CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.16)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
W podatności CVE-2026-27990 występuje nieprawidłowa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w ThemeREX ConFix. Problem dotyczy wersji ConFix od n/a do 1.013 włącznie.
W podatności CVE-2026-27989 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co umożliwia lokalne włączenie pliku PHP w motywie ThemeREX Quanzo w wersjach od n/a do 1.0.10.
Podatność CVE-2026-27988 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku. Problem ten występuje w motywie Equadio w wersjach od n/a do 1.1.3.
W podatności CVE-2026-27987 występuje niewłaściwa kontrola nazw plików w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku. Problem dotyczy wersji The Qlean od n/a do 2.12 włącznie.
W podatności CVE-2026-27986 występuje niewłaściwa kontrola nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem dotyczy wersji OsTende od n/a do 1.4.3 włącznie.
W podatności CVE-2026-27985 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w ThemeREX Humanum. Problem dotyczy wersji Humanum od n/a do 1.1.4 włącznie.
Podatność związana z nieprawidłowym przypisaniem uprawnień w wtyczce Wholesale Suite dla WooCommerce umożliwia eskalację uprawnień. Problem ten dotyczy wersji Wholesale Suite od n/a do 2.2.6 włącznie.
W podatności CVE-2026-27428 występuje niewłaściwe neutralizowanie specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w aplikacji Eagle Booking. Problem dotyczy wersji Eagle Booking od n/a do 1.3.4.3.
W podatności CVE-2026-27406 wtyczka My Tickets autorstwa Joe Dolsona umożliwia wstrzyknięcie wrażliwych informacji do wysyłanych danych, co pozwala na ich późniejsze odzyskanie. Problem ten dotyczy wersji My Tickets od n/a do 2.1.0 włącznie.
W Directory Pro występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 2.5.6.
Podatność CVE-2026-27390 dotyczy dodatku WeDesignTech Ultimate Booking Addon, który umożliwia obejście uwierzytelniania poprzez alternatywną ścieżkę lub kanał. Problem ten występuje w wersjach od n/a do 1.0.1.
W podatności CVE-2026-27388 występuje brak autoryzacji w menedżerze rezerwacji DesignThemes, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji menedżera rezerwacji od n/a do 2.0 włącznie.
Wtyczka DesignThemes Directory Addon zawiera lukę w autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem ten dotyczy wersji od n/a do 1.8 włącznie.
Podatność CVE-2026-27385 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce DesignThemes Portfolio, co prowadzi do możliwości ataków typu Reflected XSS. Problem ten dotyczy wersji od n/a do 1.3 włącznie.
W podatności CVE-2026-27383 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co pozwala na lokalne włączenie plików. Problem dotyczy wersji Metro od n/a do 2.13 włącznie.
Podatność CVE-2026-27382 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w RadiusTheme Metro, co prowadzi do ataków typu Cross-site Scripting (XSS) opartego na DOM. Problem ten dotyczy wersji Metro od n/a do 2.13 włącznie.
W podatności CVE-2026-27381 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co pozwala na lokalne włączenie plików. Problem dotyczy wersji Aora od n/a do 1.3.15 włącznie.
Podatność CVE-2026-27379 dotyczy deserializacji niezaufanych danych w wtyczce NextScripts social-networks-auto-poster-facebook-twitter-g, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji od n/a do 4.4.7 włącznie.
Podatność CVE-2026-27376 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w motywie Claue - Clean, Minimal Elementor WooCommerce. Umożliwia to atak typu Reflected XSS w wersjach od n/a do 2.2.7.
Podatność CVE-2026-27375 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w JanStudio Gecko, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Gecko od n/a do 1.9.8 włącznie.