CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
CISA KEV catalog updated: (v2026.08.07)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
MISP version 2.4.122 has a Persistent XSS vulnerability in the sighting popover tool. This is related to the file app/View/Elements/Events/View/sighting_field.ctp.
MISP version 2.4.122 has a reflected XSS vulnerability via unsanitized URL parameters. This is related to app/View/Users/statistics_orgs.ctp.
An issue was discovered in MISP before version 2.4.121 where ACLs for discussion threads were mishandled in app/Controller/ThreadsController.php and app/Model/Thread.php.
An issue was discovered in MISP before version 2.4.121, which did not canonicalize usernames when trying to block a brute-force series of invalid requests.
An issue was discovered in MISP before version 2.4.121 that mishandled time skew between the web server and the database, potentially leading to ineffective protection against brute-force attacks.
In RubyGem excon before version 0.71.0, a race condition exists around persistent connections. An interrupted connection (e.g., due to a timeout) leaves data on the socket, which is read by subsequent requests, returning content from the previous response. The race condition window is narrow, making intentional exploitation difficult.
In MISP 2.4.118 in app/Controller/TagsController.php, users can bypass intended restrictions on tagging data.
Use of a hard-coded cryptographic key to cipher sensitive data in FortiOS configuration backup file may allow an attacker with access to the backup file to decipher the sensitive data, via knowledge of the hard-coded key. The aforementioned sensitive data includes users' passwords (except the administrator's password), private keys' passphrases and High Availability password (when set).
Na urządzeniach Hyundai Pay Kasse HK-1000 odkryto kanał boczny związany z wyświetlaczem OLED opartym na wierszach. Zużycie energii przez każdy cykl wyświetlacza zależy od liczby podświetlonych pikseli, co umożliwia częściowe odzyskanie zawartości wyświetlacza.
A heap-based buffer over-read exists in the terminfo library of ncurses before version 6.1-20191012 in the fmt_entry function in tinfo/comp_hash.c.
A heap-based buffer over-read exists in the terminfo library of ncurses before version 6.1-20191012 in the _nc_find_entry function in tinfo/comp_hash.c.
Wersje Arm Mbed TLS przed 2.19.0 oraz Arm Mbed Crypto przed 2.0.0, przy włączonym deterministycznym ECDSA, wykorzystują generator liczb losowych z niewystarczającą entropią do osłony, co może umożliwić atakującemu odzyskanie klucza prywatnego za pomocą ataków bocznych, jeśli ofiara podpisuje tę samą wiadomość wielokrotnie.
Red Lion Controls Crimson w wersji 3.0 i wcześniejszych oraz w wersji 3.1 przed wydaniem 3112.00 używa twardo zakodowanego hasła do szyfrowania chronionych plików w trakcie przesyłania i w spoczynku, co może umożliwić atakującemu dostęp do plików konfiguracyjnych.
MISP versions before 2.4.115 allow privilege escalation in certain situations. After updating to 2.4.115, escalation attempts are blocked by the __checkLoggedActions function.
In osTicket before version 1.10.7 and versions 1.12.x before 1.12.1, a stored XSS vulnerability was discovered in setup/install.php. Lack of input sanitization in the firstname and lastname fields allows injection of malicious queries that are then executed.
In osTicket before version 1.10.7 and 1.12.x before 1.12.1, a vulnerability was found in the ticket creation form. Users can upload files, but content checks are insufficient and the server response is not handled properly, leading to persistent XSS. An attacker can upload an .html file, and the Content-Disposition header is set to inline instead of attachment, enabling cookie theft or other malicious actions.
In MISP 2.4.111, a stored XSS vulnerability exists in the event-graph view in app/webroot/js/event-graph.js, triggered when a user toggles the event graph view. A malicious MISP event must be crafted to exploit this vulnerability.
An issue was discovered in MISP 2.4.108 that allows organization admins to reset passwords for site admins. This could lead to abuse when the host organization creates lower-privilege organization admins.
Wszystkie znane wersje konsoli zarządzania Orpak SiteOmat są podatne na wielokrotne przypadki przechowywanego ataku typu Cross-site Scripting z powodu niewłaściwej walidacji danych wejściowych od użytkowników zewnętrznych. Atakujący z dostępem do interfejsu webowego może przejąć sesje lub przekierować ofiary na złośliwy serwer.
Podatność Microarchitectural Fill Buffer Data Sampling (MFBDS) dotyczy niektórych mikroprocesorów wykorzystujących spekulacyjną egzekucję, co może umożliwić uwierzytelnionemu użytkownikowi potencjalne ujawnienie informacji poprzez kanał boczny przy lokalnym dostępie. Lista dotkniętych produktów jest dostępna w dokumentacji Intel.