CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.10.04)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Problem został rozwiązany poprzez poprawę kontroli. Aplikacja może być w stanie wydostać się ze swojego piaskownicy, co stwarza potencjalne zagrożenie dla bezpieczeństwa systemu.
W podatności CVE-2024-34800 występuje brak autoryzacji w narzędziu Crafthemes Demo Import, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem ten dotyczy wersji Crafthemes Demo Import od n/a do 3.3 włącznie.
W podatności CVE-2024-34762 zidentyfikowano problem związany z niewłaściwym ograniczeniem ścieżki do zastrzeżonego katalogu, co prowadzi do możliwości lokalnego włączenia plików PHP w wtyczce Advanced Custom Fields PRO. Dotyczy to wersji przed 6.2.10.
W podatności CVE-2024-34761 zidentyfikowano problem z nieprawidłową kontrolą generacji kodu ('Code Injection') w WPENGINE INC Advanced Custom Fields PRO, co pozwala na wstrzykiwanie kodu. Problem ten dotyczy wersji Advanced Custom Fields PRO od n/a do 6.2.10.
Wersja 31.66 SiSoftware SANDRA (SANDRA.sys 15.18.1.1) i wcześniejsze zawierają lukę, która pozwala atakującemu na eskalację uprawnień poprzez wysłanie spreparowanego bufora do sterownika jądra za pomocą interfejsu API DeviceIoControl w systemie Windows.
W programach FinalWire AIRDA Extreme, AIDA64 Engineer, AIDA64 Business oraz AIDA64 Network Audit w wersji 7.00.6700 i wcześniejszych występuje problem, który pozwala lokalnemu atakującemu na eskalację uprawnień poprzez wywołanie DeviceIoControl związane z komponentami MmMapIoSpace, IoAllocateMdl, MmBuildMdlForNonPagedPool lub MmMapLockedPages.
W routerze Comtrend WLD71-T1_v2.0.201820, w wersji GRG-4280us, występuje podatność na wstrzykiwanie poleceń. Umożliwia to uwierzytelnionemu użytkownikowi wykonanie poleceń wewnątrz routera poprzez wysłanie żądania POST do adresu URL “/boaform/admin/formUserTracert”.
A race condition in the Linux kernel's __dst_negative_advice() function fails to enforce proper RCU rules when clearing sk->dst_cache, potentially leading to a use-after-free (UAF). The issue primarily affects UDP sockets and requires the correct order of operations: first reset sk_dst_cache, then release the old dst.
In PHP versions 8.1.* before 8.1.29, 8.2.* before 8.2.20, 8.3.* before 8.3.8, when using Apache and PHP-CGI on Windows, if the system is set up to use certain code pages, Windows may use "Best-Fit" behavior to replace characters in command line given to Win32 API functions. PHP CGI module may misinterpret those characters as PHP options, which may allow a malicious user to pass options to PHP binary being run, and thus reveal the source code of scripts, run arbitrary PHP code on the server, etc.
W ARForms występuje luka związana z brakiem autoryzacji, która dotyczy wersji od n/a do 6.4 włącznie. Problem ten może prowadzić do nieautoryzowanego dostępu do funkcji aplikacji.
W ARForms występuje luka związana z brakiem autoryzacji, która dotyczy wersji od n/a do 6.4. Problem ten może prowadzić do nieautoryzowanego dostępu do funkcji aplikacji.
Podatność typu 'Path Traversal' w ARForms od reputeinfosystems pozwala na nieprawidłowe ograniczenie ścieżki do zastrzeżonego katalogu. Problem ten dotyczy wersji ARForms od n/a do 6.4 włącznie.
W podatności CVE-2024-32715 występuje brak autoryzacji w wtyczce Olive One Click Demo Import, co może prowadzić do nieautoryzowanego dostępu. Problem dotyczy wersji od n/a do 1.1.1.
Podatność typu 'Path Traversal' w aplikacji Contest Gallery pozwala na nieprawidłowe ograniczenie ścieżki do zastrzeżonego katalogu. Dotyczy to wersji Contest Gallery od n/a do 21.3.4.
W BizPrint, produkcie marki CPF Concepts, LLC, występuje luka związana z brakiem autoryzacji. Problem ten dotyczy wersji od n/a do 4.3.39.
W podatności CVE-2024-35694 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji WPMobile.App w wersjach od n/a do 11.41. Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
W podatności CVE-2024-35693 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji AA Web Servant 12 Step Meeting List w wersjach od n/a do 3.14.33 włącznie.
Podatność CVE-2024-35679 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce GiveWP w wersjach od n/a do 3.12.0. Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
fprintd w wersji do 1.94.3 nie posiada mechanizmu uwagi bezpieczeństwa, co może prowadzić do nieautoryzowanych działań przez 'auth sufficient pam_fprintd.so' w Sudo. Dostawca kwestionuje ten problem, twierdząc, że rozwiązanie wymagałoby zmiany konfiguracji PAM, a nie samego pam_fprintd.so lub fprintd.
Wtyczka SKT Addons for Elementor dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez widżety Age Gate i Creative Slider we wszystkich wersjach do 2.0 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych dla atrybutów dostarczanych przez użytkowników. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współpracownika i wyżej wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS