CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.11.06)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
An Improper Authentication vulnerability in the SSLVPN authentication mechanism allows a remote attacker to bypass authentication.
Wykorzystanie kryptograficznie słabego generatora liczb pseudolosowych (PRNG) w generatorze tokenów uwierzytelniających SSLVPN SonicOS, który w niektórych przypadkach może być przewidywalny przez atakującego, co potencjalnie prowadzi do ominięcia uwierzytelnienia.
A stack-based buffer overflow in Ivanti Connect Secure before version 22.7R2.5, Ivanti Policy Secure before version 22.7R1.2, and Ivanti Neurons for ZTA gateways before version 22.7R2.3. It allows a remote unauthenticated attacker to achieve remote code execution.
A vulnerability in the Linux kernel's NFS server (nfsd) causes a memory leak during concurrent file open operations (nfsd4_open). The issue stems from improper handling of nfs4_openowner objects when two parallel open requests for the same file are processed by different nfsd threads. In extreme cases, this can lead to a kernel panic when shutting down the NFS server.
Podatność w Pingvin Share umożliwia uwierzytelnionym lub nieuwierzytelnionym użytkownikom (jeśli dozwolone są anonimowe udostępnienia) nadpisywanie dowolnych plików na serwerze, w tym wrażliwych plików systemowych, za pomocą żądań HTTP POST. Problem został naprawiony w wersji 1.4.0.
Wtyczka WordPress File Upload jest podatna na zdalne wykonanie kodu we wszystkich wersjach do i włącznie z 4.24.12 poprzez parametr cookie 'wfu_ABSPATH'. Umożliwia to nieautoryzowanym atakującym wykonanie kodu na serwerze.
Wtyczka WordPress File Upload jest podatna na zdalne wykonanie kodu, nieautoryzowane odczytywanie plików oraz usuwanie plików we wszystkich wersjach do i włącznie z 4.24.15. Problem wynika z braku odpowiedniej sanitizacji parametru 'source' oraz możliwości zdefiniowania ścieżki katalogu przez użytkownika.
An issue was discovered in Aviatrix Controller before 7.1.4191 and 7.2.x before 7.2.4996. Due to improper neutralization of special elements used in an OS command, an unauthenticated attacker is able to execute arbitrary code by sending shell metacharacters to /v1/api in cloud_type or src_cloud_type.
I, Librarian w wersjach do 5.11.1 jest podatny na atak typu Server-Side Request Forgery (SSRF) z powodu niewłaściwej walidacji danych wejściowych w pliku classes/security/validation.php.
W podatności XXE (XML External Entity) w Intersec Geosafe-ea w wersjach 2022.12, 2022.13 i 2022.14, atakujący mogą przeprowadzać odczyt dowolnych plików z uprawnieniami działającego procesu, wykonywać żądania SSRF lub powodować Denial of Service (DoS) za pomocą nieokreślonych wektorów.
W Ovidentia 8.3 zidentyfikowano problem związany z funkcją przesyłania plików, która nie blokuje przesyłania plików wykonywalnych. Użytkownik może przesłać plik .png zawierający kod PHP, a następnie zmienić jego nazwę na .php, co umożliwia zdalne wykonanie kodu.
W sterowniku SmSerl64.sys w Motorola SM56 Modem WDM Driver v6.12.23.0 występuje podatność, która pozwala użytkownikom o niskich uprawnieniach na mapowanie pamięci fizycznej za pomocą specjalnie przygotowanych żądań IOCTL. Może to prowadzić do eskalacji uprawnień, wykonania kodu z wysokimi uprawnieniami oraz ujawnienia informacji.
A file upload bypass vulnerability in AdPortal 3.0.39 allows a remote attacker to execute arbitrary code via the file upload functionality.
A Server-Side Template Injection (SSTI) vulnerability was found in AdPortal 3.0.39. A remote attacker can exploit the shippingAsBilling and firstname parameters in the updateuserinfo.html file to execute arbitrary code.
W przeglądarce Firefox 133 i kliencie pocztowym Thunderbird 133 występują błędy związane z bezpieczeństwem pamięci. Niektóre z tych błędów wykazywały oznaki uszkodzenia pamięci, co może umożliwić uruchomienie dowolnego kodu.
Podatność w Crater Invoice pozwala nieautoryzowanemu atakującemu, który zna APP_KEY, na zdalne wykonanie poleceń na serwerze poprzez manipulację ciasteczkiem laravel_session. Wykorzystanie tej podatności opiera się na uzyskaniu tajnego APP_KEY, co umożliwia deszyfrowanie i manipulację danymi sesji.
W podatności CVE-2024-56290 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wykonania ataku typu SQL Injection w wtyczce Multiple Shipping And Billing Address For Woocommerce w wersjach od n/a do 1.2.
Podatność CVE-2024-56284 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce SSL Wireless SMS Notification w wersjach od n/a do 3.5.0.
Podatność CVE-2024-56278 dotyczy wtyczki WP Ultimate Exporter od Smackcoders Inc., która pozwala na zdalne dołączanie plików PHP z powodu niewłaściwej kontroli generowania kodu. Problem ten występuje w wersjach od n/a do 2.9.1 włącznie.
W podatności CVE-2024-49649 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości lokalnego włączenia pliku. Problem dotyczy aplikacji Build App Online w wersjach od n/a do 1.0.23.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS