CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.11.04)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Directory Traversal in the function http_verify in nostromo nhttpd through 1.9.6 allows an attacker to achieve remote code execution via a crafted HTTP request. The flaw enables bypassing directory restrictions and executing arbitrary commands.
A Polymorphic Typing issue was discovered in FasterXML jackson-databind 2.0.0 through 2.9.10. When Default Typing is enabled (either globally or for a specific property) for an externally exposed JSON endpoint and the service has the apache-log4j-extra (version 1.2.x) jar in the classpath, and an attacker can provide a JNDI service to access, it is possible to make the service execute a malicious payload.
A Polymorphic Typing issue was discovered in FasterXML jackson-databind before 2.9.10. It is related to net.sf.ehcache.hibernate.EhcacheJtaTransactionManagerLookup.
A Polymorphic Typing issue was discovered in FasterXML jackson-databind 2.0.0 through 2.9.10. When Default Typing is enabled (either globally or for a specific property) for an externally exposed JSON endpoint and the service has the p6spy (3.8.6) jar in the classpath, an attacker can find an RMI service endpoint to access and make the service execute a malicious payload. This issue exists because of com.p6spy.engine.spy.P6DataSource mishandling.
A polymorphic typing issue was discovered in FasterXML jackson-databind 2.0.0 through 2.9.10. When default typing is enabled for an externally exposed JSON endpoint and the commons-dbcp (1.4) jar is in the classpath, an attacker who can find an RMI service endpoint may make the service execute a malicious payload. This exists because of mishandling in org.apache.commons.dbcp.datasources.SharedPoolDataSource and PerUserPoolDataSource.
Exim 4.92 through 4.92.2 allows remote code execution, a different vulnerability than CVE-2019-15846. There is a heap-based buffer overflow in string_vformat in string.c involving a long EHLO command.
Unauthenticated remote code execution occurs in D-Link products such as DIR-655C, DIR-866L, DIR-652, and DHP-1565. The issue occurs when the attacker sends an arbitrary input to a "PingTest" device common gateway interface that could lead to common injection. An attacker who successfully triggers the command injection could achieve full system compromise. Later, it was independently found that these are also affected: DIR-855L, DAP-1533, DIR-862L, DIR-615, DIR-835, and DIR-825.
vBulletin 5.x through 5.5.4 allows remote command execution via the widgetConfig[code] parameter in an ajax/render/widget_php routestring request. The flaw enables an attacker to execute arbitrary code on the server.
W cURL w wersjach od 7.19.4 do 7.65.3 występuje przepełnienie bufora na stercie w obsłudze protokołu TFTP. Może to prowadzić do nieautoryzowanego dostępu lub awarii aplikacji.
W cURL w wersjach od 7.52.0 do 7.65.3 występuje podatność typu double-free w kodzie FTP-kerberos. Może to prowadzić do nieprzewidzianego zachowania aplikacji.
The login_mgr.cgi script in D-Link DNS-320 through 2.05.B10 is vulnerable to remote command injection. An attacker can exploit this flaw to execute arbitrary commands on the system.
A Polymorphic Typing issue was discovered in FasterXML jackson-databind before 2.9.10. It is related to com.zaxxer.hikari.HikariDataSource. This is a different vulnerability than CVE-2019-14540.
A Polymorphic Typing issue was discovered in FasterXML jackson-databind before 2.9.10, related to com.zaxxer.hikari.HikariConfig, which may allow remote code execution.
Some Samsung devices include the SIMalliance Toolbox Browser (aka S@T Browser) on the UICC, which might allow remote attackers to retrieve location and IMEI information, or retrieve other data or execute certain commands, via SIM Toolkit (STK) instructions in an SMS message, aka Simjacker.
An issue was discovered in Webmin <=1.920. The parameter old in password_change.cgi contains a command injection vulnerability.
W Remote Desktop Services występuje podatność na zdalne wykonanie kodu, która pozwala nieautoryzowanemu atakującemu na połączenie się z systemem docelowym za pomocą RDP i wysłanie specjalnie przygotowanych żądań. Ta podatność nie wymaga uwierzytelnienia ani interakcji użytkownika.
W Remote Desktop Services istnieje podatność na zdalne wykonanie kodu, która pozwala nieautoryzowanemu atakującemu na połączenie się z systemem docelowym za pomocą RDP i wysłanie specjalnie przygotowanych żądań. Wykorzystanie tej podatności umożliwia atakującemu wykonanie dowolnego kodu na systemie docelowym bez interakcji użytkownika.
W usłudze DHCP w systemie Windows Server występuje podatność na uszkodzenie pamięci, która może być wykorzystana przez atakującego poprzez wysłanie specjalnie przygotowanych pakietów do serwera DHCP. Skuteczne wykorzystanie tej podatności pozwala na uruchomienie dowolnego kodu na serwerze DHCP.
W usłudze DHCP serwera Windows występuje podatność na uszkodzenie pamięci podczas przetwarzania specjalnie przygotowanych pakietów. Atakujący, który skutecznie wykorzysta tę podatność, może spowodować, że usługa DHCP przestanie odpowiadać.
W programie Microsoft Word występuje podatność na zdalne wykonanie kodu, gdy nieprawidłowo obsługuje obiekty w pamięci. Atakujący, który skutecznie wykorzysta tę podatność, może użyć specjalnie przygotowanego pliku do działania w kontekście zabezpieczeń aktualnego użytkownika.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS