CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.10.20)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Podatność CVE-2024-50511 dotyczy wtyczki WP donimedia carousel w wersjach od n/a do 1.0.1, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to przesłanie powłoki sieciowej na serwer WWW.
Podatność CVE-2024-50510 dotyczy wtyczki AR For Woocommerce, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach, co umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji od n/a do 6.3 włącznie.
Podatność CVE-2024-50507 dotyczy deserializacji niezaufanych danych w module DS.DownloadList w Daschmi, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji DS.DownloadList od n/a do 1.3 włącznie.
Podatność CVE-2024-50503 w Deryck User Toolkit umożliwia obejście uwierzytelniania za pomocą alternatywnej ścieżki lub kanału. Problem ten dotyczy wersji User Toolkit od n/a do 1.2.3 włącznie.
The upgrademysqlstatus function in databases/views.py in CyberPanel before 5b08cd6 allows remote attackers to bypass authentication and execute arbitrary commands via /dataBases/upgrademysqlstatus by bypassing secMiddleware (which is only for a POST request) and using shell metacharacters in the statusfile property, as exploited in the wild in October 2024 by PSAUX. Versions through 2.3.6 and (unpatched) 2.3.7 are affected.
getresetstatus in dns/views.py and ftp/views.py in CyberPanel before 1c0c6cb allows remote attackers to bypass authentication and execute arbitrary commands via /dns/getresetstatus or /ftp/getresetstatus by bypassing secMiddleware (which is only for a POST request) and using shell metacharacters in the statusfile property, as exploited in the wild in October 2024 by PSAUX. Versions through 2.3.6 and (unpatched) 2.3.7 are affected.
Wersja 5.8.16 i niższe PluXml zawierają podatność na zdalne wykonanie kodu (RCE) w komponencie /PluXml/core/admin/parametres_edittpl.php, która pozwala atakującym na wykonanie dowolnego kodu poprzez wstrzyknięcie spreparowanego ładunku do szablonu.
Podatność CVE-2024-48206 dotyczy deserializacji niezaufanych danych w chainer w wersji 7.8.1.post1, co prowadzi do wykonania dowolnego kodu.
Wtyczka Crypto dla WordPressa jest podatna na obejście uwierzytelniania w wersjach do 2.18 włącznie. Problem wynika z ograniczonego wywołania metody w funkcji 'crypto_connect_ajax_process::log_in', co umożliwia nieautoryzowanym atakującym logowanie się jako dowolny istniejący użytkownik na stronie.
Wtyczka Crypto dla WordPressa jest podatna na obejście uwierzytelniania w wersjach do 2.19 włącznie. Problem wynika z braku walidacji użytkownika w funkcji 'crypto_connect_ajax_process::register', co umożliwia nieautoryzowanym atakującym logowanie się jako dowolny istniejący użytkownik na stronie.
W PegaPoll występuje luka związana z brakiem autoryzacji, która pozwala na dostęp do funkcjonalności, która nie jest odpowiednio ograniczona przez listy kontroli dostępu (ACL). Problem dotyczy wersji PegaPoll od n/a do 1.0.2 włącznie.
W podatności CVE-2024-50485 występuje nieprawidłowe przypisanie uprawnień w systemie Exam Matrix, co umożliwia eskalację uprawnień. Problem dotyczy wersji Exam Matrix od n/a do 1.5 włącznie.
W GRÜN Software Group GmbH GRÜN spendino Spendenformular występuje luka związana z brakiem autoryzacji, która umożliwia eskalację uprawnień. Problem ten dotyczy wersji GRÜN spendino Spendenformular od n/a do 1.0.1 włącznie.
W podatności CVE-2024-50475 występuje brak autoryzacji w stronie rejestracji Scott Gamon, co umożliwia eskalację uprawnień. Problem dotyczy wersji strony rejestracji od n/a do 1.0 włącznie.
Podatność CVE-2024-50473 dotyczy Ajar Productions Ajar in5 Embed, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach, co umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten występuje w wersjach od n/a do 3.1.3 włącznie.
Podatność CVE-2024-50427 dotyczy nieograniczonego przesyłania plików o niebezpiecznych typach w SurveyJS, co może prowadzić do poważnych zagrożeń bezpieczeństwa. Problem ten dotyczy wersji SurveyJS od n/a do 1.9.136.
Podatność CVE-2024-50420 dotyczy aDirectory, umożliwiając nieograniczone przesyłanie plików z niebezpiecznymi typami, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten występuje w wersjach od n/a do 1.3 włącznie.
Podatność CVE-2024-50494 dotyczy braku ograniczeń przy przesyłaniu plików o niebezpiecznym typie w bramce płatności Sudan Payment Gateway dla WooCommerce, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji od n/a do 1.2.2.
Podatność CVE-2024-50493 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w systemie Automatic Translation. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Podatność CVE-2024-50484 dotyczy formularza Multi Purpose Mail Form, który pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS