CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.16)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
W podatności CVE-2026-22366 występuje nieprawidłowa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co umożliwia lokalne włączenie pliku. Problem dotyczy wersji Jude od n/a do 1.3.0.
Podatność CVE-2026-22365 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie Soleng od axiomthemes. Problem ten dotyczy wersji Soleng od n/a do 1.0.5 włącznie.
W podatności CVE-2026-22364 występuje nieprawidłowa kontrola nazwy pliku w instrukcji include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wersji SevenTrees od n/a do 1.0.2.
W podatności CVE-2026-22363 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie Rhodos. Problem ten dotyczy wersji Rhodos od n/a do 1.3.3 włącznie.
W podatności CVE-2026-22362 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie Photolia. Problem ten dotyczy wersji Photolia od n/a do 1.0.3 włącznie.
W podatności CVE-2026-22361 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w A-Mart w wersjach do 1.0.2. Problem ten dotyczy wtyczki Axiomthemes A-Mart.
Podatność CVE-2026-22357 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Link Whisper Free. Problem ten dotyczy wersji Link Whisper Free od n/a do 0.9.2 włącznie.
W podatności CVE-2026-22356 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w Automattic Jetpack CRM w wersjach od n/a do 6.7.0.
Podatność CVE-2026-22354 dotyczy deserializacji niezaufanych danych w wtyczce Dotstore Woocommerce Category Banner Management, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki od n/a do 2.5.1 włącznie.
W podatności CVE-2026-22352 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Persian Woocommerce SMS. Problem dotyczy wersji od n/a do 7.1.1.
W WP FullCalendar występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji WP FullCalendar od n/a do 1.6.
Podatność CVE-2026-22346 dotyczy deserializacji niezaufanych danych w wtyczce Slider Responsive Slideshow – Image slider, Gallery slideshow, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji od n/a do 1.5.4 włącznie.
Podatność CVE-2026-22345 dotyczy deserializacji niezaufanych danych w wtyczce A WP Life Image Gallery – Lightbox Gallery, Responsive Photo Gallery, Masonry Gallery. Problem ten umożliwia wstrzyknięcie obiektów i dotyczy wersji od n/a do 1.6.0.
W podatności CVE-2026-22344 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wtyczki FiveStar w wersjach od n/a do 1.7 włącznie.
W EnOcean SmartServer IoT w wersji 4.60.009 i wcześniejszych istnieje podatność, która pozwala zdalnym atakującym na wysyłanie specjalnie przygotowanych wiadomości IP-852 w zarządzaniu LON IP-852. Może to prowadzić do wykonania dowolnych poleceń systemowych na urządzeniu.
W podatności CVE-2025-69410 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co pozwala na lokalne włączenie plików. Problem dotyczy wersji Belletrist od n/a do 1.2 włącznie.
W podatności CVE-2025-69409 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne włączenie pliku. Problem dotyczy wersji PJ | Life & Business Coaching od n/a do 3.0.0 włącznie.
W podatności CVE-2025-69408 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wersji HealthFirst od n/a do 1.0.1.
Podatność CVE-2025-69407 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości lokalnego dołączenia plików. Problem ten występuje w wersjach Struktur od n/a do 2.5.1.
W podatności CVE-2025-69406 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w ThemeREX FreightCo. Problem dotyczy wersji FreightCo od n/a do 1.1.7 włącznie.