CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.10.16)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
The Remember Me function in Mura CMS before version 10.0.580 contains a vulnerability that allows attackers to bypass authentication via a crafted web request. The flaw stems from improper validation of session tokens.
Serenissima Informatica Fast Checkin version v1.0 is vulnerable to unauthenticated SQL injection. An attacker can remotely execute arbitrary SQL queries without authentication.
An arbitrary file write vulnerability in Serenissima Informatica Fast Checkin v1.0 allows unauthenticated attackers to upload malicious files to the web root. Attackers can gain server access via a web shell.
The vulnerability in the Robot application in Ip-label Newtest before v8.5R0 uses weak signature checks on executed binaries. This allows an attacker with write access to replace NEWTESTREMOTEMANAGER.EXE and escalate privileges.
Wtyczka ContentStudio dla WordPressa jest podatna na obejście autoryzacji z powodu braku sprawdzenia uprawnień w kilku funkcjach w wersjach do 1.2.5 włącznie. Umożliwia to nieautoryzowanym atakującym uzyskanie metadanych bloga, w tym tokena contentstudio_token wtyczki.
SQL Injection vulnerability in phpMyAdmin 5.x before 5.2.0, located in the getTableCreationQuery function in CreateAddField.php. An attacker can inject malicious SQL queries via the tbl_storage_engine or tbl_collation parameters to tbl_create.php.
W systemie zamówień online tourist5 w wersji 1.0 występuje wiele podatności na ataki typu SQL Injection. Te luki mogą umożliwić atakującym manipulację zapytaniami do bazy danych.
Remote code execution vulnerability in multiple Zoho ManageEngine on-premise products due to Apache Santuario xmlsec 1.4.1, where XSLT features are not properly secured. Exploitation only possible if SAML SSO has been configured.
Wtyczka IP Blacklist Cloud autorstwa Adeel Ahmeda w wersjach do 5.00 zawiera podatność na uwierzytelnioną injekcję SQL (SQLi). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
The Call Center System developed by Bulutses Information Technologies before version 3.0 has an unauthenticated SQL Injection vulnerability. This has been fixed in version 3.0.
A SQL Injection vulnerability in the GullsEye terminal operating system due to improper neutralization of special elements used in SQL commands. This issue affects versions before 5.0.13.
login/index.php in CWP (aka Control Web Panel or CentOS Web Panel) 7 before 0.9.8.1147 allows remote attackers to execute arbitrary OS commands via shell metacharacters in the login parameter.
A heap-based buffer overflow vulnerability [CWE-122] in FortiOS SSL-VPN 7.2.0 through 7.2.2, 7.0.0 through 7.0.8, 6.4.0 through 6.4.10, 6.2.0 through 6.2.11, 6.0.15 and earlier and FortiProxy SSL-VPN 7.2.0 through 7.2.1, 7.0.7 and earlier may allow a remote unauthenticated attacker to execute arbitrary code or commands via specifically crafted requests.
W TrueConf Server 5.2.0.10225 występuje problem z wstrzykiwaniem SQL w interfejsie API, który pozwala zdalnym, nieautoryzowanym atakującym na wykonywanie dowolnych poleceń SQL, co może prowadzić do zdalnego wykonania kodu. Problem został naprawiony w wersji 5.2.6.10025.
An unexpected message in the WebGPU IPC framework could lead to a use-after-free and exploitable sandbox escape. There have been reports of attacks in the wild abusing this flaw. This vulnerability affects Firefox < 97.0.2, Firefox ESR < 91.6.1, Firefox for Android < 97.3.0, Thunderbird < 91.6.2, and Focus < 97.3.0.
Softr v2.0 was found vulnerable to HTML injection via the Name field on the Account page. An attacker can inject malicious HTML code that will be executed in the victim's browser.
W Mbed TLS przed wersją 2.28.2 oraz 3.x przed wersją 3.3.0 odkryto problem związany z potencjalnym przepełnieniem bufora w pamięci oraz nadmiernym odczytem bufora w DTLS. Problem występuje, gdy włączona jest opcja MBEDTLS_SSL_DTLS_CONNECTION_ID, a MBEDTLS_SSL_CID_IN_LEN_MAX jest większe niż 2 * MBEDTLS_SSL_CID_OUT_LEN_MAX.
Alist w wersji 3.4.0 jest podatny na atak typu Directory Traversal, co pozwala na dostęp do plików i katalogów poza zamierzonymi ścieżkami. Atakujący może wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do systemu plików.
Wtyczka Cryptocurrency Widgets Pack w wersji 1.8.1 i wcześniejszych zawiera podatność na nieautoryzowany atak typu SQL Injection. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
A reflected cross-site scripting (XSS) vulnerability in Proxmox Virtual Environment prior to v7.2-3 allows remote attackers to execute arbitrary web scripts or HTML via non-existent endpoints under path /api2/html/.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS