CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.21)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Podatność CVE-2025-49904 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Booking and Rental Manager dla WooCommerce, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 2.5.3 włącznie.
Podatność związana z nieprawidłowym przypisaniem uprawnień w bPlugins Advanced scrollbar umożliwia eskalację uprawnień. Problem dotyczy wersji Advanced scrollbar od n/a do 1.1.8 włącznie.
W podatności CVE-2025-49394 występuje brak autoryzacji w bloku galerii obrazów bPlugins, co pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji od n/a do 1.0.7 włącznie.
W podatności CVE-2025-49390 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataku typu Cross-site Scripting (XSS) w wtyczce Cookie Notice & Consent. Problem dotyczy wersji wtyczki od n/a do 1.6.4.
Podatność CVE-2025-49386 dotyczy deserializacji niezaufanych danych w wtyczce Preserve Code Formatting, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki od n/a do 4.0.1 włącznie.
W podatności CVE-2025-48330 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne włączenie pliku PHP. Problem ten dotyczy wtyczki Real Time Validation for Gravity Forms w wersjach od n/a do 1.7.0.
Podatność CVE-2025-48290 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem ten dotyczy wersji Kinsley od n/a do 3.4.4 włącznie.
Podatność typu Path Traversal w motywie WordPress Blanka - One Page umożliwia lokalne włączenie plików PHP. Problem ten dotyczy wersji motywu od n/a do poniżej 1.5.
Podatność typu Cross-Site Request Forgery (CSRF) w ZIPANG Simple Stripe umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Simple Stripe od n/a do 0.9.17 włącznie.
Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce wpNamedUsers w andriassundskard umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji wpNamedUsers od n/a do 0.5 włącznie.
Podatność typu Cross-Site Request Forgery (CSRF) w Norbert Slick Google Map slick-google-map umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji Slick Google Map od n/a do 0.3 włącznie.
Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Block Country (wersje od n/a do 1.0) pozwala na przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wtyczki Block Country autorstwa nitinmaurya12.
Podatność CVE-2025-39468 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości zdalnego dołączania plików. Problem ten występuje w Modal Survey w wersjach od n/a do 2.0.2.0.1.
Podatność typu Path Traversal w motywie Wanderland od Mikado-Themes umożliwia lokalne włączenie plików PHP. Problem ten dotyczy wersji Wanderland od n/a do 1.7.1 włącznie.
W podatności CVE-2025-39466 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co pozwala na lokalne włączenie plików. Problem dotyczy wersji Dør od n/a do 2.4 włącznie.
W podatności CVE-2025-39463 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie Select-Themes Dessau. Problem ten dotyczy wersji Dessau od n/a do poniżej 1.9.
Podatność CVE-2025-31029 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Stored XSS w aplikacji replyMail w wersjach od n/a do 1.2.0.
Podatność CVE-2025-28953 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w wtyczce smart SEO od axiomthemes. Problem ten dotyczy wersji smart SEO od n/a do 4.0 włącznie.
W produkcie występuje podatność na wstrzykiwanie argumentów, która może pozwolić atakującemu na wykonanie dowolnego kodu w kontekście maszyny gospodarza.
Nieprawidłowe zachowanie uprawnień w Elastic Defend na hostach Windows może prowadzić do usunięcia dowolnych plików na systemie przez usługę Defend działającą jako SYSTEM. W niektórych przypadkach może to skutkować eskalacją uprawnień lokalnych.