CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.27)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
W produkcie PowerLogic firmy Schneider Electric (PM5560 przed wersją FW 2.5.4) występuje podatność na wstrzykiwanie między protokołami. Podatność ta umożliwia atak typu cross site scripting w przeglądarce internetowej urządzenia, co pozwala na manipulację danymi wejściowymi i wykonanie kodu JavaScript.
W produkcie Modicon M221 firmy Schneider Electric występuje podatność związana z niewłaściwym sprawdzaniem nietypowych lub wyjątkowych warunków. Umożliwia to nieautoryzowanym użytkownikom zdalne ponowne uruchomienie urządzenia Modicon M221 za pomocą spreparowanych ramek protokołu programowania.
Apache Struts versions 2.3 to 2.3.34 and 2.5 to 2.5.16 suffer from possible Remote Code Execution when alwaysSelectFullNamespace is true (either by user or a plugin like Convention Plugin) and then: results are used with no namespace and at the same time, its upper package has no or wildcard namespace; similarly when using url tag which doesn't have value and action set and at the same time, its upper package has no or wildcard namespace.
The raw MIDI kernel driver lacks protection against concurrent access, causing a double free in snd_rawmidi_input_params() and snd_rawmidi_output_status() within the snd_rawmidi_ioctl() handler in rawmidi.c. A local attacker could exploit this for privilege escalation.
A remote code execution vulnerability exists when the Windows Shell does not properly validate file paths. This affects Windows 10 Servers, Windows 10.
An elevation of privilege vulnerability exists when the DirectX Graphics Kernel (DXGKRNL) driver improperly handles objects in memory. This affects Windows Server 2016, Windows 10, Windows 10 Servers.
An elevation of privilege vulnerability exists when the DirectX Graphics Kernel (DXGKRNL) driver improperly handles objects in memory. This affects Windows Server 2012 R2, Windows RT 8.1, Windows Server 2016, Windows 8.1, Windows 10, Windows 10 Servers.
A remote code execution vulnerability exists in the way that the scripting engine handles objects in memory in Internet Explorer. This affects Internet Explorer 9, Internet Explorer 11, Internet Explorer 10.
Systemy z mikroprocesorami wykorzystującymi spekulacyjną egzekucję i translacje adresów mogą umożliwić nieautoryzowane ujawnienie informacji znajdujących się w pamięci podręcznej L1. Atakujący z lokalnym dostępem użytkownika i uprawnieniami gościa systemu operacyjnego może wykorzystać błąd strony terminala oraz analizę kanału bocznego.
Systemy z mikroprocesorami wykorzystującymi spekulacyjną egzekucję i translacje adresów mogą umożliwić nieautoryzowane ujawnienie informacji znajdujących się w pamięci podręcznej L1. Atakujący z lokalnym dostępem użytkownika może wykorzystać błąd strony terminala oraz analizę kanałów bocznych.
Systemy z mikroprocesorami wykorzystującymi spekulacyjną egzekucję oraz rozszerzenia zabezpieczeń Intel (Intel SGX) mogą umożliwiać nieautoryzowane ujawnienie informacji znajdujących się w pamięci podręcznej L1 z enclave do atakującego z lokalnym dostępem użytkownika poprzez analizę kanałów bocznych.
The Medtronic MyCareLink Patient Monitor uses per-product credentials that are stored in a recoverable format. An attacker can use these credentials for network authentication.
In Laravel Framework through 5.5.40 and 5.6.x through 5.6.29, remote code execution might occur as a result of an unserialize call on a potentially untrusted X-XSRF-TOKEN value. This involves the decrypt method in Illuminate/Encryption/Encrypter.php and PendingBroadcast in gadgetchains/Laravel/RCE/3/chain.php in phpggc. The attacker must know the application key, which normally would never occur, but could happen if the attacker previously had privileged access or successfully accomplished a previous attack.
upgrade_handle.php on NUUO NVRmini devices allows Remote Command Execution via shell metacharacters in the uploaddir parameter for a writeuploaddir command.
In SecurityCenter versions prior to 5.7.0, a cross-site scripting (XSS) issue allows an authenticated attacker to inject JavaScript code into an image filename parameter within the Reports feature area.
In SecurityCenter versions prior to 5.7.0, a username enumeration issue allows an unauthenticated attacker to automate discovery of username aliases via brute force, potentially facilitating unauthorized access.
MikroTik RouterOS through 6.42 allows unauthenticated remote attackers to read arbitrary files and remote authenticated attackers to write arbitrary files due to a directory traversal vulnerability in the WinBox interface.
In Johnson Controls Metasys System Versions 8.0 and prior and BCPro (BCM) all versions prior to 3.0.2, improper error handling in HTTP-based communications with the server could allow an attacker to obtain technical information.
SharpCompress w wersjach przed 0.21.0 jest podatny na atak typu directory traversal, co pozwala atakującym na zapis do dowolnych plików poprzez wykorzystanie sekwencji ../ w wpisie archiwum Zip, który jest niewłaściwie obsługiwany podczas ekstrakcji. Ta podatność jest znana jako 'Zip-Slip'.
Podatność CVE-2018-8859 dotyczy urządzeń Echelon SmartServer 1, SmartServer 2 (wszystkie wersje przed wydaniem 4.11.007), i.LON 100 oraz i.LON 600 (wszystkie wersje). Atakujący może obejść wymaganą autoryzację określoną w pliku konfiguracyjnym bezpieczeństwa, dodając dodatkowe znaki do nazwy katalogu przy określaniu katalogu do uzyskania dostępu.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS