CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.23)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
W podatności CVE-2025-28979 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne dołączenie pliku PHP. Problem ten dotyczy wtyczki WP Pipes w wersjach od n/a do 1.4.3.
Podatność CVE-2025-28975 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Alike - WordPress Custom Post Comparison, co pozwala na ataki typu Reflected XSS. Problem ten występuje w wersjach od n/a do 3.0.1.
W podatności CVE-2025-25172 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem ten dotyczy wersji VidMov od n/a do 1.9.4 włącznie.
W podatności CVE-2025-24766 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wersji News Magazine X od n/a do 1.2.37 włącznie.
W systemie zarządzania szpitalem PHPGurukul w wersji 4.0 odkryto podatność, która dotyczy nieznanego kodu w pliku /admin/edit-doctor.php. Manipulacja argumentem docfees prowadzi do wstrzykiwania SQL, co może być wykorzystane przez atakującego zdalnie.
Zidentyfikowano podatność w systemie zarządzania szpitalem PHPGurukul w wersji 4.0, która dotyczy nieznanej części pliku /admin/doctor-specilization.php. Manipulacja argumentem doctorspecilization prowadzi do ataku typu SQL injection.
W systemie zarządzania testami COVID-19 SourceCodester w wersji 1.0 zidentyfikowano podatność. Manipulacja argumentem employeeid w pliku /check_availability.php prowadzi do wstrzyknięcia SQL, co może być wykorzystane przez zdalnego atakującego.
W systemie zarządzania rezerwacjami lotów Campcodes Online Flight Booking Management System w wersji 1.0 odkryto podatność. Dotyczy ona nieznanej funkcjonalności pliku /admin/ajax.php?action=login w komponencie logowania, gdzie manipulacja argumentem 'Username' prowadzi do wstrzyknięcia SQL.
Niejasne sformułowania w interfejsie webowym mechanizmu konfiguracji ctrlX OS mogą wprowadzać użytkownika w błąd, sugerując, że plik kopii zapasowej jest szyfrowany, gdy ustawione jest hasło. W rzeczywistości szyfrowany jest tylko klucz prywatny, jeśli jest dostępny w kopii zapasowej, podczas gdy sam plik kopii zapasowej pozostaje nieszyfrowany.
Podatność w aplikacji webowej mechanizmu konfiguracji ctrlX OS umożliwia atakującemu z niskimi uprawnieniami zdalny dostęp do archiwów kopii zapasowych utworzonych przez użytkownika z podwyższonymi uprawnieniami. W zależności od zawartości archiwum, atakujący mógł uzyskać dostęp do wrażliwych danych.
W systemie zarządzania rekordami nauczycieli PHPGurukul w wersji 2.1 odkryto podatność. Nieznana funkcja w pliku /admin/search.php umożliwia wstrzyknięcie SQL poprzez manipulację argumentem searchdata, co pozwala na zdalne przeprowadzenie ataku.
Zidentyfikowano podatność w systemie zarządzania rekrutacją Campcodes Online Recruitment Management System w wersji 1.0. Problem dotyczy nieznanego przetwarzania pliku /Recruitment/index.php?page=view_vacancy, gdzie manipulacja argumentem ID prowadzi do wstrzyknięcia SQL.
W systemie zarządzania wizytami projectworlds w wersji 1.0 zidentyfikowano podatność. Manipulacja argumentem rid w pliku /front.php prowadzi do wstrzykiwania SQL, co umożliwia zdalne przeprowadzenie ataku.
W systemie zarządzania wizytami projectworlds w wersji 1.0 odkryto podatność, która dotyczy nieznanego przetwarzania pliku /query_data.php. Manipulacja argumentami dateF/dateP prowadzi do wstrzyknięcia SQL.
W projekcie projectworlds Online Notes Sharing Platform 1.0 odkryto podatność, która dotyczy nieznanego kodu w pliku /login.php. Manipulacja argumentem User prowadzi do wstrzyknięcia SQL, co może być wykorzystane przez atakującego zdalnie.
W systemie zarządzania sprzedażą 1000 Projects w wersji 1.0 zidentyfikowano podatność. Problem dotyczy nieznanej funkcjonalności pliku /superstore/dist/dordupdate.php, gdzie manipulacja argumentem select2 prowadzi do wstrzykiwania SQL.
W systemie zarządzania sprzedażą 1000 Projects w wersji 1.0 odkryto podatność, która dotyczy nieznanej funkcjonalności pliku /superstore/custcmp.php. Manipulacja argumentem Username prowadzi do wstrzyknięcia SQL, co umożliwia zdalne przeprowadzenie ataku.
W systemie zarządzania sprzedażą 1000 Projects w wersji 1.0 zidentyfikowano podatność, która dotyczy nieznanego kodu w pliku /superstore/admin/sales.php. Manipulacja argumentem ssalescat prowadzi do wstrzykiwania SQL.
W systemie zarządzania testami COVID-19 od SourceCodester w wersji 1.0 odkryto podatność. Manipulacja argumentem 'Username' w pliku /login.php prowadzi do wstrzyknięcia SQL, co może być wykorzystane przez zdalnego atakującego.
Urządzenia KuWFi 5G01-X55 w wersji FL2020_V0.0.12 udostępniają nieautoryzowany punkt końcowy API (ajax_get.cgi), co pozwala zdalnym atakującym na uzyskanie wrażliwych danych konfiguracyjnych, w tym poświadczeń administratora.