CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.23)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
W programie Malwarebytes przed wersją 4.6.14.326 i 5.1.5.116 (oraz Nebula 2020-10-21 i późniejsze) odkryto problem związany z odczytem danych poza dozwolonym zakresem w narzędziach wykrywania ciągów, co prowadzi do awarii systemu.
W systemie zarządzania podróżami Online Tour and Travel Management System w wersji 1.0 zidentyfikowano podatność. Manipulacja argumentem pname w pliku /admin/operations/packages.php prowadzi do wstrzyknięcia SQL, co umożliwia zdalne przeprowadzenie ataku.
W systemie zarządzania podróżami Online Tour and Travel Management System w wersji 1.0 odkryto podatność. Problem dotyczy nieznanego przetwarzania pliku /admin/operations/tax.php, gdzie manipulacja argumentem tname prowadzi do wstrzyknięcia SQL.
Improper Input Validation vulnerability in N-able N-central allows OS Command Injection. This issue affects N-central before 2025.3.1.
Deserialization of untrusted data vulnerability in N-able N-central allows local code execution. Affects versions before 2025.3.1.
Zidentyfikowano podatność w module Mendix SAML, która dotyczy wersji poniżej V4.0.3 dla Mendix 10.12, poniżej V4.1.2 dla Mendix 10.21 oraz poniżej V3.6.21 dla Mendix 9.24. Problem polega na niewystarczającym egzekwowaniu walidacji podpisu i kontroli powiązań.
Router KuWFi 4G LTE AC900 w wersji 1.0.13 jest podatny na atak typu Cross-Site Request Forgery (CSRF) w swoim interfejsie zarządzania webowego. Ta podatność umożliwia atakującemu oszukanie uwierzytelnionego użytkownika admina do wykonania nieautoryzowanych działań, w tym wykorzystania podatności na wstrzykiwanie poleceń.
Router LTE KuWFi 4G AC900 w wersji 1.0.13 jest podatny na wstrzykiwanie poleceń w punktach końcowych API HTTP /goform/formMultiApnSetting oraz /goform/atCmd. Uwierzytelniony atakujący może wykonać dowolne polecenia systemowe z uprawnieniami roota za pomocą metaznaków powłoki w parametrach takich jak pincode i cmds.
W systemie zarządzania rezerwacjami lotów Campcodes Online Flight Booking Management System w wersji 1.0 odkryto podatność. Problem dotyczy nieznanej funkcjonalności pliku /admin/save_airlines.php, gdzie manipulacja argumentem ID prowadzi do wstrzyknięcia SQL.
W systemie zarządzania rezerwacjami lotów Campcodes Online Flight Booking Management System w wersji 1.0 zidentyfikowano podatność. Manipulacja argumentem departure_airport_id w pliku /flights.php prowadzi do wstrzykiwania SQL, co umożliwia zdalne przeprowadzenie ataku.
Podatność CVE-2025-54701 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem ten występuje w ThemeMove Unicamp w wersjach od n/a do 2.6.3.
Podatność CVE-2025-54700 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem ten występuje w wtyczce Makeaholic w wersjach od n/a do 1.8.4.
W podatności CVE-2025-54697 występuje nieprawidłowe przypisanie uprawnień w wtyczce StellarWP Kadence WooCommerce Email Designer, co umożliwia eskalację uprawnień. Problem dotyczy wersji wtyczki od n/a do 1.5.16 włącznie.
Wtyczka Membership For WooCommerce zawiera lukę w autoryzacji, która pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji wtyczki od n/a do 2.9.0 włącznie.
W podatności CVE-2025-54690 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wersji Xinterio od n/a do 4.2.
W podatności CVE-2025-54689 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne dołączenie pliku. Problem ten dotyczy wersji Urna od n/a do 2.5.7 włącznie.
W produkcie Neon Channel Product Customizer Free występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem ten dotyczy wersji od n/a do 2.0 włącznie.
Podatność CVE-2025-52823 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w wtyczce Cube Portfolio w wersjach od n/a do 1.16.8. Atakujący może wykorzystać tę lukę do manipulacji bazą danych.
Wtyczka infosoftplugin WooCommerce Point Of Sale (POS) zawiera podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji WooCommerce Point Of Sale (POS) od n/a do 1.4 włącznie.
W podatności CVE-2025-52806 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wtyczki JobSearch w wersjach od n/a do poniżej 3.0.8.