CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.16)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Podatność CVE-2026-27334 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem ten występuje w wersjach Alchemists od n/a do 4.6.0.
W podatności CVE-2026-27332 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Agrofood. Problem dotyczy wersji Agrofood od n/a do poniżej 1.4.0.
W podatności CVE-2026-27326 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie WordPress AC Services | HVAC, Air Conditioning & Heating Company. Problem dotyczy wersji motywu od n/a do 1.2.5.
Podatność CVE-2026-27098 dotyczy deserializacji niezaufanych danych w motywie Au Pair Agency - Babysitting & Nanny Theme, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji motywu od n/a do 1.2.2 włącznie.
W podatności CVE-2026-27097 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy motywu CasaMia | Property Rental Real Estate WordPress w wersjach od n/a do 1.1.2.
Podatność związana z nieprawidłowym przypisaniem uprawnień w systemie ameliabooking pozwala na eskalację uprawnień. Problem dotyczy wersji Amelia od n/a do 1.2.38 włącznie.
Podatność na deserializację niezaufanych danych w Podlove Web Player umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Podlove Web Player od n/a do 5.9.1 włącznie.
Podatność CVE-2026-23801 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem ten dotyczy wersji od n/a do 1.6.11 w fuelthemes.
Podatność CVE-2026-23798 dotyczy deserializacji niezaufanych danych w wtyczce blubrry PowerPress Podcasting, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji PowerPress Podcasting od n/a do 11.15.10 włącznie.
W podatności CVE-2026-22479 występuje brak autoryzacji w wtyczce ThemeRuby Easy Post Submission, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji Easy Post Submission od n/a do 2.4.0 włącznie.
W podatności CVE-2026-22478 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wersji FindAll od n/a do 1.4 włącznie.
W podatności CVE-2026-22477 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie AncoraThemes Felizia. Problem dotyczy wersji Felizia od n/a do 1.3.4.
W podatności CVE-2026-22476 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem ten dotyczy motywu Etchy w wersjach od n/a do 1.0 włącznie.
Podatność na deserializację niezaufanych danych w wtyczce Dental Clinic pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji Dental Clinic od n/a do 3.7 włącznie.
Podatność CVE-2026-22471 dotyczy deserializacji niezaufanych danych w Secudeal Payments for Ecommerce, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji Secudeal Payments for Ecommerce od n/a do 1.1 włącznie.
W podatności CVE-2026-22467 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy wersji DeepDigital od n/a do 1.0.2.
Podatność typu Cross-site Scripting (XSS) w aplikacji BuddyApp pozwala na refleksyjne wstrzykiwanie złośliwego kodu. Problem dotyczy wersji BuddyApp od n/a do 1.9.2 włącznie.
Podatność typu 'Path Traversal' w wtyczce wpWax FormGent pozwala na nieprawidłowe ograniczenie ścieżki do zastrzeżonego katalogu. Problem dotyczy wersji FormGent od n/a do 1.7.0 włącznie.
W podatności CVE-2026-22457 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co umożliwia lokalne włączenie pliku PHP w motywie Mikado-Themes Wanderland w wersjach od n/a do 1.5.
W podatności CVE-2026-22456 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne dołączenie pliku. Problem dotyczy motywu Askka w wersjach od n/a do 1.0 włącznie.