CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.16)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Moduł TLS/SSLv3 na kartach kontrolera Cisco ONS 15454 umożliwia zdalnym atakującym spowodowanie odmowy usługi (reset karty) poprzez specjalnie przygotowane pakiety TLS lub SSLv3.
Oprogramowanie Cisco Adaptive Security Appliance (ASA) nieprawidłowo obsługuje błędy podczas przetwarzania odpowiedzi DNS, co pozwala zdalnym atakującym na spowodowanie odmowy usługi (przeładowanie urządzenia) poprzez sfałszowaną odpowiedź.
DjVuLibre w wersjach przed 3.5.25.3, używany w programach takich jak Evince, Sumatra PDF Reader i VuDroid, umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi (uszkodzenie pamięci) poprzez spreparowany plik DjVu (.djv).
Serwer w Crowbar, używany w SUSE Cloud 1.0, stosuje słabe uprawnienia dla pliku production.log, co może prowadzić do nieokreślonych skutków i wektorów ataku.
yast2-add-on-creator w SUSE inst-source-utils przed wersją 2008.11.26-0.9.1 oraz 2012.9.13-0.8.1 umożliwia lokalnym użytkownikom uzyskanie podwyższonych uprawnień poprzez spreparowaną nazwę pliku lub nazwę katalogu.
W systemie SUSE Linux Enterprise for SAP Applications 11 SP2 przed wersją 1.0.0-0.8.1 występuje warunkowa rywalizacja w sap_suse_cluster_connector, która pozwala lokalnym użytkownikom na nieokreślony wpływ poprzez wektory związane z katalogiem tmp/.
W wersjach yast2-network przed 2.24.4 w SUSE YaST, funkcja save_y2logs zapisuje dane uwierzytelniające Wi-Fi w postaci niezaszyfrowanej do pliku dziennika y2log. To umożliwia atakującym uzyskanie wrażliwych informacji, takich jak hasła do WPA lub klucze klientów.
Nieokreślona podatność w HP Service Manager w wersjach 7.11, 9.21, 9.30, 9.31 i 9.32 oraz ServiceCenter 6.2.8 umożliwia zdalnym atakującym wykonanie dowolnego kodu za pomocą nieznanych wektorów.
VhttpdMgr w Thomson Reuters Velocity Analytics Vhayu Analytic Server w wersji 6.94 build 2995 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez URL w parametrze fileName podczas akcji importFile.
NDProxy.sys w jądrze systemu Microsoft Windows XP SP2 i SP3 oraz Server 2003 SP2 umożliwia lokalnym użytkownikom uzyskanie uprawnień za pomocą spreparowanej aplikacji. Podatność była wykorzystywana w atakach w listopadzie 2013 roku.
W CiviCRM przed wersją 4.2.12, 4.3.x przed 4.3.7 oraz 4.4.x przed 4.4.beta4 występują wielokrotne podatności na wstrzykiwanie SQL w pliku CRM/Core/Page/AJAX/Location.php. Atakujący zdalnie mogą wykonywać dowolne polecenia SQL za pomocą parametru _value w punktach końcowych (1) ajax/jqState lub (2) ajax/jqcounty.
W podatności CVE-2013-6875 występuje luka typu SQL injection w pliku functions/prepend_adm.php w Nagios Core Config Manager w Nagios XI przed wersją 2012R2.4. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru tfPassword w nagiosql/index.php.
W Vortex Light Alloy przed wersją 4.7.4 występuje przepełnienie bufora na stosie, które pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez długi adres URL w pliku .m3u.
Podatność SQL injection w systemie zarządzania testami Testa Online Test Management System (OTMS) w wersji 2.0.0.2 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr test_id.
Podatność na przejście katalogu w Gummy Bear Studios FTP Drive + HTTP Server w wersji 1.0.4 i wcześniejszych umożliwia zdalnym atakującym odczyt dowolnych plików poprzez wykorzystanie ciągu ..%2f (zakodowany znak kropka kropka ukośnik) w żądaniu GET.
Nieokreślona podatność w IBM Java SDK 7.0.0 przed SR6 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez nieokreślone wektory.
Nieokreślona podatność w IBM Java SDK w wersjach 7.0.0 przed SR6, 6.0.1 przed SR7 oraz 6.0.0 przed SR15 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez nieokreślone wektory.
Klasa com.ibm.rmi.io.SunSerializableFactory w IBM Java SDK 7.0.0 przed SR6 pozwala zdalnym atakującym na obejście mechanizmu ochrony piaskownicy i wykonanie dowolnego kodu poprzez deserializację w obrębie bloku doPrivileged AccessController.
Podatność na wstrzykiwanie SQL w funkcji SRTT_GET_COUNT_BEFORE_KEY_RFC w SAP NetWeaver 7.30 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory.
SAP Sybase Adaptive Server Enterprise (ASE) w wersjach 15.0.3 przed 15.0.3 ESD#4.3, 15.5 przed 15.5 ESD#5.3 oraz 15.7 przed 15.7 SP50 lub 15.7 SP100 umożliwia lokalnym użytkownikom uzyskanie poufnych informacji za pomocą nieokreślonych wektorów.