CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.18)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Podatność CVE-2025-52762 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w flexo-posts-manager w wersjach od n/a do 1.0001.
W podatności CVE-2025-52746 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w aplikacji ayecode Restaurante, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Restaurante od n/a do 3.0.7 włącznie.
W podatności CVE-2025-50007 w Jthemes xSmart występuje nieprawidłowe przypisanie uprawnień, co umożliwia eskalację uprawnień. Problem dotyczy wersji xSmart od n/a do 1.2.9.4 włącznie.
W podatności CVE-2025-50006 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w Jthemes xSmart. Problem ten dotyczy wersji xSmart od n/a do 1.2.9.4 włącznie.
Podatność CVE-2025-50004 dotyczy deserializacji niezaufanych danych w jupiterx-core, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji JupiterX Core od n/a do 4.10.1 włącznie.
W podatności CVE-2025-50003 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wersji Amuli od n/a do 2.3.0.
W podatności CVE-2025-49994 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co umożliwia lokalne dołączanie plików. Problem ten dotyczy wersji Athens od n/a do 1.1.6 włącznie.
W podatności CVE-2025-49249 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w ApusTheme Drone, co pozwala na ataki typu Reflected XSS. Problem dotyczy wersji Drone od n/a do 1.40 włącznie.
Podatność CVE-2025-49066 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Accordion Slider PRO, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji wtyczki od n/a do 1.2 włącznie.
W podatności CVE-2025-49050 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce WP Lead Capturing Pages w wersjach od n/a do 2.5.
W podatności CVE-2025-49049 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce DZS Video Gallery dla ZoomIt. Problem ten dotyczy wersji od n/a do 12.39 włącznie.
Podatność CVE-2025-49046 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w xPromoter, co prowadzi do ataków typu Reflected XSS. Problem ten występuje w wersjach od n/a do 1.3.4 włącznie.
Podatność CVE-2025-49045 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Super Interactive Maps, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten występuje w wersjach od n/a do 2.3 włącznie.
W podatności CVE-2025-49043 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Magic Responsive Slider i Carousel dla WordPressa. Problem dotyczy wersji od n/a do 1.6 włącznie.
Podatność CVE-2025-48094 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Magic Slider, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Magic Slider od n/a do 2.2 włącznie.
Podatność CVE-2025-47666 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce LambertGroup Image&Video FullScreen Background, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 1.6.7 włącznie.
W podatności CVE-2025-47474 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co pozwala na lokalne dołączanie plików. Problem dotyczy wersji Anarkali od n/a do 1.0.9.
W podatnym odtwarzaczu wideo HTML5 z playlistą i wieloma skórkami (wersje do 5.3.5) występuje luka typu Cross-site Scripting (XSS) z powodu niewłaściwego neutralizowania danych wejściowych podczas generowania stron internetowych. Luka ta pozwala na wykonanie ataków XSS odzwierciedlonych.
W podatności CVE-2025-27005 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w odtwarzaczu wideo HTML5 LambertGroup, co pozwala na ataki typu Cross-site Scripting (XSS). Problem dotyczy wersji od n/a do 5.3.5 włącznie.
A vulnerability in EduSoho prior to version 22.4.7 allows an unauthenticated remote attacker to read arbitrary files from the server by manipulating the fileNames[] parameter in the classroom-course-statistics export functionality. The attacker can use path traversal sequences to access configuration files like config/parameters.yml, which may contain secrets and database credentials.