CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.23)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Podatność CVE-2025-49438 dotyczy deserializacji niezaufanych danych w Simple Login Log, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji Simple Login Log od n/a do 1.1.3.
W podatności CVE-2025-49436 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne dołączenie pliku w CocoBasic Anotte w wersjach od n/a do 1.8. Problem ten może prowadzić do nieautoryzowanego dostępu do plików systemowych.
Podatność CVE-2025-49428 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Dourou Cookie Warning, co pozwala na ataki typu Stored XSS. Problem ten dotyczy wersji Cookie Warning od n/a do 1.3.
W podatności CVE-2025-49426 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w Dahz Kitring. Problem ten dotyczy wersji Kitring od n/a do 2.8 włącznie.
W podatności CVE-2025-49424 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wtyczki Support Ticket w wersjach od n/a do 1.9 włącznie.
Podatność CVE-2025-49420 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Ultra Portfolio, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji Ultra Portfolio od n/a do 6.7 włącznie.
Podatność CVE-2025-49413 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Super Store Finder dla WordPressa, co prowadzi do możliwości ataku typu Reflected XSS. Problem ten dotyczy wersji wtyczki od n/a do 7.6 włącznie.
Podatność CVE-2025-49411 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Stored XSS w bloku iFrame autorstwa Vikasa Sharmy. Problem ten dotyczy wersji iFrame Block od n/a do 0.1.1.
W Houzez występuje luka związana z brakiem autoryzacji, która pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy wersji Houzez od n/a do 4.1.1.
Podatność typu Cross-Site Request Forgery (CSRF) w Basix NEX-Forms nex-forms-express-wp-form-builder umożliwia przeprowadzenie ataku CSRF. Problem dotyczy wersji NEX-Forms od n/a do 9.1.3 włącznie.
Podatność Cross-Site Request Forgery (CSRF) w motywie WordPress JobZilla - Job Board umożliwia eskalację uprawnień. Problem ten dotyczy wersji motywu JobZilla od n/a do 2.0 włącznie.
W podatności CVE-2025-48302 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w Roxnor FundEngine wp-fundraising-donation. Problem dotyczy wersji FundEngine od n/a do 1.7.4 włącznie.
Podatność CVE-2025-48298 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików PHP w SEOPress dla MainWP w wersjach od n/a do 1.4.
Podatność CVE-2025-48297 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Simple Link Directory, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji Simple Link Directory od n/a do poniżej 14.8.1.
W podatności CVE-2025-48296 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w aplikacji UpStore, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy wersji UpStore od n/a do 1.7.0 włącznie.
W podatności CVE-2025-48171 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co pozwala na lokalne włączenie plików. Problem dotyczy Cena Store w wersjach od n/a do 2.11.26.
W podatności CVE-2025-48170 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w dodatku LambertGroup Universal Video Player dla WPBakery Page Builder, co pozwala na ataki typu Reflected XSS. Problem dotyczy wersji dodatku od n/a do 3.2.1.
Podatność CVE-2025-48168 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w odtwarzaczu audio HTML5 Apollo - Sticky Full Width. Umożliwia to atak typu Reflected XSS w wersjach od n/a do 3.4.
W podatności CVE-2025-48165 występuje nieprawidłowe przypisanie uprawnień w DELUCKS SEO, co umożliwia eskalację uprawnień. Problem ten dotyczy wersji DELUCKS SEO od n/a do 2.6.0.
Podatność związana z nieprawidłowym przypisaniem uprawnień w Brainstorm Force SureDash umożliwia eskalację uprawnień. Problem ten dotyczy wersji SureDash od n/a do 1.0.3 włącznie.