CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
CISA KEV catalog updated: (v2026.08.21)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
A vulnerability in the archive/zip package of Go causes its handling of certain invalid zip files to differ from most zip implementations. This discrepancy can be exploited to create a zip file whose content varies depending on the reading implementation. The archive/zip package now rejects such files.
The Go HTTP client drops sensitive headers (e.g., Authorization) after a cross-domain redirect, but may re-send them on a subsequent same-domain redirect, posing a potential data leak risk.
W jądrze Linuxa rozwiązano podatność związaną z systemem plików f2fs, która mogła prowadzić do błędów podczas aktualizacji kontekstu kompresji w trakcie operacji zapisu. Zgłoszenie błędu dotyczyło problemu z dzieleniem, który mógł wystąpić w określonych warunkach.
The RedirectSlashes function in middleware/strip.go is vulnerable to host header injection leading to an open redirect. This is considered lower-severity as it cannot be exploited from browsers or email clients.
A race condition in the Go database/sql package can overwrite expected results when a query is cancelled during the Scan method call while other queries run in parallel.
W jądrze Linuxa naprawiono podatność związaną z podwójnym zwolnieniem pamięci w funkcji ulpi_register_interface() w przypadku błędu. Gdy rejestracja urządzenia (device_register()) kończy się niepowodzeniem, funkcja ulpi_register() wywołuje put_device() na ulpi->dev.
W jądrze Linuxa zidentyfikowano podatność związaną z drogą drm_compat_ioctl, która umożliwia spekulacyjne wykonanie kodu. Problem polega na tym, że wskaźnik kontrolowany przez użytkownika jest dereferencjonowany w tabeli wskaźników funkcji, co jest charakterystyczne dla problemów typu Spectre.
W jądrze Linuxa rozwiązano podatność związaną z ograniczeniem użycia w nieuprzywilejowanych domU w sterowniku Xen privcmd. Umożliwia on wydawanie dowolnych hypercalli z procesów w przestrzeni użytkownika, co normalnie nie stanowi problemu, ponieważ dostęp jest zazwyczaj ograniczony do roota.
W jądrze Linuxa zidentyfikowano podatność związaną z infrastrukturą driver_override. Podczas próby podłączenia sterownika przez __driver_attach() wywoływana jest funkcja match() bez zablokowania urządzenia, co prowadzi do niechronionego dostępu do pola driver_override.
W jądrze systemu Linux naprawiono podatność, która mogła prowadzić do zakleszczenia (deadlock) podczas procesu hotplug CPU. Problem występował w sekwencji operacji związanych z blokowaniem mutexa.
W jądrze Linuxa zidentyfikowano podatność związaną z błędem off-by-one w walidacji wire_order w module ti_am335x_tsc. Błąd ten pozwala na dostęp do pamięci poza dozwolonym zakresem, gdy wire_order[i] jest równe ARRAY_SIZE(config_pins).
In CPython, the email module does not properly quote newlines in email headers during serialization, allowing header injection when an email is serialized. This is a medium severity vulnerability.
W jądrze Linuxa rozwiązano podatność, która dotyczy funkcji j1939_session_activate(). Problem występuje, gdy urządzenie nie jest już zarejestrowane, co może prowadzić do nieprawidłowego działania.
W jądrze Linuxa rozwiązano podatność związaną z wyciekiem informacji z jądra, która dotyczy struktury iw_point. Struktura ta zawiera 32-bitową lukę na architekturach 64-bitowych.
Null pointer dereference in mod_proxy in Apache HTTP Server 2.4.59 and earlier allows an attacker to crash the server via a malicious request.
W jądrze Linuxa zidentyfikowano podatność, która została rozwiązana. Problem dotyczy współbieżnego wykonywania MEDIA_REQUEST_IOC_REINIT z VIDIOC_REQBUFS(0), co może prowadzić do wyścigu między czyszczeniem obiektu żądania a anulowaniem kolejki vb2.
W jądrze Linuxa naprawiono podatność związaną z obsługą błędów inicjalizacji regmap w sterowniku dmaengine dla Xilinx XDMA. Funkcja devm_regmap_init_mmio zwraca ERR_PTR() w przypadku błędu, a nie NULL, co wymaga poprawy w sprawdzaniu błędów oraz komunikatach o błędach.
Libarchive has a remote code execution vulnerability. Technical details are not provided in the description.
W jądrze Linuxa rozwiązano podatność związaną z obsługą GPIO w sterowniku nxp-nci. Umożliwiono firmware'owi oraz GPIO przechodzenie w stan uśpienia, co naprawia ostrzeżenie `WARN_ON` i pozwala na prawidłowe działanie GPIO podłączonych do ekspanderów I2C.
W jądrze Linuxa rozwiązano podatność związaną z obsługą zakończenia w funkcji send_done, która nie uwzględniała IB_SEND_SIGNALED. W przypadku przetwarzania smbdirect_send_batch mogą występować żądania bez IB_SEND_SIGNALED, które zostaną zniszczone w ostatnim żądaniu z IB_SEND_SIGNALED.