CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.11.06)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
tinyfiledialogs w wersjach przed 3.15.0 pozwala na użycie metaznaków powłoki (takich jak znak backquote lub dolar) w tytułach, wiadomościach i innych danych wejściowych. Problem ten wynika z niekompletnej poprawki dla CVE-2020-36767, która uwzględniała jedynie znaki pojedynczego i podwójnego cudzysłowu.
Wtyczka Ads by datafeedr.com dla WordPressa jest podatna na zdalne wykonanie kodu w wersjach do 1.1.3 włącznie, poprzez funkcję 'dfads_ajax_load_ads'. Umożliwia to nieautoryzowanym atakującym wykonanie kodu na serwerze.
Wtyczka PHP to Page dla WordPressa jest podatna na lokalne włączenie pliku, co może prowadzić do zdalnego wykonania kodu w wersjach do 0.3 włącznie, poprzez shortcode 'php-to-page'. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie subskrybenta lub wyżej, włączenie lokalnego pliku i potencjalne wykonanie kodu na serwerze.
The Java OpenWire protocol marshaller is vulnerable to Remote Code Execution. This vulnerability may allow a remote attacker with network access to either a Java-based OpenWire broker or client to run arbitrary shell commands by manipulating serialized class types in the OpenWire protocol to cause either the client or the broker (respectively) to instantiate any class on the classpath.
CVE-2023-5807 describes an improper neutralization of special elements used in SQL commands, allowing SQL Injection in the TRtek Software Education Portal. This issue affects the Education Portal versions before 3.2023.29.
Undisclosed requests may bypass configuration utility authentication, allowing an attacker with network access to the BIG-IP system through the management port and/or self IP addresses to execute arbitrary system commands. Software versions which have reached End of Technical Support (EoTS) are not evaluated.
NextGen Healthcare Mirth Connect before version 4.4.1 is vulnerable to unauthenticated remote code execution. This vulnerability is caused by the incomplete patch of CVE-2023-37679.
The crypto-js library prior to version 4.2.0 has a weak implementation of PBKDF2, which is 1,000 times weaker than originally specified in 1993 and 1,300,000 times weaker than the current industry standard. It defaults to SHA1 and a single iteration, significantly reducing security.
An issue in SeaCMS v.12.9 allows an attacker to execute arbitrary commands via the admin_safe.php component.
vCenter Server contains an out-of-bounds write vulnerability in the implementation of the DCERPC protocol. A malicious actor with network access to vCenter Server may trigger an out-of-bounds write potentially leading to remote code execution.
Wtyczka Icegram Express dla WordPressa jest podatna na atak typu Directory Traversal w wersjach do 5.6.23 włącznie, poprzez funkcję show_es_logs. Umożliwia to atakującym na poziomie administratora odczyt zawartości dowolnych plików na serwerze.
Dropbox Folder Share dla WordPressa jest podatny na Local File Inclusion w wersjach do 1.9.7 włącznie, poprzez plik editor-view.php. Umożliwia to nieautoryzowanym atakującym dołączanie i wykonywanie dowolnych plików na serwerze, co pozwala na wykonanie kodu PHP w tych plikach.
Wtyczka Simple:Press – Forum dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w pliku ~/admin/resources/jscript/ajaxupload/sf-uploader.php w wersjach do 6.6.0 włącznie. Umożliwia to atakującym przesyłanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu.
A vulnerability in the web-based interface of RUCKUS Cloudpath version 5.12 build 5538 or earlier allows a remote, unauthenticated attacker to perform persistent XSS and CSRF attacks against the admin interface. Combined with specific admin activity, the attack can lead to full administrative privileges.
In the "Rotator Img" module (posrotatorimg) for PrestaShop in versions at least up to 1.1 from PosThemes, an unauthenticated user can perform an SQL injection attack.
WebJET CMS 8.6.896 by Interway a.s. is vulnerable to Cross Site Scripting (XSS). This allows an attacker to inject malicious JavaScript code into pages viewed by other users.
The AI ChatBot for WordPress plugin versions up to 4.8.9 and 4.9.2 contains a Directory Traversal vulnerability in the qcld_openai_upload_pagetraining_file function. This allows subscriber-level attackers to append "<?php" to any existing file on the server, potentially causing a Denial of Service (DoS) when critical files like wp-config.php are modified.
Wtyczka AI ChatBot dla WordPressa jest podatna na usuwanie dowolnych plików w wersjach do 4.8.9 włącznie oraz w wersji 4.9.2. Umożliwia to uwierzytelnionym atakującym z uprawnieniami subskrybenta usuwanie dowolnych plików na serwerze.
Wtyczka ChatBot dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr $strid w wersjach do 4.8.9 włącznie, z powodu niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to nieautoryzowanym atakującym dodawanie dodatkowych zapytań SQL do już istniejących, co może prowadzić do wyciągania wrażliwych informacji z bazy danych.
CVE-2023-38545 is a vulnerability related to heap buffer overflow during the SOCKS5 proxy handshake in curl. The issue arises when curl passes a hostname that is too long to the proxy, leading to incorrect data copying.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS