CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
CISA KEV catalog updated: (v2026.07.29)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
In MISP before version 2.4.198, the UserLoginProfilesController.php does not prevent an org admin from viewing sensitive login fields of another org admin in the same org.
User enumeration vulnerability in ORDAT FOSS-Online before v2.24.01 allows attackers to determine if an account exists by comparing server responses from the forgot password functionality.
ORDAT FOSS-Online before version 2.24.01 was discovered to contain a reflected XSS vulnerability on the login page. An attacker can inject malicious script via a crafted request.
Podatność CVE-2024-2010 dotyczy niewłaściwej neutralizacji tagów HTML związanych z skryptami w stronach internetowych w TE Informatics V5, co pozwala na ataki typu Reflected XSS. Problem ten występuje w wersjach V5 przed 6.2.
A stored cross-site scripting (XSS) vulnerability in the VLAN configuration of RELY-PCIe versions v22.2.1 to v23.1.0 allows attackers to execute arbitrary web scripts or HTML via a crafted payload.
W Mbed TLS przed wersją 2.28.9 oraz 3.x przed wersją 3.6.1 występuje problem, w którym wybrany przez użytkownika algorytm nie jest używany. Włączenie MBEDTLS_PSA_HMAC_DRBG_MD_TYPE nie powoduje, że subsystem PSA korzysta z HMAC_DRBG, a jedynie wtedy, gdy MBEDTLS_PSA_CRYPTO_EXTERNAL_RNG i MBEDTLS_CTR_DRBG_C są wyłączone.
W Trusted Firmware-M do wersji 2.0.0 odkryto problem związany z brakiem weryfikacji argumentów w subsystemie logowania, co umożliwia atakującym odczytanie wrażliwych danych za pomocą funkcji logowania.
A buffer overflow vulnerability in Micron Crucial MX500 Series SSDs (firmware M3CR046) allows an attacker to send specially crafted ATA packets from the host to the drive controller, potentially leading to uncontrolled device behavior. The vendor states that this vulnerability was fully remediated in December 2024, and updated firmware is available through Crucial's official support page.
Podatność CVE-2024-7077 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu Semtek Sempos, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS) odzwierciedlonego. Problem ten dotyczy wersji oprogramowania do 31 lipca 2024 roku.
A vulnerability was found in OpenSC, OpenSC tools, PKCS#11 module, minidriver, and CTK. An attacker could use a crafted USB Device or Smart Card, which would present the system with a specially crafted response to APDUs. When buffers are partially filled with data, initialized parts of the buffer can be incorrectly accessed.
Podatność CVE-2024-6920 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie NACPremium firmy NAC Telecommunication Systems Inc., co pozwala na ataki typu Stored XSS. Problem ten dotyczy wersji NACPremium do 8 stycznia 2024 roku.
In MISP versions up to 2.4.196, the app/Controller/BookmarksController.php file does not properly restrict access to bookmarks data when the user is not an org admin.
An Open Redirect vulnerability was found in vTiger CRM v7.4.0 in the 'page' parameter. An attacker can craft a URL to redirect users to a malicious site.
A vulnerability exists in UEFI implementations that use a hard-coded software-based Platform Key (PK). An attacker in possession of the corresponding PK private key can sign arbitrary UEFI executables or firmware components, causing them to be trusted by affected systems and potentially bypassing UEFI Secure Boot trust validation.
A cross-site scripting (XSS) vulnerability in the /managers/enable_requests.php component of Gazelle (commit 63b3370) allows attackers to inject arbitrary scripts or HTML via the view parameter. This can lead to arbitrary JavaScript execution in the victim's browser.
A cross-site scripting (XSS) vulnerability in the /auth/AzureRedirect.php component of PicUploader (commit fcf82ea) allows attackers to inject arbitrary web scripts or HTML via the error_description parameter.
A cross-site scripting (XSS) vulnerability in the /login/disabled.php component of Gazelle (commit 63b3370) allows attackers to inject arbitrary web scripts or HTML via the username parameter.
An XSS vulnerability in the /master/auth/OnedriveRedirect.php component of PicUploader (commit fcf82ea) allows attackers to inject malicious scripts or HTML via the error_description parameter.
An XSS vulnerability in the /managers/multiple_freeleech.php component of Gazelle (commit 63b3370) allows attackers to inject malicious scripts or HTML via the torrents parameter.
W jądrze Linuxa naprawiono podatność polegającą na braku sprawdzania wskaźników null przed przekazywaniem zmiennych do funkcji. Wprowadzenie tego sprawdzenia eliminuje trzy problemy związane z NULL_RETURNS zgłoszone przez Coverity.