CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.10.21)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
PHPYun before version 7.0.2 is vulnerable to remote code execution through backdoor-restricted arbitrary file writing and file inclusion.
W wersji 2.4 Infoblox BloxOne odkryto lukę w logice biznesowej spowodowaną podatnościami w grubej aplikacji klienckiej.
W podatności CVE-2025-22542 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wirtualnym bocie Ofek Nakar. Problem dotyczy wersji Virtual Bot od n/a do 1.0.0 włącznie.
W podatności CVE-2025-22540 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do podatności na Blind SQL Injection w module subskrypcji e-mail seballero. Problem dotyczy wersji Emailing Subscription od n/a do 1.4.1 włącznie.
Podatność CVE-2025-22504 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w formularzach internetowych 4ECPS, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji 4ECPS Web Forms od n/a do 0.2.18 włącznie.
Wtyczka Post Grid Master – Custom Post Types, Taxonomies & Ajax Filter Everything z WordPressa jest podatna na Local File Inclusion we wszystkich wersjach do 3.4.12 włącznie, poprzez funkcję 'locate_template'. Umożliwia to nieautoryzowanym atakującym dołączanie i wykonywanie dowolnych plików na serwerze.
W SonicWALL SSL-VPN występuje możliwość obejścia wieloskładnikowego uwierzytelniania (MFA) w określonych przypadkach, związana z oddzielnym traktowaniem nazw kont UPN (User Principal Name) i SAM (Security Account Manager) przy integracji z Microsoft Active Directory. To pozwala na niezależną konfigurację MFA dla każdej metody logowania, co może umożliwić atakującym obejście MFA poprzez wykorzystanie alternatywnej nazwy konta.
Wiele podatności typu buffer overflow występuje w kilku binariach CGI stacji ładowania. Problem ten dotyczy oprogramowania Iocharger dla ładowarek modelu AC przed wersją 24120701.
Biblioteka <redacted>.so, używana przez <redacted>, jest podatna na przepełnienie bufora w kodzie obsługującym usuwanie certyfikatów. Przepełnienie bufora można wywołać, podając długą ścieżkę pliku do akcji <redacted> w binarnym pliku <redacted>.exe lub w skrypcie CGI <redacted>.sh.
W SonicOS występuje podatność na przepełnienie bufora opartego na liczbach całkowitych w module IPSec. Zdalny atakujący, w określonych warunkach, może spowodować awarię usługi (DoS) oraz potencjalnie wykonać dowolny kod, wysyłając specjalnie przygotowany ładunek IKEv2.
An Improper Authentication vulnerability in the SSLVPN authentication mechanism allows a remote attacker to bypass authentication.
Wykorzystanie kryptograficznie słabego generatora liczb pseudolosowych (PRNG) w generatorze tokenów uwierzytelniających SSLVPN SonicOS, który w niektórych przypadkach może być przewidywalny przez atakującego, co potencjalnie prowadzi do ominięcia uwierzytelnienia.
A stack-based buffer overflow in Ivanti Connect Secure before version 22.7R2.5, Ivanti Policy Secure before version 22.7R1.2, and Ivanti Neurons for ZTA gateways before version 22.7R2.3. It allows a remote unauthenticated attacker to achieve remote code execution.
A vulnerability in the Linux kernel's NFS server (nfsd) causes a memory leak during concurrent file open operations (nfsd4_open). The issue stems from improper handling of nfs4_openowner objects when two parallel open requests for the same file are processed by different nfsd threads. In extreme cases, this can lead to a kernel panic when shutting down the NFS server.
Podatność w Pingvin Share umożliwia uwierzytelnionym lub nieuwierzytelnionym użytkownikom (jeśli dozwolone są anonimowe udostępnienia) nadpisywanie dowolnych plików na serwerze, w tym wrażliwych plików systemowych, za pomocą żądań HTTP POST. Problem został naprawiony w wersji 1.4.0.
Wtyczka WordPress File Upload jest podatna na zdalne wykonanie kodu we wszystkich wersjach do i włącznie z 4.24.12 poprzez parametr cookie 'wfu_ABSPATH'. Umożliwia to nieautoryzowanym atakującym wykonanie kodu na serwerze.
Wtyczka WordPress File Upload jest podatna na zdalne wykonanie kodu, nieautoryzowane odczytywanie plików oraz usuwanie plików we wszystkich wersjach do i włącznie z 4.24.15. Problem wynika z braku odpowiedniej sanitizacji parametru 'source' oraz możliwości zdefiniowania ścieżki katalogu przez użytkownika.
An issue was discovered in Aviatrix Controller before 7.1.4191 and 7.2.x before 7.2.4996. Due to improper neutralization of special elements used in an OS command, an unauthenticated attacker is able to execute arbitrary code by sending shell metacharacters to /v1/api in cloud_type or src_cloud_type.
I, Librarian w wersjach do 5.11.1 jest podatny na atak typu Server-Side Request Forgery (SSRF) z powodu niewłaściwej walidacji danych wejściowych w pliku classes/security/validation.php.
W podatności XXE (XML External Entity) w Intersec Geosafe-ea w wersjach 2022.12, 2022.13 i 2022.14, atakujący mogą przeprowadzać odczyt dowolnych plików z uprawnieniami działającego procesu, wykonywać żądania SSRF lub powodować Denial of Service (DoS) za pomocą nieokreślonych wektorów.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS