref, the ref list is not reinitialized after deletion, which can lead to invalid memory access and system crash.
Harden-Runner od StepSecurity, używany do filtrowania ruchu sieciowego i zabezpieczeń w czasie rzeczywistym dla runnerów hostowanych na GitHubie oraz samodzielnych, zawiera wiele słabości związanych z wstrzykiwaniem poleceń w wersjach przed v2.10.2. Wersja 2.10.2 zawiera poprawkę eliminującą te podatności.
W podatności CVE-2024-52418 występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Gameplan od n/a do 1.5.10 włącznie.
Podatność typu Cross-site Scripting (XSS) w wtyczce BoldThemes ReConstruction pozwala na odzwierciedlone ataki XSS. Problem dotyczy wersji ReConstruction od n/a do 1.4.7 włącznie.
W wersji 8.2.0 AVSCMS odkryto słabe domyślne dane logowania dla konta Administratora. To może umożliwić nieautoryzowany dostęp do systemu.
Vulnerability in the Oracle Agile PLM Framework product of Oracle Supply Chain (component: Software Development Kit, Process Extension). The supported version that is affected is 9.3.6. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Agile PLM Framework. Successful attacks of this vulnerability can result in unauthorized access to critical data or complete access to all Oracle Agile PLM Framework accessible data.
Repozytorium WesHacks na GitHubie udostępnia oficjalny kod źródłowy strony konkursowej Hackathonu Muweilah Wesgreen. Strona `schedule.html` przed 17 listopada 2024 roku zawierała linki do `Leostop`, strony hostującej złośliwy plik JavaScript, który był uruchamiany podczas działania bootstrap oraz jQuery.
Wersja 8.2.0 AVSCMS zawiera podatność umożliwiającą przesyłanie dowolnych plików poprzez komponent /main/fileupload.php, co pozwala atakującym na wykonanie dowolnego kodu poprzez przesłanie odpowiednio przygotowanego pliku.
W podatności o nazwie Insecure Permissions w Micro-star International MSI Center Pro 2.1.37.0, lokalny atakujący może wykonać dowolny kod poprzez plik Device_DeviceID.dat.bak znajdujący się w folderze C:\ProgramData\MSI\One Dragon Center\Data.
W usłudze wssrvc.exe programu QuickHeal Antivirus Pro w wersji v24.0 oraz Quick Heal Total Security w wersji v24.0 występuje problem, który pozwala uwierzytelnionym atakującym na eskalację uprawnień.
Cobbler, serwer instalacyjny Linux, ma lukę w autoryzacji, która występuje od wersji 3.0.0 do 3.2.2 oraz 3.3.6. Funkcja `utils.get_shared_secret()` zawsze zwraca `-1`, co pozwala każdemu na połączenie się z XML-RPC Cobblera jako użytkownik `''` z hasłem `-1` i wprowadzenie dowolnych zmian.
A privilege escalation vulnerability in Palo Alto Networks PAN-OS software allows a PAN-OS administrator with access to the management web interface to perform actions on the firewall with root privileges. Cloud NGFW and Prisma Access are not impacted by this vulnerability.
W podatności CVE-2024-52424 występuje atak typu Cross-Site Request Forgery (CSRF) w wtyczce wp-login customizer, który umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji wtyczki od n/a do 1.0 włącznie.
An authentication bypass in Palo Alto Networks PAN-OS software allows an unauthenticated attacker with network access to the management web interface to gain PAN-OS administrator privileges. Affects PAN-OS 10.2, 11.0, 11.1, and 11.2. Risk can be reduced by restricting access to the management interface to trusted IPs.
Wiele produktów Cisco jest podatnych na lukę w dekoderze ramek Ethernet w silniku detekcji Snort, która może pozwolić nieautoryzowanemu, sąsiedniemu atakującemu na spowodowanie stanu odmowy usługi (DoS). Luka ta wynika z niewłaściwego przetwarzania warunków błędów podczas obsługi ramek Ethernet.
W podatności CVE-2024-52436 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do ataku typu Blind SQL Injection w wtyczce Post SMTP autorstwa Saada Iqbala. Problem dotyczy wersji Post SMTP od n/a do 2.9.9 włącznie.
W podatności CVE-2024-52435 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Shahjada WPDM – Premium Packages. Problem dotyczy wersji WPDM – Premium Packages od n/a do 6.0.5 włącznie.
Podatność CVE-2024-52434 dotyczy deserializacji niezaufanych danych w wtyczce Popup by Supsystic, co umożliwia wstrzykiwanie poleceń. Problem ten dotyczy wersji wtyczki od n/a do 1.10.29.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS