CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.10.16)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
The custom GINA/CP module in Zoho ManageEngine ADSelfService Plus before version 5.5 build 5517 allows remote attackers to execute code and escalate privileges via spoofing. It does not authenticate the intended server before opening a browser window, enabling an unauthenticated attacker to redirect the browser and gain execution in the context of the WinLogon.exe process.
A remote code execution vulnerability exists in the WebAdmin of Sophos SG UTM before v9.705 MR5, v9.607 MR7, and v9.511 MR11. An attacker can exploit this vulnerability over the network.
In the rand_core crate for Rust before version 0.4.2, casting byte slices to integer slices mishandles alignment constraints.
W Microsoft SharePoint występuje podatność na zdalne wykonanie kodu, spowodowana niewłaściwą ochroną API przed niebezpiecznymi danymi wejściowymi. Atakujący, który skutecznie wykorzysta tę podatność, może uruchomić dowolny kod w kontekście puli aplikacji SharePoint oraz konta farmy serwerów SharePoint.
W Microsoft SharePoint występuje podatność na zdalne wykonanie kodu, gdy oprogramowanie nie sprawdza źródłowego markup aplikacji. Atakujący, który skutecznie wykorzysta tę podatność, może uruchomić dowolny kod w kontekście puli aplikacji SharePoint oraz konta farmy serwerów SharePoint.
Zidentyfikowano podatność w panelach HMI SIMATIC 2. generacji oraz w innych wariantach, które nie blokują wystarczająco nadmiernych prób uwierzytelnienia. To może umożliwić zdalnemu atakującemu odkrycie haseł użytkowników i uzyskanie dostępu do serwera Sm@rt poprzez atak typu brute-force.
The File Manager (wp-file-manager) plugin before 6.9 for WordPress allows remote attackers to upload and execute arbitrary PHP code because it renames an unsafe example elFinder connector file to have the .php extension. It was exploited in the wild in August and September 2020.
A SQL injection vulnerability in the login mechanism of Sourcecodetester Daily Tracker System 1.0 allows an unauthenticated attacker to bypass authentication by injecting SQL code via the email parameter.
Wszystkie wersje eCatcher firmy HMS Industrial Networks AB przed 6.5.5 są podatne na przepełnienie bufora na stosie, co może umożliwić atakującemu zdalne wykonanie dowolnego kodu.
W systemie Windows występuje podatność na podniesienie uprawnień związana z niewłaściwym zarządzaniem twardymi linkami. Atakujący, który skutecznie wykorzysta tę podatność, może nadpisać docelowy plik, co prowadzi do uzyskania podwyższonych uprawnień.
FUEL CMS 1.4.7 allows SQL Injection via the col parameter to /pages/items, /permissions/items, or /navigation/items. An attacker can manipulate database queries.
vBulletin 5.5.4 through 5.6.2 allows remote command execution via crafted subWidgets data in an ajax/render/widget_tabbedcontainer_tab_panel request. This issue exists because of an incomplete fix for CVE-2019-16759.
An improper authentication vulnerability in SSL VPN in FortiOS 6.4.0, 6.2.0 to 6.2.3, 6.0.9 and below may result in a user being able to log in successfully without being prompted for the second factor of authentication (FortiToken) if they changed the case of their username.
In Python 3.8.4, sys.path restrictions specified in a python38._pth file are ignored, allowing code to be loaded from arbitrary locations. The <executable-name>._pth file (e.g., the python._pth file) is not affected.
Vulnerability in Oracle WebLogic Server (component: Core) affects versions 12.2.1.3.0, 12.2.1.4.0, and 14.1.1.0.0. Easily exploitable by unauthenticated attacker with network access via IIOP, T3 to compromise Oracle WebLogic Server, resulting in takeover. CVSS 3.1 Base Score 9.8.
A remote code execution vulnerability exists in Windows Domain Name System servers when they fail to properly handle requests, aka 'Windows DNS Server Remote Code Execution Vulnerability'.
A remote code execution vulnerability exists when Hyper-V RemoteFX vGPU on a host server fails to properly validate input from an authenticated user on a guest operating system, aka 'Hyper-V RemoteFX vGPU Remote Code Execution Vulnerability'.
Występuje podatność na podniesienie uprawnień w Microsoft SharePoint Server i Skype for Business Server, związana z niewłaściwą walidacją tokenów OAuth. Atakujący, który skutecznie wykorzysta tę podatność, może obejść uwierzytelnianie i uzyskać nieautoryzowany dostęp.
SAP NetWeaver AS JAVA (LM Configuration Wizard), versions 7.30, 7.31, 7.40, 7.50, does not perform an authentication check which allows an attacker without prior authentication to execute configuration tasks to perform critical actions against the SAP Java system, including the ability to create an administrative user, and therefore compromising Confidentiality, Integrity and Availability of the system, leading to Missing Authentication Check.
The goform/setUsbUnload endpoint of Tenda AC15 AC1900 version 15.03.05.19 allows remote attackers to execute arbitrary system commands via the deviceName POST parameter.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS