CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.11)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Podatność CVE-2026-25452 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w WPDO Remoji, co prowadzi do możliwości wystąpienia ataku typu Stored XSS. Problem ten dotyczy wersji Remoji od n/a do 2.2 włącznie.
W podatności CVE-2026-25435 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w systemie rezerwacji wpdevart. Problem ten pozwala na przeprowadzenie ataku typu Stored XSS w wersjach od n/a do 3.2.36 w Booking calendar, Appointment Booking System.
Podatność związana z nieprawidłowym przypisaniem uprawnień w WPBookit Pro umożliwia eskalację uprawnień. Problem ten dotyczy wersji WPBookit Pro od n/a do 1.6.18 włącznie.
Podatność CVE-2026-25406 dotyczy systemu Tutor LMS Pro, umożliwiając obejście uwierzytelniania poprzez alternatywną ścieżkę lub kanał. Problem ten występuje w wersjach od n/a do 3.9.4 włącznie.
W WPCargo Track & Trace występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem ten dotyczy wersji od n/a do 8.0.2 włącznie.
Podatność CVE-2026-25400 dotyczy deserializacji niezaufanych danych w bibliotece thememount Apicona, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Apicona od n/a do 24.1.0 włącznie.
W podatności CVE-2026-25397 występuje problem z przechodzeniem ścieżek w Snowray Software File Uploader dla WooCommerce, co pozwala na nieautoryzowany dostęp do plików. Dotyczy to wersji File Uploader dla WooCommerce od n/a do 1.0.4 włącznie.
W CoderPress Commerce Coinbase dla WooCommerce występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem ten dotyczy wersji od n/a do 1.6.6.
Podatność CVE-2026-25383 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie zarządzania kliniką KiviCare, co prowadzi do możliwości ataku typu Reflected XSS. Problem ten dotyczy wersji KiviCare od n/a do 3.6.16 włącznie.
Podatność CVE-2026-25382 dotyczy niewłaściwej kontroli nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem ten występuje w IdealAuto w wersjach od n/a do poniżej 3.8.6.
W podatności CVE-2026-25381 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem ten dotyczy wersji LoveDate od n/a do poniżej 3.8.6.
W podatności CVE-2026-25380 występuje niewłaściwa kontrola nazw plików w instrukcji Include/Require w programie PHP, co pozwala na lokalne dołączenie plików. Problem dotyczy wersji Feedy od n/a do poniżej 2.1.5.
Podatność CVE-2026-25379 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w StreamVid. Problem ten dotyczy wersji StreamVid od n/a do poniżej 6.8.6.
Podatność CVE-2026-25376 dotyczy dodatku Jobsearch Chat w systemie eyecix, który pozwala na wystąpienie ataku typu Cross-site Scripting (XSS) poprzez niewłaściwą neutralizację danych wejściowych podczas generowania stron internetowych. Problem ten dotyczy wersji dodatku od n/a do 3.0 włącznie.
W podatności CVE-2026-25373 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Vayvo od ProgressionStudios. Problem dotyczy wersji Vayvo od n/a do poniżej 6.8.
W podatności CVE-2026-25361 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce WpEvently dla systemu WpEvently w wersjach od n/a do 5.1.4.
Podatność CVE-2026-25360 dotyczy deserializacji niezaufanych danych w bibliotece Vex, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Vex od n/a do poniżej 1.2.9.
Podatność na deserializację niezaufanych danych w bibliotece Pendulum umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Pendulum od n/a do poniżej 3.1.5.
Podatność na deserializację niezaufanych danych w Meloo rascals umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Meloo od n/a do poniżej 2.8.2.
Podatność CVE-2026-25357 dotyczy oprogramowania Ultimate Membership Pro, które pozwala na obejście uwierzytelniania za pomocą alternatywnej ścieżki lub kanału. Problem ten występuje w wersjach od n/a do 13.7 włącznie.