CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.11.06)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Podatność typu przepełnienie bufora w btstack mesh przed wersją 864e2f2b6b7878c8fab3cf5ee84ae566e3380c58 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez funkcję pb_adv_handle_tranaction_cont w komponencie src/mesh/pb_adv.c.
Wykryto problem w Bravura Security Fabric w wersjach 12.3.x przed 12.3.5.32784, 12.4.x przed 12.4.3.35110, 12.5.x przed 12.5.2.35950, 12.6.x przed 12.6.2.37183 oraz 12.7.x przed 12.7.1.38241. Nieautoryzowany atakujący może spowodować wyciek zasobów, wykonując wiele nieudanych prób logowania przez API SOAP.
W podatności CVE-2024-5960 w Eliz Software Panel występuje problem z przechowywaniem haseł w postaci niezaszyfrowanej, co umożliwia wykorzystanie znanych danych logowania do domeny. Dotyczy to wersji Panelu przed 2.3.24.
Niebezpieczna deserializacja w sqlitedict do wersji 2.1.0 umożliwia atakującym wykonanie dowolnego kodu. Problem ten może prowadzić do poważnych naruszeń bezpieczeństwa systemu.
In the SMB client in the Linux kernel, there is a double put of @cfile in smb2_rename_path(). If smb2_set_path_attr() is called with a valid @cfile and returns -EINVAL, the reference of @cfile was already dropped by a previous smb2_compound_op() call, leading to a double put.
In the Linux kernel, the mlx5e driver for SHAMPO has an incorrect page release issue. Under specific conditions (no skb, header_size == 0, last fragment of a header page), a SHAMPO header page is released incorrectly, leading to multiple releases of the same pages.
The WPCargo Track & Trace plugin before version 8.0.4 contains an SQL injection vulnerability in the wpcargo module. An attacker can exploit improper neutralization of special elements in an SQL command.
W podatności CVE-2024-43978 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Super Store Finder dla WordPressa. Problem dotyczy wersji wtyczki od n/a do poniżej 6.9.8.
Podatność CVE-2024-43976 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Super Store Finder dla WordPressa. Problem ten dotyczy wersji od n/a do 6.9.7 włącznie.
PTZOptics PT30X-SDI/NDI-xx before firmware 6.3.40 has an insufficient authentication issue. The camera does not enforce authentication to /cgi-bin/param.cgi when requests lack an HTTP Authorization header. A remote unauthenticated attacker can leak sensitive data such as usernames, password hashes, and configuration details, and can also update configuration values or overwrite the whole file.
Kernela arduino-esp32 dla mikrokontrolerów ESP32 i pokrewnych jest podatny na wiele luk związanych z Wykonaniem Zatrutego Rurociągu (PPE). Występuje możliwość wstrzyknięcia kodu w workflow `tests_results.yml` oraz wstrzyknięcia zmiennych środowiskowych. Problemy te zostały rozwiązane, jednak użytkownicy powinni zweryfikować zawartość pobranych artefaktów.
An improper access control vulnerability in GroupMe allows an unauthenticated attacker to elevate privileges over a network.
vCenter Server contains a heap-overflow vulnerability in the implementation of the DCERPC protocol. A malicious actor with network access to vCenter Server may trigger this vulnerability by sending a specially crafted network packet, potentially leading to remote code execution.
Podatność CVE-2024-8767 dotyczy ujawnienia i manipulacji wrażliwymi danymi spowodowaną niepotrzebnym przydzieleniem uprawnień. Dotyczy to wtyczek Acronis Backup dla cPanel & WHM, Plesk oraz DirectAdmin na systemach Linux przed określonymi wersjami.
W openshift/builder znaleziono lukę, która umożliwia wstrzykiwanie poleceń poprzez przejście ścieżki. Złośliwy użytkownik może wykonać dowolne polecenia na węźle OpenShift uruchamiającym kontener builder.
W OpenShift zidentyfikowano lukę, która wynika z niewłaściwego użycia podwyższonych uprawnień w procesie budowy. Podczas inicjalizacji budowy kontener git-clone jest uruchamiany z uprzywilejowanym kontekstem bezpieczeństwa, co umożliwia nieograniczony dostęp do węzła.
Wielokrotne routery ZTE mają podatność na przepełnienie bufora na stosie w funkcji check_data_integrity w binarnym pliku HTTPD. Funkcja ta odpowiada za walidację sumy kontrolnej danych w żądaniu POST, jednak nie weryfikuje poprawności odczytanej sumy kontrolnej, co umożliwia atakującemu zdalne wykonanie kodu jako root.
Wielokrotne routery ZTE mają podatność na przepełnienie bufora na stosie w funkcji webPrivateDecrypt w binarnym pliku HTTPD. Funkcja ta odpowiada za deszyfrowanie zaszyfrowanych danych RSA, które są dostarczane w formacie base64, a zdekodowane dane są przechowywane na stosie bez sprawdzania ich długości.
W podatności CVE-2024-7104 występuje niewłaściwa kontrola generowania kodu, co prowadzi do możliwości wstrzyknięcia kodu w aplikacji ww.Winsure w wersjach przed 4.6.2.
Podatność CVE-2024-7098 dotyczy niewłaściwego ograniczenia odniesienia do zewnętrznych jednostek XML w oprogramowaniu ww.Winsure, co umożliwia atak typu XML Injection. Problem ten występuje w wersjach przed 4.6.2.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS