CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.11.06)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
A vulnerability in the VPN web server of Cisco Secure Firewall ASA and FTD Software allows an authenticated, remote attacker to execute arbitrary code on the device. The issue is due to improper validation of user-supplied input in HTTP(S) requests. A successful exploit could allow the attacker to execute code as root, potentially leading to full device compromise.
Horilla (an HRMS) prior to version 1.4.0 contains a stored XSS vulnerability in the ticket comment editor. A low-privilege authenticated user could run arbitrary JavaScript in an admin's browser, exfiltrate the admin's cookies/CSRF token, and hijack their session. The issue is patched in version 1.4.0.
Projekt Gardener umożliwia automatyczne zarządzanie i obsługę klastrów Kubernetes jako usługi. W wersjach wcześniejszych niż 1.64.0 dla dostawców AWS, 1.55.0 dla Azure, 1.49.0 dla OpenStack oraz 1.46.0 dla GCP może wystąpić możliwość wstrzyknięcia kodu w rozszerzeniach Gardenera.
Ericsson Indoor Connect 8855 contains an improper input validation vulnerability that, if exploited, can allow an attacker to execute commands with escalated privileges.
iMonitor EAM w wersji 9.6394 dostarczany jest z domyślnymi danymi logowania dla administratora, które są również wyświetlane w oknie połączenia klienta zarządzającego. Jeśli administrator nie zmieni tych domyślnych danych, zdalny atakujący może uwierzytelnić się na serwerze EAM i uzyskać pełną kontrolę nad monitorowanymi agentami oraz danymi.
Rob--W cors-anywhere instances configured as an open proxy allow unauthenticated external users to induce the server to make HTTP requests to arbitrary targets (SSRF). Because the proxy forwards requests and headers, an attacker can reach internal-only endpoints and link-local metadata services, retrieve instance role credentials or other sensitive metadata, and interact with internal APIs and services not intended to be internet-facing.
ADB MCP Server versions 0.1.0 and prior are vulnerable to command injection attacks in some of its MCP Server tool definitions and implementations. The issue has been patched in commit 041729c.
Ericsson Indoor Connect 8855 contains an SQL injection vulnerability that, if exploited, can result in unauthorized disclosure or modification of data.
Do pakietu Nx (systemu budowania) oraz kilku powiązanych wtyczek wprowadzono złośliwy kod. Zmodyfikowany pakiet został opublikowany w rejestrze oprogramowania npm w wyniku ataku na łańcuch dostaw.
Side-channel information leakage in V8 in Google Chrome prior to 140.0.7339.207 allowed a remote attacker to leak cross-origin data via a crafted HTML page.
A type confusion vulnerability in the V8 engine in Google Chrome prior to 140.0.7339.185 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. The issue is rated as high severity.
Wtyczka MultiLoca - WooCommerce Multi Locations Inventory Management dla WordPressa jest podatna na nieautoryzowaną modyfikację danych, co może prowadzić do eskalacji uprawnień. Problem wynika z braku sprawdzenia uprawnień w funkcji 'wcmlim_settings_ajax_handler' we wszystkich wersjach do 4.2.8 włącznie.
Baza danych aplikacji webowej jest wystawiona bez uwierzytelnienia, co pozwala nieautoryzowanemu zdalnemu atakującemu uzyskać dostęp i potencjalnie ją skompromitować.
The Prompt module in DNN (DotNetNuke) before version 10.1.0 allows execution of commands that can return raw HTML. Malicious input, even if sanitized for display, can be executed when processed through certain commands, leading to potential script execution (XSS). Patched in version 10.1.0.
An untrusted pointer dereference vulnerability in RTI Connext Professional (Core Libraries) allows pointer manipulation. It affects Connext Professional versions from 7.4.0 before 7.6.0, from 7.0.0 before 7.3.0.10, from 6.1.0 before 6.1.2.27, from 6.0.0 before 6.0.1.43, from 5.3.0 before 5.3.*, from 5.2.0 before 5.2.*, and from 4.4a before 5.1.*.
An untrusted pointer dereference vulnerability in RTI Connext Professional (Core Libraries) allows pointer manipulation. It affects Connext Professional versions from 7.4.0 before 7.6.0 and from 7.2.0 before 7.3.0.9.
Podatność CVE-2025-9846 dotyczy systemu Inka.Net, który przed wersją 6.7.1 pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach, co może prowadzić do wstrzyknięcia poleceń.
A buffer overflow vulnerability in Novakon P series allows attackers to gain root permission without prior authentication. This affects P series versions from P – V2001.A.C518o2 up to P-2.0.05 Build 2026.02.06 (commit d0f97fd9).
Wtyczka Product Options and Price Calculation Formulas for WooCommerce – Uni CPO (Premium) dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu błędnej walidacji typów plików w funkcji 'uni_cpo_upload_file' w wersjach do 4.9.55 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.
Wtyczka Podlove Podcast Publisher dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji 'move_as_original_file' we wszystkich wersjach do 4.2.6 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwerze dotkniętej witryny.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS