CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.27)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
A denial-of-service vulnerability in the Multi-Factor Authentication module in Liferay DXP 7.3 before fix pack 1 allows remote authenticated attackers to prevent any user from authenticating by enabling TOTP on behalf of another user or modifying the other user's TOTP shared secret.
JSON web services in Liferay Portal 7.3.4 and earlier, and Liferay DXP 7.0 before fix pack 97, 7.1 before fix pack 20, and 7.2 before fix pack 10 may return overly verbose error messages. Remote attackers can use the content of these error messages to launch more focused attacks via crafted inputs.
Cross-site scripting (XSS) vulnerability in the Asset module's categories administration page in Liferay Portal 7.3.4 allows remote attackers to inject arbitrary web script or HTML via the site name.
In the Linux kernel before 5.12.4, net/bluetooth/hci_event.c has a use-after-free when destroying an hci_chan, leading to writing an arbitrary value.
The Linux kernel before 5.11.14 has a use-after-free in cipso_v4_genopt in net/ipv4/cipso_ipv4.c because the CIPSO and CALIPSO refcounting for the DOI definitions is mishandled. This leads to writing an arbitrary value.
An improper authorization vulnerability has been reported in QNAP NAS running HBS 3 (Hybrid Backup Sync). If exploited, the vulnerability allows remote attackers to log in to a device without proper authorization.
A use-after-free vulnerability in NFC sockets in the Linux kernel before 5.12.4 allows local attackers to elevate privileges. In typical configurations, the issue can only be triggered by a privileged local user with the CAP_NET_RAW capability.
Zidentyfikowano podatność w panelach SIMATIC HMI Comfort oraz w systemie WinCC Runtime Advanced, która dotyczy wersji przed określonymi aktualizacjami. Problem polega na wycieku pamięci w obsłudze układu urządzenia po stronie klienta, co może prowadzić do stanu Denial-of-Service.
Zidentyfikowano podatność w różnych modelach paneli HMI SIMATIC oraz systemach SINAMICS, które mogą być narażone na atak zdalny. Atakujący może wysłać specjalnie przygotowane pakiety do obsługi układu SmartVNC, co może prowadzić do zużycia zasobów i stanu Denial-of-Service (nieskończona pętla).
Zidentyfikowano podatność w różnych modelach paneli HMI SIMATIC oraz systemach SINAMICS, która dotyczy nieprawidłowego dostępu do pamięci w obsłudze układu urządzenia. Może to prowadzić do wykonania złośliwego kodu.
Zidentyfikowano podatność w panelach SIMATIC HMI Comfort Outdoor oraz KTP Mobile, a także w systemie SIMATIC WinCC Runtime Advanced oraz różnych wersjach SINAMICS. Problem dotyczy wycieku pamięci w serwerze Tight encoder SmartVNC, co może prowadzić do stanu Denial-of-Service.
Zidentyfikowano podatność w panelach SIMATIC HMI Comfort Outdoor oraz KTP Mobile, a także w oprogramowaniu SIMATIC WinCC Runtime Advanced. Problem dotyczy nieprawidłowego obsługiwania wyjątków przez klienta SmartVNC, co może prowadzić do stanu Denial-of-Service.
Zidentyfikowano podatność w panelach SIMATIC HMI Comfort Outdoor oraz KTP Mobile, a także w SIMATIC WinCC Runtime Advanced, które są w wersjach poniżej określonych aktualizacji. Podatność ta dotyczy nieprawidłowego dostępu do pamięci w SmartVNC, co może prowadzić do awarii usługi.
Zidentyfikowano podatność w panelach SIMATIC HMI Comfort Outdoor oraz KTP Mobile, a także w SIMATIC WinCC Runtime Advanced, które są w wersjach poniżej określonych aktualizacji. Podatność ta dotyczy błędnego dostępu do pamięci w SmartVNC, co może prowadzić do awarii usługi.
Podatność CVE-2021-23892 dotyczy warunków wyścigu TOCTOU podczas instalacji Endpoint Security for Linux Threat Prevention i Firewall, co pozwala lokalnemu użytkownikowi na eskalację uprawnień do poziomu administratora. Wykorzystując tę lukę, można uruchomić dowolny kod poprzez niebezpieczne użycie przewidywalnych lokalizacji plików tymczasowych.
W urządzeniach Samsung Galaxy S3 i9305 w wersji 4.4.4 odkryto problem związany z implementacją WPA, WPA2 i WPA3, która ponownie składa fragmenty z niekonsekwentnymi numerami pakietów. Atakujący może wykorzystać tę podatność do wykradania wybranych fragmentów.
Microsoft Exchange Server Security Feature Bypass Vulnerability.
A remote code execution vulnerability exists in the HTTP Protocol Stack. Technical details are not provided in the description.
InvoicePlane 1.5.11 discloses the full path of the file upload directory when using the upload feature.
The Arm Mali GPU kernel driver allows privilege escalation or denial of service (memory corruption) because an unprivileged user can achieve read/write access to read-only pages. Affects Bifrost r0p0 through r29p0 before r30p0, Valhall r19p0 through r29p0 before r30p0, and Midgard r8p0 through r30p0 before r31p0.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS