CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.23)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
W systemie zarządzania salonem piękności PHPGurukul w wersji 1.1 odkryto podatność. Manipulacja argumentem Message w pliku /book-appointment.php prowadzi do wstrzykiwania SQL, co może być wykorzystane przez zdalnego atakującego.
Wtyczka BizCalendar Web dla WordPressa jest podatna na atak typu Local File Inclusion we wszystkich wersjach do i włącznie z 1.1.0.53 za pomocą shortcode'a 'bizcalv'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej do włączenia i wykonania dowolnych plików na serwerze.
Wtyczka Assistant for NextGEN Gallery dla WordPressa jest podatna na nieautoryzowane usuwanie katalogów z powodu niewystarczającej walidacji ścieżek plików w punkcie końcowym REST /wp-json/nextgenassistant/v1.0.0/control we wszystkich wersjach do i włącznie z 1.0.9. Umożliwia to nieautoryzowanym atakującym usuwanie dowolnych katalogów na serwerze.
Zidentyfikowano podatność w systemie zarządzania bankowością online SourceCodester do wersji 1.0. Problem dotyczy nieznanego przetwarzania pliku /bank/statements.php, gdzie manipulacja argumentem email prowadzi do wstrzyknięcia SQL.
W systemie zarządzania bankowością online SourceCodester do wersji 1.0 zidentyfikowano podatność. Manipulacja argumentem email w pliku /bank/transfer.php prowadzi do wstrzyknięcia SQL, co może być wykorzystane przez atakującego zdalnie.
Zidentyfikowano podatność w Mechrevo Control Center GX V2 5.56.51.48, która dotyczy nieznanej części pliku C:\Program Files\OEM\机械革命控制中心\AiStoneService\MyControlCenter\Command w komponencie Powershell Script Handler. Manipulacja prowadzi do niekontrolowanej ścieżki wyszukiwania.
W projekcie PHPGurukul Online Shopping Portal w wersji 2.0 odkryto podatność, która dotyczy nieznanego kodu w pliku /shopping/password-recovery.php. Manipulacja argumentem emailid prowadzi do wstrzyknięcia SQL, co może być wykorzystane przez atakującego zdalnie.
Zidentyfikowano podatność w projekcie PHPGurukul Online Shopping Portal w wersji 2.0, która dotyczy nieznanej części pliku shopping/bill-ship-addresses.php. Manipulacja argumentem billingpincode prowadzi do wstrzyknięcia SQL.
W projekcie PHPGurukul Online Shopping Portal w wersji 2.0 zidentyfikowano podatność. Manipulacja argumentem emailid w pliku /shopping/signup.php prowadzi do wstrzykiwania SQL, co może być wykorzystane przez zdalnego atakującego.
W systemie zarządzania podróżami Online Tour and Travel Management System w wersji 1.0 odkryto podatność. Manipulacja argumentem 'from_date' w pliku /admin/booking_report.php prowadzi do wstrzykiwania SQL, co może być wykorzystane przez zdalnego atakującego.
W systemie zarządzania podróżami itsourcecode Online Tour and Travel Management System w wersji 1.0 odkryto podatność. Nieznana funkcja w pliku /admin/email_setup.php pozwala na wstrzyknięcie SQL poprzez manipulację argumentem Name, co umożliwia zdalne przeprowadzenie ataku.
Zidentyfikowano podatność w systemie zarządzania podróżami itsourcecode Online Tour and Travel Management System w wersji 1.0. Problem dotyczy nieznanego przetwarzania pliku /admin/sms_setting.php, gdzie manipulacja argumentem uname prowadzi do wstrzyknięcia SQL.
Zidentyfikowano podatność w systemie zarządzania akademikami Surbowl w wersji 1.0, która dotyczy nieznanej części pliku login.php. Manipulacja argumentem Account prowadzi do wstrzykiwania SQL, co umożliwia zdalne przeprowadzenie ataku.
Wtyczka WooCommerce OTP Login With Phone Number, OTP Verification dla WordPressa jest podatna na obejście uwierzytelniania z powodu niewystarczającego sprawdzania pustych wartości w funkcji lwp_ajax_register we wszystkich wersjach do i włącznie 1.8.47. Umożliwia to nieautoryzowanym atakującym ominięcie weryfikacji OTP i uzyskanie dostępu administracyjnego do dowolnego konta użytkownika z skonfigurowanym numerem telefonu.
Wtyczka Order Tip dla WooCommerce w WordPressie jest podatna na nieautoryzowaną niewłaściwą walidację danych we wszystkich wersjach do i włącznie z 1.5.4. Brak walidacji po stronie serwera dla atrybutu `data-tip` umożliwia nieautoryzowanym atakującym wprowadzenie nadmiernej lub nawet ujemnej kwoty napiwku.
W Mechrevo Control Center GX V2 w wersji 5.56.51.48 odkryto podatność w nieznanej funkcjonalności komponentu reg File Handler. Manipulacja tą podatnością prowadzi do niekontrolowanej ścieżki wyszukiwania.
W systemie zarządzania podróżami Online Tour and Travel Management System w wersji 1.0 odkryto podatność, która dotyczy nieznanej części pliku /admin/expense_report.php. Manipulacja argumentem from_date prowadzi do wstrzyknięcia SQL.
W kodzie projektu Online Medicine Guide w wersji 1.0 zidentyfikowano podatność. Nieznana funkcja w pliku /browsemdcn.php umożliwia wstrzyknięcie SQL poprzez manipulację argumentem Search, co pozwala na zdalne przeprowadzenie ataku.
W systemie zarządzania testami COVID-19 od SourceCodester w wersji 1.0 odkryto podatność, która dotyczy nieznanego przetwarzania pliku /edit-phlebotomist.php. Manipulacja argumentem mobilenumber prowadzi do wstrzykiwania SQL.
W systemie zarządzania testami COVID-19 SourceCodester w wersji 1.0 odkryto podatność, która dotyczy nieznanego kodu w pliku /bwdates-report-result.php. Manipulacja argumentem 'fromdate' prowadzi do wstrzykiwania SQL, co może być wykorzystane przez atakującego zdalnie.