CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.11.06)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Podatność CVE-2025-27287 dotyczy deserializacji niezaufanych danych w aplikacji SS Quiz, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji SS Quiz od n/a do 2.0.5 włącznie.
Podatność CVE-2025-27286 dotyczy deserializacji niezaufanych danych w wtyczce Saoshyant Slider, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki od n/a do 3.0 włącznie.
Podatność CVE-2025-27282 dotyczy motywu Theme File Duplicator, który pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to wykorzystanie złośliwych plików przez atakujących.
W podatności CVE-2025-22655 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce CWD – Stealth Links w wersjach od n/a do 1.3. Atakujący może wykorzystać tę lukę do nieautoryzowanego dostępu do bazy danych.
Produkt Hitachi Vantara Pentaho Data Integration & Analytics w wersjach przed 10.2.0.2, w tym 9.3.x i 8.3.x, nie ogranicza identyfikatorów JNDI podczas tworzenia źródeł danych platformy. To może prowadzić do wykorzystania identyfikatorów jako odniesień do zasobów spoza zamierzonej kontroli.
Erlang/OTP prior to versions OTP-27.3.3, OTP-26.2.5.11, and OTP-25.3.2.20 contains a vulnerability in the SSH server that may allow an attacker to perform unauthenticated remote code execution (RCE). By exploiting a flaw in SSH protocol message handling, a malicious actor could gain unauthorized access and execute arbitrary commands without valid credentials.
Problem ten został rozwiązany poprzez usunięcie podatnego kodu. Został naprawiony w wersjach iOS 18.4.1, iPadOS 18.4.1, macOS Sequoia 15.4.1, tvOS 18.4.1 oraz visionOS 2.4.1.
Wystąpił problem z uszkodzeniem pamięci, który został rozwiązany poprzez poprawę sprawdzania granic. Problem ten został naprawiony w iOS 18.4.1, iPadOS 18.4.1, macOS Sequoia 15.4.1, tvOS 18.4.1, visionOS 2.4.1 oraz watchOS 11.5.
In the Linux kernel, the netfilter nfnetlink_queue subsystem uses an uninitialized 'ctx' variable in nfqnl_build_packet_message(), potentially causing memory allocation errors.
In the Linux kernel, the RDMA/erdma driver's erdma_accept_newconn() function calls erdma_cep_put() on the new_cep structure and then continues to use it, leading to a use-after-free (UAF) vulnerability.
In the Linux kernel, the fix for CVE-2024-54680 (TCP timer deadlock after rmmod) has been reverted because it did not resolve the original issue and introduced a new vulnerability: TCP socket leak in FIN_WAIT_1 state, potentially exhausting the tcp_max_orphans limit.
W podatności CVE-2025-39601 występuje problem Cross-Site Request Forgery (CSRF) w wtyczce WPFactory Custom CSS, JS & PHP, który umożliwia zdalne włączenie kodu. Dotyczy to wersji wtyczki od n/a do 2.4.1 włącznie.
Podatność CVE-2025-39557 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem wtyczki Kadence WooCommerce Email Designer, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji wtyczki od n/a do 1.5.14.
In the Linux kernel's netfilter subsystem, the nf_sk_lookup_slow_v6 function lacks a conntrack lookup for SNATed IPv6 packets, unlike its IPv4 counterpart. This causes xt_socket rules with --transparent to fail for IPv6 traffic after address translation.
Zidentyfikowano podatność w Rancher, która pozwala na ucieczkę z chroot jail i uzyskanie dostępu root do kontenera Rancher. W środowiskach produkcyjnych możliwe jest dalsze eskalowanie uprawnień, a w środowiskach testowych i deweloperskich, przy użyciu kontenera Docker z flagą –privileged, można uciec z kontenera Docker i uzyskać dostęp do systemu hosta.
Delta Electronics COMMGR w wersjach 1 i 2 wykorzystuje niewystarczająco losowe wartości do generowania identyfikatorów sesji. Atakujący może łatwo przeprowadzić atak brute force na identyfikator sesji i załadować oraz wykonać dowolny kod.
NATS-Server, serwer wysokowydajny dla systemu wiadomości NATS.io, ma lukę w zarządzaniu zasobami JetStream w wersjach od 2.2.0 do przed 2.10.27 oraz 2.11.1. Niektóre żądania API JS nie miały odpowiednich kontroli dostępu, co pozwalało użytkownikom z uprawnieniami do zarządzania JS w jednym koncie na wykonywanie działań administracyjnych na zasobach JS w innych kontach.
Podatność typu Cross-Site Request Forgery (CSRF) w NotFound WPJobBoard umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy WPJobBoard w nieokreślonym zakresie wersji.
Podatność CVE-2025-26927 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w LiquidThemes AI Hub, co umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji AI Hub od n/a do 1.3.7 włącznie.
Argo Events to framework automatyzacji workflow oparty na zdarzeniach dla Kubernetes. Użytkownik z uprawnieniami do tworzenia/modyfikowania zasobów EventSource i Sensor może uzyskać uprzywilejowany dostęp do systemu hosta i klastra, nawet bez bezpośrednich uprawnień administracyjnych.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS