CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.23)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
W podatności CVE-2025-48302 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w Roxnor FundEngine wp-fundraising-donation. Problem dotyczy wersji FundEngine od n/a do 1.7.4 włącznie.
Podatność CVE-2025-48298 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików PHP w SEOPress dla MainWP w wersjach od n/a do 1.4.
Podatność CVE-2025-48297 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Simple Link Directory, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji Simple Link Directory od n/a do poniżej 14.8.1.
W podatności CVE-2025-48296 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w aplikacji UpStore, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy wersji UpStore od n/a do 1.7.0 włącznie.
W podatności CVE-2025-48171 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co pozwala na lokalne włączenie plików. Problem dotyczy Cena Store w wersjach od n/a do 2.11.26.
W podatności CVE-2025-48170 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w dodatku LambertGroup Universal Video Player dla WPBakery Page Builder, co pozwala na ataki typu Reflected XSS. Problem dotyczy wersji dodatku od n/a do 3.2.1.
Podatność CVE-2025-48168 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w odtwarzaczu audio HTML5 Apollo - Sticky Full Width. Umożliwia to atak typu Reflected XSS w wersjach od n/a do 3.4.
W podatności CVE-2025-48165 występuje nieprawidłowe przypisanie uprawnień w DELUCKS SEO, co umożliwia eskalację uprawnień. Problem ten dotyczy wersji DELUCKS SEO od n/a do 2.6.0.
Podatność związana z nieprawidłowym przypisaniem uprawnień w Brainstorm Force SureDash umożliwia eskalację uprawnień. Problem ten dotyczy wersji SureDash od n/a do 1.0.3 włącznie.
W podatności CVE-2025-48163 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w odtwarzaczu SHOUT - HTML5 Radio Player With Ads. Problem ten dotyczy wersji od n/a do 3.5.4 włącznie.
Podatność CVE-2025-48162 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Simple Business Directory Pro, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten występuje w wersjach od n/a do 15.5.1 włącznie.
W podatności CVE-2025-48160 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w CocoBasic Caliris caliris-wp. Problem dotyczy wersji Caliris od n/a do 1.5 włącznie.
Podatność CVE-2025-48159 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce LambertGroup Youtube Vimeo Video Player and Slider WP. Umożliwia to atak typu Reflected XSS w wersjach od n/a do 3.8.
Podatność typu 'Path Traversal' w wtyczce BuddyPress XProfile Custom Image Field pozwala na nieprawidłowe ograniczenie ścieżki do zastrzeżonego katalogu. Problem dotyczy wersji od n/a do 3.0.1.
Podatność CVE-2025-48157 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości lokalnego włączenia pliku. Problem ten dotyczy wersji Formality od n/a do 1.5.9 włącznie.
Podatność CVE-2025-48154 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w dodatku Multimedia Playlist Slider dla WPBakery Page Builder, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji dodatku od n/a do 2.1 włącznie.
W podatności CVE-2025-48152 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Rentsyst. Problem ten dotyczy wersji Rentsyst od n/a do 2.0.100 włącznie.
Podatność CVE-2025-48151 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce CM Map Locations, co prowadzi do możliwości ataku typu Reflected XSS. Problem ten dotyczy wersji wtyczki od n/a do 2.1.6 włącznie.
W podatności CVE-2025-48149 występuje niewłaściwa kontrola nazw plików w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem dotyczy wersji Cook&Meal od n/a do 1.2.3.
Podatność związana z nieprawidłowym przypisaniem uprawnień w aplikacji Bookify autorstwa Saada Iqbala umożliwia eskalację uprawnień. Problem dotyczy wersji Bookify od n/a do 1.0.9 włącznie.