CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.10.04)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Domyślnie dedykowane foldery ZONECENTRAL dla systemu Windows do wersji 2024.3 lub do wersji Q.2021.2 (zgłoszenie kwalifikacyjne ANSSI) mogą być dostępne dla innych użytkowników, co umożliwia nadużycie plików technicznych i wykonywanie zadań z wyższymi uprawnieniami. Należy zmodyfikować konfigurację ZONECENTRAL, aby zapobiec tej podatności.
Domyślnie dedykowane foldery ORIZON dla systemu Windows do wersji 2024.3 mogą być dostępne dla innych użytkowników, co pozwala na nadużywanie plików technicznych i wykonywanie zadań z wyższymi uprawnieniami. Należy zmodyfikować konfigurację ORIZON, aby zapobiec tej podatności.
Domyślnie dedykowane foldery ZEDMAIL dla systemu Windows do wersji 2024.3 mogą być dostępne dla innych użytkowników, co umożliwia nadużywanie plików technicznych i wykonywanie zadań z wyższymi uprawnieniami. Należy zmodyfikować konfigurację ZEDMAIL, aby zapobiec tej podatności.
The Hathway Skyworth CM5100-511 router version 4.1.1.24 stores sensitive information about USB and Wi-Fi connected devices in plaintext. This means anyone with access to the router's storage can read this data.
A vulnerability in payload inspection for Ethernet Industrial Protocol (ENIP) traffic in Cisco Firepower Threat Defense (FTD) Software could allow an unauthenticated, remote attacker to bypass configured rules for ENIP traffic. This is due to incomplete processing during deep packet inspection. An attacker could exploit this by sending a crafted ENIP packet, potentially bypassing access control and intrusion policies.
W KASO v9.0 odkryto podatność na wstrzykiwanie SQL poprzez parametr person_id w ścieżce /cardcase/editcard.jsp.
System zamawiania jedzenia python_food w wersji 1.0 posiada lukę, która umożliwia nieautoryzowany dostęp do wrażliwych informacji użytkowników. Atakujący mogą uzyskać dostęp do tych danych, modyfikując wartość ID w żądaniu API.
A vulnerability in the Modbus preprocessor of the Snort detection engine could allow an unauthenticated, remote attacker to cause a denial of service (DoS). The issue is due to an integer overflow while processing Modbus traffic. Exploitation involves sending crafted Modbus traffic.
Podatność w implementacji CLI na urządzeniu działającym na ConfD umożliwia uwierzytelnionemu, lokalnemu atakującemu przeprowadzenie ataku typu injection komend. Problem wynika z niewystarczającej walidacji argumentu procesu na podatnym urządzeniu.
Podatność w Cisco RCM dla oprogramowania Cisco StarOS może umożliwić nieautoryzowanemu, zdalnemu atakującemu wykonanie zdalnego kodu z uprawnieniami roota w kontekście skonfigurowanego kontenera. Problem wynika z nieprawidłowo włączonego trybu debugowania dla określonych usług.
Podatność w lokalnym interfejsie serwera Cisco BroadWorks Network może pozwolić nieautoryzowanemu, zdalnemu atakującemu na wyczerpanie zasobów systemowych, co prowadzi do stanu odmowy usługi (DoS). Problem wynika z braku ograniczenia szybkości dla niektórych przychodzących połączeń TCP.
An XSS issue was discovered in MDaemon Email Server before version 24.5.1c. An attacker can send an HTML e-mail message with JavaScript in an img tag, which could allow a remote attacker to load arbitrary JavaScript code in the context of a webmail user's browser window.
Podatność typu Origin Validation Error w systemach kontroli obecności pracowników (PACS) oraz systemach zabezpieczeń dostępu (ACSS) firmy Dataprom umożliwia wstrzykiwanie ruchu. Problem ten dotyczy wersji przed rokiem 2024.
Wtyczka Tripetto dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez przesyłanie plików we wszystkich wersjach do 8.0.11 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane przy każdym dostępie użytkownika do pliku.
Certain EOL GeoVision devices have an OS Command Injection vulnerability. Unauthenticated remote attackers can exploit this to inject and execute arbitrary system commands on the device. This vulnerability has already been exploited.
Podatność typu Cross-Site Request Forgery (CSRF) w aplikacji gentlesource Appointmind umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Appointmind od n/a do 4.0.0 włącznie.
W podatności CVE-2024-51659 występuje atak typu Cross-Site Request Forgery (CSRF) w GeekRMX Twitter @Anywhere Plus, który umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji Twitter @Anywhere Plus od n/a do 2.0 włącznie.
Podatność CSRF w WP Course Manager autorstwa Henrika Hoffa umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji WP Course Manager od n/a do 1.3 włącznie.
Wentylator nie przeprowadza odpowiednich kontroli integralności plików podczas przyjmowania aktualizacji oprogramowania. Umożliwia to atakującemu wymuszenie nieautoryzowanych zmian w ustawieniach konfiguracyjnych urządzenia oraz/lub kompromitację funkcjonalności urządzenia poprzez wgranie złośliwego lub nielegalnego pliku oprogramowania.
Port debugowania na interfejsie szeregowym wentylatora jest domyślnie włączony. Może to umożliwić atakującemu wysyłanie i odbieranie niezaszyfrowanych wiadomości przez ten port, co prowadzi do nieautoryzowanego ujawnienia informacji oraz niezamierzonych wpływów na ustawienia i wydajność urządzenia.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS