CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.27)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Urządzenia Echelon SmartServer 1, SmartServer 2 (wszystkie wersje przed wydaniem 4.11.007), i.LON 100 oraz i.LON 600 umożliwiają domyślnie niezaszyfrowane połączenia Web. Dodatkowo, urządzenia mogą otrzymywać aktualizacje konfiguracji i oprogramowania za pomocą niezabezpieczonego FTP.
Urządzenia Echelon SmartServer 1, SmartServer 2 (wszystkie wersje przed wydaniem 4.11.007), i.LON 100 oraz i.LON 600 przechowują hasła w postaci niezaszyfrowanej. To może umożliwić atakującemu, który ma dostęp do pliku konfiguracyjnego, zalogowanie się do interfejsu użytkownika SmartServer.
Podatność CVE-2018-10627 dotyczy wszystkich wersji Echelon SmartServer 1, wszystkich wersji SmartServer 2 przed wydaniem 4.11.007 oraz wszystkich wersji i.LON 100. Atakujący może wykorzystać API SOAP do uzyskania dostępu i zmiany wrażliwych elementów konfiguracyjnych, takich jak nazwy użytkowników i hasła do serwerów WWW i FTP.
A remote code execution vulnerability exists within multiple subsystems of Drupal 7.x and 8.x. This potentially allows attackers to exploit multiple attack vectors on a Drupal site, which could result in the site being compromised. This vulnerability is related to Drupal core - Highly critical - Remote Code Execution - SA-CORE-2018-002. Both SA-CORE-2018-002 and this vulnerability are being exploited in the wild.
W wersji 1.8.1 biblioteki libsixel występuje wyciek pamięci w funkcji sixel_allocator_new w pliku allocator.c. Problem ten może prowadzić do nieefektywnego zarządzania pamięcią w aplikacjach korzystających z tej biblioteki.
W wersji 1.8.1 biblioteki libsixel występuje wyciek pamięci w funkcjach sixel_decoder_decode w pliku decoder.c, image_buffer_resize w pliku fromsixel.c oraz sixel_decode_raw w pliku fromsixel.c.
A remote code execution vulnerability exists in the way that the ChakraCore scripting engine handles objects in memory. This affects ChakraCore.
Adobe Flash Player versions 29.0.0.171 and earlier have a Stack-based buffer overflow vulnerability. Successful exploitation could lead to arbitrary code execution in the context of the current user.
Adobe Acrobat and Reader versions 2018.011.20038 and earlier, 2017.011.30079 and earlier, and 2015.006.30417 and earlier have a Double Free vulnerability. Successful exploitation could lead to arbitrary code execution in the context of the current user.
W libpng w wersji 1.6.34 występuje błąd w obliczeniach row_factor w funkcji png_check_chunk_length, co może prowadzić do przepełnienia całkowitego i dzielenia przez zero podczas przetwarzania spreparowanego pliku PNG, skutkując awarią usługi.
In Info-ZIP Zip 3.0, when the -T and -TT command-line options are used, attackers can cause a denial of service (invalid free and application crash) or possibly have unspecified other impact because of an off-by-one error. Note that it is unclear whether there are realistic scenarios in which an untrusted party controls the -TT value, given that the entire purpose of -TT is execution of arbitrary commands.
An issue was discovered in PRTG Network Monitor before 18.2.39. An attacker who has access to the PRTG System Administrator web console with administrative privileges can exploit an OS command injection vulnerability (both on the server and on devices) by sending malformed parameters in sensor or notification management scenarios.
Spring Framework (versions 5.0.x prior to 5.0.7, 4.3.x prior to 4.3.18, and older unsupported versions) allows web applications to change the HTTP request method to any method (including TRACE) using the HiddenHttpMethodFilter in Spring MVC. If an application has a pre-existing XSS vulnerability, an attacker can use this filter to escalate to an XST (Cross Site Tracing) attack.
An issue was discovered in app/Controller/UsersController.php in MISP 2.4.92 that allows an adversary to bypass brute-force protection. This can be done by using the PUT HTTP method instead of POST in the login part, as the protection only covered POST requests.
Urządzenia Reliable Controls MACH-ProWebCom w wersji 7.80 pozwalają zdalnym atakującym na uzyskanie wrażliwych informacji poprzez bezpośrednie żądanie plików data/fileinfo.xml lub job/job.json, co zostało zademonstrowane na przykładzie pola hasła głównego.
In Mirasys DVMS Workstation 5.12.6 and earlier, a path traversal vulnerability in Gateway allows an attacker to traverse the file system to access files or directories via the Web Client webserver.
LibTomCrypt w wersjach do 1.18.1 umożliwia atak typu side-channel na podpisy ECDSA, znany jako Powrót Ukrytego Problemu Liczbowego (ROHNP). Aby odkryć klucz ECDSA, atakujący musi mieć dostęp do lokalnej maszyny lub innej maszyny wirtualnej na tym samym fizycznym hoście.
VMware NSX SD-WAN Edge by VeloCloud prior to version 3.1.0 contains a command injection vulnerability in the local web UI component. This component is disabled by default and should not be enabled on untrusted networks. Successful exploitation of this issue could result in remote code execution.
A use-after-free vulnerability in SVG Animation has been discovered. An exploit built on this vulnerability has been discovered in the wild targeting Firefox and Tor Browser users on Windows. This vulnerability affects Firefox < 50.0.2, Firefox ESR < 45.5.1, and Thunderbird < 45.5.1.
A vulnerability in the web interface of Cisco ASA could allow an unauthenticated, remote attacker to cause an unexpected reload, resulting in DoS. In certain releases, directory traversal could also allow unauthenticated disclosure of sensitive system information. The issue is due to lack of proper input validation of the HTTP URL.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS