CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.11.06)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
W podatności CVE-2024-13152 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co pozwala na atak typu SQL Injection w panelu monitorowania maszyn Mobuy Online. Problem dotyczy wersji przed 2.0.
W aplikacji mobilnej (com.transsion.carlcare) występuje luka logiczna, która może prowadzić do przejęcia konta użytkownika.
W podatności CVE-2025-22630 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach, co prowadzi do możliwości wstrzyknięcia poleceń systemowych w widgecie Widget Options. Problem ten dotyczy wersji Widget Options od n/a do 4.1.0 włącznie.
Podatność CVE-2025-1127 pozwala atakującemu na wykonanie dowolnego kodu jako użytkownik bez uprawnień oraz na modyfikację zawartości dowolnych danych w systemie plików.
Wtyczka WP Directorybox Manager dla WordPressa jest podatna na obejście uwierzytelniania we wszystkich wersjach do i włącznie z 2.5. Problem wynika z nieprawidłowego uwierzytelniania w funkcji 'wp_dp_parse_request'.
Crayfish to zbiór mikroserwisów Islandora 8, w tym Homarus, który udostępnia FFmpeg jako mikroserwis. Przed wersją 4.1.0 Crayfish, w niektórych konfiguracjach, mogło dojść do zdalnego wykonania kodu w instalacjach Homarus dostępnych przez sieć.
An authentication bypass in Palo Alto Networks PAN-OS software enables an unauthenticated attacker with network access to the management web interface to bypass authentication and invoke certain PHP scripts. This does not enable remote code execution but can negatively impact integrity and confidentiality.
W Stroom, platformie do przetwarzania, przechowywania i analizy danych, występuje podatność, która pozwala na obejście uwierzytelniania w systemie Stroom, gdy jest skonfigurowany z ALB i dostępny nie przez ALB. Podatność ta może również umożliwić atak typu server-side request forgery, co może prowadzić do wykonania kodu lub eskalacji uprawnień przy użyciu adresu URL metadanych AWS.
Wtyczka WP Job Board Pro dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 2.3.16. Problem wynika z możliwości podania przez użytkownika pola 'rola' podczas rejestracji, co umożliwia nieautoryzowanym atakującym rejestrację jako administrator na podatnych stronach.
W podatności CVE-2025-25530 występuje przepełnienie bufora w bramie Digital China DCBI-Netlog-LAB w wersji 1.0, spowodowane brakiem weryfikacji długości, co dotyczy zapisywania informacji o konfiguracji kontroli rodzicielskiej. Atakujący, którzy pomyślnie wykorzystają tę podatność, mogą spowodować awarię zdalnego urządzenia docelowego lub wykonać dowolne polecenia.
Zidentyfikowano podatność w kliencie zarządzania drukiem Lexmark, polegającą na zaufaniu do niezweryfikowanych danych wejściowych w decyzjach bezpieczeństwa.
Concorde, wcześniej znany jako Nexkey, to fork federacyjnej platformy mikroblogowej Misskey. Przed wersją 12.25Q1.1, z powodu niewłaściwej implementacji procesu wylogowywania, dane uwierzytelniające pozostają w ciasteczkach nawet po wylogowaniu, co może umożliwić atakującemu kradzież tokenów uwierzytelniających.
PandasAI wykorzystuje funkcję interaktywnego podpowiadania, która jest podatna na wstrzyknięcie podpowiedzi, co pozwala na uruchomienie dowolnego kodu Pythona. Może to prowadzić do zdalnego wykonania kodu (RCE) zamiast zamierzonego wyjaśnienia przetwarzania języka naturalnego przez model LLM.
Oprogramowanie układowe wszystkich urządzeń Wattsense Bridge zawiera te same wbudowane dane logowania dla użytkownika i roota. Hasło użytkownika można łatwo odzyskać za pomocą prób łamania haseł, co umożliwia dostęp do urządzenia przez interfejs szeregowy.
Wtyczka WP Foodbakery dla WordPressa jest podatna na eskalację uprawnień poprzez przejęcie konta we wszystkich wersjach do 4.8 włącznie. Problem wynika z niewłaściwej walidacji tożsamości użytkownika przed ustawieniem bieżącego użytkownika oraz jego ciasteczka uwierzytelniającego.
Wtyczka WP Foodbakery dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do i włącznie z 4.7. Problem wynika z niewłaściwego ograniczenia aktualizacji metadanych użytkownika podczas rejestracji profilu.
System Spraw Szkolnych od Quanxun ma lukę, która umożliwia nieautoryzowanym atakującym przeglądanie określonych stron oraz uzyskiwanie informacji z bazy danych, w tym niezaszyfrowanych danych logowania administratora.
Wazuh is a platform for threat prevention, detection, and response. Starting in version 4.4.0 and prior to 4.9.1, an unsafe deserialization vulnerability allows remote code execution on Wazuh servers. An attacker can inject an unsanitized dictionary in a DAPI request/response to execute arbitrary Python code.
Wtyczka WP Foodbakery dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu niewystarczającej walidacji typów plików w funkcji 'upload_publisher_profile_image' w wersjach do 4.7 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.
Wtyczka WP Directorybox Manager dla WordPressa jest podatna na obejście uwierzytelniania w wersjach do 2.5 włącznie. Problem wynika z nieprawidłowego uwierzytelniania w funkcji 'wp_dp_enquiry_agent_contact_form_submit_callback'.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS