CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.10.04)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
W Lenovo Leyun zgłoszono podatność na hijacking DLL, która może umożliwić lokalnemu atakującemu wykonanie kodu z podwyższonymi uprawnieniami.
Podatność CVE-2024-9002 dotyczy niewłaściwego zarządzania uprawnieniami, co może prowadzić do nieautoryzowanego dostępu oraz utraty poufności, integralności i dostępności stacji roboczej. Problem występuje, gdy użytkownik niebędący administratorem próbuje przeprowadzić eskalację uprawnień poprzez manipulację binariami.
Występuje podatność CWE-347 związana z niewłaściwą weryfikacją podpisu kryptograficznego w oprogramowaniu Data Center Expert. Może to prowadzić do kompromitacji systemu, gdy pakiet aktualizacyjny zostanie zmanipulowany, aby zawierał dowolne skrypty bash, które są wykonywane z uprawnieniami roota.
Wtyczka GutenKit – Bloki, Wzory i Szablony dla edytora bloków Gutenberg w WordPressie jest podatna na nieautoryzowane przesyłanie plików z powodu braku sprawdzenia uprawnień w funkcji install_and_activate_plugin_from_external() (punkt końcowy REST API install-active-plugin) we wszystkich wersjach do i włącznie z 2.1.0. Umożliwia to nieautoryzowanym atakującym instalację i aktywację dowolnych wtyczek lub przesyłanie plików podszywających się pod wtyczki.
W podatności typu Server-Side Request Forgery (SSRF) w oprogramowaniu firmware urządzenia SMA1000 w wersjach 12.4.3-02676 i wcześniejszych, zdalny, nieautoryzowany atakujący może spowodować, że aplikacja serwerowa SMA1000 wykona żądania do niezamierzonego adresu IP.
Podatność 'Niewłaściwe rozwiązywanie linków przed dostępem do pliku' w SonicWall Connect Tunnel (wersja 12.4.3.271 i wcześniejsze dla klienta Windows) pozwala użytkownikom z standardowymi uprawnieniami na usuwanie dowolnych folderów i plików, co może prowadzić do ataku eskalacji uprawnień lokalnych.
Wszystkie wersje pakietu jsonpath-plus są podatne na zdalne wykonanie kodu (RCE) z powodu niewłaściwej sanitizacji danych wejściowych. Atakujący może wykonać dowolny kod na systemie, wykorzystując niebezpieczne domyślne użycie vm w Node.
Podatność CVE-2024-47636 dotyczy deserializacji niezaufanych danych w wtyczce JobSearch dla WordPressa, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki od n/a do 2.5.9.
W podatności CVE-2024-4658 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie TE Informatics Nova CMS w wersjach przed 5.0.
This CVE ID has been rejected or withdrawn by its CVE Numbering Authority. It does not contain a description of an actual vulnerability.
Wtyczka TS Poll – Survey, Versus Poll, Image Poll, Video Poll dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr 'orderby' we wszystkich wersjach do 2.4.0 włącznie, z powodu niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Administratora i wyżej dodawanie dodatkowych zapytań SQL do już istniejących zapytań.
This CVE has been rejected or withdrawn by its CVE Numbering Authority.
This CVE has been rejected or withdrawn by its CVE Numbering Authority. It contains no vulnerability information.
W Keycloak znaleziono lukę, która pozwala użytkownikom o niskich uprawnieniach uzyskać dostęp do funkcji administracyjnych w niektórych punktach końcowych REST API. Ta wada umożliwia użytkownikom wykonywanie działań zarezerwowanych dla administratorów, co może prowadzić do naruszenia danych lub kompromitacji systemu.
An SQL injection vulnerability in Palo Alto Networks Expedition allows an unauthenticated attacker to reveal database contents, such as password hashes, usernames, device configurations, and API keys. Attackers can also create and read arbitrary files on the system.
An OS command injection vulnerability in Palo Alto Networks Expedition allows an unauthenticated attacker to run arbitrary OS commands as root in Expedition, resulting in disclosure of usernames, cleartext passwords, device configurations, and device API keys of PAN-OS firewalls.
A loop hole in the payment logic of Sparkshop v1.16 allows attackers to arbitrarily modify the number of products.
W Trusted Firmware-M do wersji 2.1.0 odkryto problem związany z niezweryfikowanymi wskaźnikami list argumentów w wiadomościach skrzynki pocztowej. W wyniku tego atakujący może zapisać dane w dowolnym miejscu w zabezpieczonym oprogramowaniu, co prowadzi do możliwości zdalnego wykonania kodu (RCE).
Wersje libcoap do 4.3.5-rc2 zawierają błąd dereferencji wskaźnika NULL, który może być wykorzystany przez zdalnego atakującego do wywołania odmowy usługi poprzez funkcję coap_handle_request_put_block w pliku src/coap_block.c.
W wersjach FydeOS for PC 17.1 R114, FydeOS for VMware 17.0 R114, FydeOS for You 17.1 R114 oraz OpenFyde R114 odkryto, że hasło roota jest zapisane jako znak wieloznaczny. Umożliwia to atakującym uzyskanie dostępu do konta roota bez podawania hasła.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS