CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.10.16)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
In the "Rotator Img" module (posrotatorimg) for PrestaShop in versions at least up to 1.1 from PosThemes, an unauthenticated user can perform an SQL injection attack.
WebJET CMS 8.6.896 by Interway a.s. is vulnerable to Cross Site Scripting (XSS). This allows an attacker to inject malicious JavaScript code into pages viewed by other users.
The AI ChatBot for WordPress plugin versions up to 4.8.9 and 4.9.2 contains a Directory Traversal vulnerability in the qcld_openai_upload_pagetraining_file function. This allows subscriber-level attackers to append "<?php" to any existing file on the server, potentially causing a Denial of Service (DoS) when critical files like wp-config.php are modified.
Wtyczka AI ChatBot dla WordPressa jest podatna na usuwanie dowolnych plików w wersjach do 4.8.9 włącznie oraz w wersji 4.9.2. Umożliwia to uwierzytelnionym atakującym z uprawnieniami subskrybenta usuwanie dowolnych plików na serwerze.
Wtyczka ChatBot dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr $strid w wersjach do 4.8.9 włącznie, z powodu niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to nieautoryzowanym atakującym dodawanie dodatkowych zapytań SQL do już istniejących, co może prowadzić do wyciągania wrażliwych informacji z bazy danych.
CVE-2023-38545 is a vulnerability related to heap buffer overflow during the SOCKS5 proxy handshake in curl. The issue arises when curl passes a hostname that is too long to the proxy, leading to incorrect data copying.
Cisco is providing an update for the ongoing investigation into observed exploitation of the web UI feature in Cisco IOS XE Software. The attacker exploited CVE-2023-20198 to gain initial access and issued a privilege 15 command to create a local user, then exploited another component (CVE-2023-20273) to elevate privilege to root and write an implant. CVE-2023-20198 has a CVSS score of 10.0, CVE-2023-20273 has a CVSS score of 7.2.
In zlib up to version 1.3, the MiniZip component has an integer overflow and resultant heap-based buffer overflow in zipOpenNewFileInZip4_64 via a long filename, comment, or extra field.
CVE-2023-5046 describes an improper neutralization of special elements used in SQL commands, allowing SQL Injection and command execution through SQL Injection in Biltay Technology's Procost software.
CVE-2023-5045 in Biltay Technology Kayisi has an improper neutralization of special elements used in SQL commands, allowing for SQL Injection and command execution through SQL Injection.
Sensitive information disclosure vulnerability in NetScaler ADC and NetScaler Gateway when configured as a Gateway (VPN virtual server, ICA Proxy, CVPN, RDP Proxy) or AAA virtual server.
Mbed TLS w wersjach od 3.2.x do 3.4.x przed 3.5 zawiera podatność typu Buffer Overflow, która może prowadzić do zdalnego wykonania kodu.
CVE-2023-4530 vulnerability affects the Turna Advertising Administration Panel, which is susceptible to SQL Injection before version 1.1. Improper neutralization of special elements used in SQL commands allows attackers to inject malicious SQL code.
Atlassian zgłosił problem, w którym zewnętrzni atakujący mogli wykorzystać nieznaną wcześniej podatność w publicznie dostępnych instancjach Confluence Data Center i Server do tworzenia nieautoryzowanych kont administratorów Confluence oraz uzyskiwania dostępu do instancji Confluence.
Podatność CVE-2023-44208 dotyczy ujawnienia i manipulacji wrażliwymi informacjami z powodu braku autoryzacji. Dotyczy to produktów Acronis Cyber Protect Home Office (Windows) przed wersją 40713 oraz Acronis True Image OEM (Windows) przed wersją 42575.
Wtyczka OpenHook dla WordPressa jest podatna na zdalne wykonanie kodu w wersjach do 4.3.0 włącznie, poprzez shortcode 'php'. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie subskrybenta lub wyższymi, wykonanie kodu na serwerze, pod warunkiem, że ustawienie shortcode [php] jest włączone na podatnej stronie.
The AjaxNewsTicker plugin version 1.0.5 contains a vulnerability that allows a remote attacker to execute arbitrary code via a crafted payload in the 'reque' parameter. The issue stems from insufficient input validation.
The Hedef Tracking Admin Panel has an SQL Injection vulnerability due to improper neutralization of special elements used in SQL commands. This issue affects Admin Panel versions before 1.2.
DedeBIZ v6.2.11 was found to have multiple remote code execution (RCE) vulnerabilities in /admin/file_manage_control.php via the $activepath and $filename parameters.
In WS_FTP Server versions prior to 8.7.4 and 8.8.2, a pre-authenticated attacker could leverage a .NET deserialization vulnerability in the Ad Hoc Transfer module to execute remote commands on the underlying WS_FTP Server operating system.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS