CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
CISA KEV catalog updated: (v2026.08.18)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
W jądrze systemu Linux rozwiązano podatność związaną z obsługą remapowania w kontekście obciążenia 3D. Użytkownicy zgłaszali ostrzeżenia związane z funkcją vm_bind_ioctl_ops_unwind.
W jądrze Linuxa rozwiązano podatność związaną z kontrolerem imx8mp-blk-ctrl, która polegała na konieczności utrzymania zegara NOC_HDCP w stanie włączonym. Problem ten mógł prowadzić do zawieszenia systemu związanego z procedurą wyłączania zasilania portu NoC ADB400.
Błąd w niektórych procesorach AMD może umożliwić atakującemu z lokalnymi uprawnieniami administratora uruchomienie gościa SEV-SNP przy użyciu przestarzałych wpisów TLB, co może prowadzić do utraty integralności danych.
NSS był podatny na atak typu timing side-channel podczas wykonywania deszyfrowania RSA. Atak ten mógłby potencjalnie umożliwić atakującemu odzyskanie prywatnych danych. Ta podatność dotyczy wersji Firefox < 124, Firefox ESR < 115.9 oraz Thunderbird < 115.9.
Wiele krzywych NSS NIST było podatnych na atak boczny znany jako 'Minerva'. Atak ten mógł potencjalnie umożliwić napastnikowi odzyskanie klucza prywatnego. Ta podatność dotyczy wersji Firefox poniżej 121.
W komponentach bibliotek NSS występują nieprawidłowe warunki graniczne, co prowadzi do potencjalnych problemów z bezpieczeństwem. Podatność ta została naprawiona w wersjach Firefox 150, Firefox ESR 115.35, Firefox ESR 140.10, Thunderbird 150 oraz Thunderbird 140.10.
In OpenPrinting CUPS, versions 2.4.16 and prior, a use-after-free vulnerability exists in the CUPS scheduler (cupsd) when temporary printers are automatically deleted.
A vulnerability in telnet in GNU inetutils through version 2.7 allows servers to read arbitrary environment variables from clients via the NEW_ENVIRON SEND USERVAR command.
In systemd versions 233 through 259 before 260, an escape-to-host action can occur via a crafted optional config file in nspawn.
Libsndfile w wersjach do 1.2.2 zawiera podatność na wyciek pamięci w funkcji mpeg_l3_encoder_init() w pliku mpeg_l3_encode.c.
W python-apt występuje dereferencja wskaźnika NULL w funkcji TagSection.keys(), co pozwala lokalnemu atakującemu na spowodowanie awarii procesu (denial of service) poprzez przygotowany plik deb822 z nieprawidłowym kluczem niebędącym w formacie UTF-8.
Vim, edytor tekstu, jest podatny na potencjalną utratę danych przy użyciu zip.vim oraz specjalnie przygotowanych plików zip w wersjach przed 9.1.1198. Problem został rozwiązany w najnowszej łatce Vim.
The go-ntlmssp package before version 0.1.1 contains a vulnerability that causes a slice out of bounds panic when processing a malicious NTLM challenge message. This can crash any Go process using `ntlmssp.Negotiator` as an HTTP transport.
In PHP versions 8.1.x before 8.1.31, 8.2.x before 8.2.26, 8.3.x before 8.3.14, the convert.quoted-printable-decode filter can cause a buffer overread by one byte, potentially leading to crashes or disclosure of other memory areas.
PostCSS przed wersją 8.5.10 nie ucieka sekwencjom `</style>` podczas przetwarzania reguł CSS w Abstract Syntax Tree. Może to prowadzić do wstrzyknięcia niebezpiecznego kodu HTML w przypadku przetwarzania CSS dostarczonego przez użytkowników.
fast-xml-parser przed wersją 5.7.0 nie poprawnie obsługuje sekwencje komentarzy i CDATA w XML, co prowadzi do możliwości wstrzyknięcia XML. Użytkownicy mogą przetwarzać XML z obiektów JS bez użycia bibliotek C/C++ lub callbacków.
Biblioteka Axios, używana jako klient HTTP, przed wersjami 1.15.1 i 0.31.1, miała lukę w logice ochrony tokenów XSRF. Wykorzystywała semantykę prawdziwości/falszywości w JavaScript zamiast ścisłego porównania boolean dla właściwości konfiguracyjnej withXSRFToken.
n8n to platforma automatyzacji procesów roboczych typu open source. Przed wersjami 1.123.32, 2.17.4 i 2.18.1, uwierzytelniony użytkownik z ważnym kluczem API, ograniczonym do variable:list, mógł odczytać zmienne z projektów, w których nie był członkiem, podając dowolny parametr projectId w publicznym API.
Axios to klient HTTP oparty na obietnicach dla przeglądarki i Node.js. W wersjach przed 1.15.1 i 0.31.1 poprawka dotycząca obejścia normalizacji nazw hostów no_proxy jest niekompletna, co prowadzi do nieprawidłowego routingu żądań.
Węzeł `ExecuteWorkflow` z opcją źródła `localFile` odczytywał pliki robocze z dysku, nie stosując kontroli wymaganych przez inne węzły do odczytu plików. Użytkownik z odpowiednimi uprawnieniami mógł dostarczyć dowolną ścieżkę pliku przez API REST, omijając zabezpieczenia.