CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.27)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
W systemie Windows DNS występuje podatność na atak typu denial of service, która wynika z nieprawidłowego przetwarzania zapytań. Udało się zidentyfikować, że uwierzytelniony atakujący może wysłać złośliwe zapytania DNS, co prowadzi do unieruchomienia usługi DNS.
W systemie występuje lokalna podatność na podniesienie uprawnień, związana z obsługą określonych wywołań przez splwow64.exe. Atakujący, który skutecznie wykorzysta tę podatność, może podnieść swoje uprawnienia z niskich do średnich na zaatakowanym systemie.
Występuje podatność na podniesienie uprawnień, gdy usługi katalogu kryptograficznego systemu Windows niewłaściwie obsługują obiekty w pamięci. Atakujący, który skutecznie wykorzysta tę podatność, mógłby zmodyfikować katalog kryptograficzny.
Występuje podatność na podniesienie uprawnień, gdy Microsoft Store Runtime niewłaściwie zarządza pamięcią. Aby wykorzystać tę podatność, atakujący musi najpierw uzyskać dostęp do systemu ofiary, a następnie uruchomić specjalnie przygotowaną aplikację w celu podniesienia uprawnień.
Istnieje podatność na zdalne wykonanie kodu, gdy zintegrowany z Active Directory DNS (ADIDNS) niewłaściwie obsługuje obiekty w pamięci. Uwierzytelniony atakujący, który skutecznie wykorzysta tę podatność, może uruchomić dowolny kod w kontekście konta systemowego lokalnego.
Istnieje podatność na zdalne wykonanie kodu, gdy zintegrowany z Active Directory DNS (ADIDNS) niewłaściwie obsługuje obiekty w pamięci. Uwierzytelniony atakujący, który skutecznie wykorzysta tę podatność, może uruchomić dowolny kod w kontekście konta systemowego lokalnego.
Występuje podatność na podniesienie uprawnień, gdy aplikacja serwisowa RSoP w systemie Windows niewłaściwie zarządza pamięcią. Aby wykorzystać tę podatność, atakujący musi najpierw uzyskać dostęp do systemu ofiary, a następnie uruchomić specjalnie przygotowaną aplikację w celu podniesienia uprawnień.
W systemie Patient Information Center iX (PICiX) w wersjach B.02, C.02, C.03 oraz PerformanceBridge Focal Point w wersji A.01, oprogramowanie nie weryfikuje lub niewystarczająco weryfikuje tożsamość podmiotu, który twierdzi, że posiada daną tożsamość.
Zidentyfikowano podatność w rodzinie CPU SIMATIC S7-300, S7-400, WinAC RTX (F) 2010 oraz SINUMERIK 840D sl. Protokół uwierzytelniania między klientem a PLC przez port 102/tcp (ISO-TSAP) niewystarczająco chroni przesyłane hasło.
Zidentyfikowano podatność w panelach HMI SIMATIC 2. generacji oraz w innych wariantach, które nie blokują wystarczająco nadmiernych prób uwierzytelnienia. To może umożliwić zdalnemu atakującemu odkrycie haseł użytkowników i uzyskanie dostępu do serwera Sm@rt poprzez atak typu brute-force.
The File Manager (wp-file-manager) plugin before 6.9 for WordPress allows remote attackers to upload and execute arbitrary PHP code because it renames an unsafe example elFinder connector file to have the .php extension. It was exploited in the wild in August and September 2020.
A Cross-site scripting (XSS) vulnerability in 'user-profile.php' in SourceCodester Daily Tracker System v1.0 allows remote attackers to inject arbitrary web script or HTML via the 'fullname' parameter.
A vulnerability in the REST API of Cisco Enterprise NFV Infrastructure Software (NFVIS) could allow an authenticated, remote attacker to overwrite certain files that should be restricted on an affected device. The vulnerability is due to insufficient authorization enforcement on an affected system. An attacker could exploit this vulnerability by uploading a file using the REST API. A successful exploit could allow an attacker to overwrite and upload files, which could degrade the functionality of the affected system.
A vulnerability in directory permissions of Cisco Enterprise NFV Infrastructure Software (NFVIS) could allow an authenticated, remote attacker to perform a directory traversal attack on a limited set of restricted directories. The issue is due to a flaw in the logic governing directory permissions. Successful exploitation could allow overwriting files on the device.
A SQL injection vulnerability in the login mechanism of Sourcecodetester Daily Tracker System 1.0 allows an unauthenticated attacker to bypass authentication by injecting SQL code via the email parameter.
An issue was discovered on D-Link DCS-2530L before 1.06.01 Hotfix and DCS-2670L through 2.02 devices. The cgi-bin/ddns_enc.cgi endpoint allows authenticated command injection.
An issue was discovered on D-Link DCS-2530L before 1.06.01 Hotfix and DCS-2670L through 2.02 devices. The unauthenticated /config/getuser endpoint allows for remote administrator password disclosure.
A vulnerability in Trend Micro Apex One and Worry-Free Business Security 10.0 SP1 on Microsoft Windows may allow an attacker to manipulate a particular product folder to temporarily disable security, abuse a specific Windows function, and attain privilege escalation. An attacker must first obtain the ability to execute low-privileged code on the target system.
Stored XSS vulnerability in Spiceworks version 7.5.00107 and earlier. An attacker can inject malicious JavaScript via the name field in the Custom Groups function, which is displayed without sanitization on the /inventory/groups/ page.
TP-Link TL-WA855RE V5 20200415-rel37464 devices allow an unauthenticated attacker (on the same network) to submit a TDDP_RESET POST request for a factory reset and reboot. The attacker can then obtain incorrect access control by setting a new administrative password.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS