CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.14)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
W pliku ResourceBuilderImpl.java w implementacji RichFaces od wersji 3.x do 5.x w Red Hat JBoss Web Framework Kit przed wersją 2.3.0 oraz w innych produktach Red Hat występuje luka, która nie ogranicza klas, dla których można wywoływać metody deserializacji. To umożliwia zdalnym atakującym wykonanie dowolnego kodu za pomocą odpowiednio przygotowanych danych serializowanych.
HP Database and Middleware Automation (DMA) w wersjach 10.x przed 10.10, przy użyciu SSL, umożliwia zdalnym atakującym uzyskanie poufnych informacji za pomocą nieokreślonych wektorów.
Podatność na wstrzykiwanie SQL w rozszerzeniu News Search (news_search) w wersji 0.1.0 dla TYPO3 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory.
Apache Struts w wersjach od 2.0.0 do 2.3.15 umożliwia zdalnym atakującym wykonanie dowolnych wyrażeń OGNL poprzez odpowiednio skonstruowany parametr z prefiksem (1) action:, (2) redirect: lub (3) redirectAction:.
Funkcja ngx_http_parse_chunked w nginx w wersjach od 1.3.9 do 1.4.0 pozwala zdalnym atakującym na spowodowanie awarii serwera oraz wykonanie dowolnego kodu poprzez żądanie z kodowaniem Transfer-Encoding w trybie chunked z dużym rozmiarem fragmentu, co prowadzi do błędu związane z znakowością liczb całkowitych oraz przepełnienia bufora na stosie.
Serwery EMC Avamar oraz Avamar Virtual Edition przed wersją 7.0 na platformach Data Store Gen3, Gen4 i Gen4s nieprawidłowo określają autoryzację dla wywołań metod Java RMI, co pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu za pomocą nieokreślonych wektorów.
Domyślna konfiguracja Parallels Plesk Panel 9.0.x i 9.2.x na systemach UNIX oraz Small Business Panel 10.x na UNIX zawiera nieprawidłową dyrektywę ScriptAlias dla phppath. To umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowane żądanie.
Wiele nieokreślonych podatności w podsystemie InfiniBand w IBM AIX 6.1 i 7.1 oraz VIOS 2.2.2.2-FP-26 SP-02 umożliwia lokalnym użytkownikom uzyskanie uprawnień poprzez wektory związane z (1) arp.ib lub (2) ibstat.
Przepełnienie bufora w parserze .mdb w Autonomy KeyView IDOL, używanym w IBM Notes 8.5.x przed 8.5.3 FP4, umożliwia zdalnym atakującym wykonanie dowolnego kodu za pomocą spreparowanego pliku.
W pliku core/getLog.php w urządzeniach Siemens Enterprise OpenScape Branch oraz OpenScape Session Border Controller (SBC) przed wersją 2 R0.32.0 oraz 7 przed wersją 7 R1.7.0, istnieje możliwość zdalnego wykonania dowolnych poleceń przez atakujących za pomocą nieokreślonych wektorów.
W pliku core/getLog.php w urządzeniach Siemens Enterprise OpenScape Branch oraz OpenScape Session Border Controller (SBC) przed wersją 2 R0.32.0 oraz 7 przed wersją 7 R1.7.0, istnieje możliwość zdalnego odczytu dowolnych plików przez atakujących za pomocą nieokreślonych wektorów.
W pliku core/getLog.php na urządzeniach Siemens Enterprise OpenScape Branch oraz OpenScape Session Border Controller (SBC) przed wersją 2 R0.32.0 oraz 7 przed wersją 7 R1.7.0, zdalni atakujący mogą uzyskać dostęp do wrażliwych informacji o serwerze i statystykach za pomocą nieokreślonych wektorów.
Przepełnienie bufora w usłudze RTSP ubnt-streamer na kamerze Ubiquiti UBNT AirCam z firmware airVision przed wersją 1.1.6 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez długi URI rtsp: w żądaniu DESCRIBE.
Sterowniki IDSM-2 w oprogramowaniu Cisco Intrusion Prevention System (IPS) na urządzeniach Cisco Catalyst 6500 z modułem IDSM-2 umożliwiają zdalnym atakującym spowodowanie odmowy usługi (zawieszenie urządzenia) poprzez wysyłanie źle sformatowanych pakietów TCP IPv4.
Oprogramowanie Cisco Intrusion Prevention System (IPS) na urządzeniach IPS NME przed wersją 7.0(9)E4 pozwala zdalnym atakującym na spowodowanie odmowy usługi (przeładowanie urządzenia) poprzez źle sformatowane pakiety IPv4, które wywołują nieprawidłową alokację pamięci.
Podatność SQL injection w Cisco Unified Communications Manager (CUCM) w wersjach od 7.1(x) do 9.1(1a) umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory. Może to prowadzić do ujawnienia zaszyfrowanych poświadczeń poprzez wykorzystanie metadanych.
W stosie IP oprogramowania Cisco Intrusion Prevention System (IPS) w modułach sprzętowych i programowych ASA 5500-X IPS-SSP przed wersją 7.1(5)E4 oraz czujnikach IPS 4500 przed wersją 7.1(6)E4 i IPS 4300 przed wersją 7.1(5)E4, złośliwe pakiety IPv4 mogą powodować zablokowanie procesu MainApp, co prowadzi do odmowy usługi.
Oprogramowanie Cisco Intrusion Prevention System (IPS) w modułach ASA 5500-X IPS-SSP przed wersją 7.1(7)sp1E4 pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez fragmentowane pakiety IPv4 lub IPv6, co może prowadzić do zawieszenia procesu silnika analizy lub ponownego uruchomienia urządzenia.
Nieokreślona podatność w komponencie Secure Global Desktop w Oracle Virtualization we wszystkich wersjach 4.6, w tym 4.63 i 4.7 przed 4.71, umożliwia zdalnym atakującym wpływanie na poufność, integralność i dostępność poprzez nieznane wektory związane z interfejsem Web UI.
Nieokreślona podatność w komponencie warstwy sieciowej w Oracle Database Server w wersjach 10.2.0.4, 10.2.0.5, 11.1.0.7, 11.2.0.2, 11.2.0.3 oraz 12.1.0.1 pozwala zdalnym atakującym wpływać na poufność, integralność i dostępność danych za pomocą nieznanych wektorów.