CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.10.16)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
The Stapler web framework used by Jenkins 2.153 and earlier, LTS 2.138.3 and earlier, has a code execution vulnerability that allows attackers to invoke some methods on Java objects by accessing crafted URLs that were not intended to be invoked this way.
The CAF demuxer in modules/demux/caf.c in VideoLAN VLC media player 3.0.4 may read memory from an uninitialized pointer when processing magic cookies in CAF files, because a ReadKukiChunk() cast converts a return value to an unsigned int even if that value is negative. This could result in a denial of service and/or a potential infoleak.
PRTG Network Monitor before 18.2.40.1683 allows remote unauthenticated attackers to create users with read-write privileges (including administrator). A remote unauthenticated user can craft an HTTP request and override attributes of the 'include' directive in /public/login.htm and perform a Local File Inclusion attack, by including /api/addusers and executing it. By providing the 'id' and 'users' parameters, an unauthenticated attacker can create a user with read-write privileges (including administrator).
Buffer overflow in PCMan FTP Server 2.0.7 allows remote code execution via the APPE command.
The RichFaces Framework 3.X through 3.3.4 is vulnerable to Expression Language (EL) injection via the UserResource resource. A remote, unauthenticated attacker could exploit this to execute arbitrary code using a chain of java serialized objects.
International Components for Unicode (ICU) for C/C++ 63.1 has an integer overflow in number::impl::DecimalQuantity::toScientificString() in i18n/number_decimalquantity.cpp.
An issue was discovered on Tenda AC7, AC9, and AC10 devices with specific firmware versions. A command injection vulnerability allows attackers to execute arbitrary OS commands via a crafted goform/setUsbUnload request because the formsetUsbUnload function executes a dosystemCmd function with untrusted input.
Unauthenticated arbitrary file upload vulnerability in Blueimp jQuery-File-Upload up to version 9.22.0. An attacker can upload malicious files without authentication.
Adobe ColdFusion versions July 12 release (2018.0.0.310739), Update 6 and earlier, and Update 14 and earlier have an unrestricted file upload vulnerability. Successful exploitation could lead to arbitrary code execution.
W Snap Creek Duplicator przed wersją 1.2.42 odkryto problem, który pozwala atakującemu na dostęp do pozostałych plików instalacyjnych (installer.php i installer-backup.php). W trakcie konfiguracji bazy danych możliwe jest wstrzyknięcie kodu PHP do pliku wp-config.php, co prowadzi do wykonania dowolnego kodu.
Python (CPython) version 2.7 contains a command injection vulnerability (CWE-77) in the shutil module (make_archive function) that can result in denial of service, information gain, or injection of arbitrary files on the system or entire drive. The attack is exploitable via passing unfiltered user input to the function.
W produkcie Modicon M221 firmy Schneider Electric występuje podatność związana z uprawnieniami, która pozwala nieautoryzowanym użytkownikom na nadpisanie oryginalnego hasła własnym hasłem. W wyniku wykorzystania tej podatności, atakujący może przesłać oryginalny program z PLC.
W produkcie Modicon M221 firmy Schneider Electric występuje podatność związana z błędem zarządzania informacjami, która dotyczy wszystkich wersji przed firmware V1.6.2.0. Umożliwia ona nieautoryzowanym użytkownikom powtarzanie sekwencji uwierzytelniających.
upgrade_handle.php on NUUO NVRmini devices allows Remote Command Execution via shell metacharacters in the uploaddir parameter for a writeuploaddir command.
MikroTik RouterOS through 6.42 allows unauthenticated remote attackers to read arbitrary files and remote authenticated attackers to write arbitrary files due to a directory traversal vulnerability in the WinBox interface.
Podatność CVE-2018-8859 dotyczy urządzeń Echelon SmartServer 1, SmartServer 2 (wszystkie wersje przed wydaniem 4.11.007), i.LON 100 oraz i.LON 600 (wszystkie wersje). Atakujący może obejść wymaganą autoryzację określoną w pliku konfiguracyjnym bezpieczeństwa, dodając dodatkowe znaki do nazwy katalogu przy określaniu katalogu do uzyskania dostępu.
Urządzenia Echelon SmartServer 1, SmartServer 2 (wszystkie wersje przed wydaniem 4.11.007), i.LON 100 oraz i.LON 600 umożliwiają domyślnie niezaszyfrowane połączenia Web. Dodatkowo, urządzenia mogą otrzymywać aktualizacje konfiguracji i oprogramowania za pomocą niezabezpieczonego FTP.
Urządzenia Echelon SmartServer 1, SmartServer 2 (wszystkie wersje przed wydaniem 4.11.007), i.LON 100 oraz i.LON 600 przechowują hasła w postaci niezaszyfrowanej. To może umożliwić atakującemu, który ma dostęp do pliku konfiguracyjnego, zalogowanie się do interfejsu użytkownika SmartServer.
Podatność CVE-2018-10627 dotyczy wszystkich wersji Echelon SmartServer 1, wszystkich wersji SmartServer 2 przed wydaniem 4.11.007 oraz wszystkich wersji i.LON 100. Atakujący może wykorzystać API SOAP do uzyskania dostępu i zmiany wrażliwych elementów konfiguracyjnych, takich jak nazwy użytkowników i hasła do serwerów WWW i FTP.
A remote code execution vulnerability exists within multiple subsystems of Drupal 7.x and 8.x. This potentially allows attackers to exploit multiple attack vectors on a Drupal site, which could result in the site being compromised. This vulnerability is related to Drupal core - Highly critical - Remote Code Execution - SA-CORE-2018-002. Both SA-CORE-2018-002 and this vulnerability are being exploited in the wild.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS