CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.29)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
W podatności CVE-2025-26978 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce FS Poster. Problem dotyczy wersji FS Poster od n/a do 6.5.8 włącznie.
W podatności CVE-2025-26976 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie Aldo Latino PrivateContent. Problem dotyczy wersji PrivateContent od n/a do 8.11.4 włącznie.
W podatności CVE-2025-26972 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji NotFound PrivateContent. Problem ten dotyczy wersji PrivateContent od n/a do 8.11.5.
W podatności CVE-2025-26969 występuje brak autoryzacji w Aldo Latino PrivateContent, co może prowadzić do nieautoryzowanego dostępu do zasobów. Problem dotyczy wersji PrivateContent od n/a do 8.11.5.
W podatności CVE-2025-26961 w frameworku Fresh Framework występuje brak odpowiednich ograniczeń autoryzacji, co pozwala na dostęp do funkcji, które nie są właściwie zabezpieczone przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji od n/a do 1.70.0 włącznie.
Podatność CVE-2025-26921 dotyczy deserializacji niezaufanych danych w wtyczce Booking and Rental Manager dla WooCommerce, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji od n/a do 2.2.6 włącznie.
W podatności CVE-2025-26886 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce PublishPress Authors. Problem dotyczy wersji od n/a do 4.7.3 włącznie.
W podatności CVE-2025-26556 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy wtyczki WP AntiDDOS w wersjach od n/a do 2.0 włącznie.
Podatność CVE-2025-26555 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Debug-Bar-Extender. Problem ten dotyczy wersji od n/a do 0.5 włącznie.
Podatność CVE-2025-26554 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WP Discord Post, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji wtyczki od n/a do 2.1.0 włącznie.
Podatność CVE-2025-26553 dotyczy wtyczki Pre Order Addon dla WooCommerce – Advance Order/Backorder, która pozwala na ataki typu Cross-site Scripting (XSS) poprzez niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych. Problem ten występuje w wersjach od n/a do 2.2 włącznie.
Podatność CVE-2025-26548 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Random Image Selector, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji od n/a do 2.4 włącznie.
Podatność CVE-2025-23744 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Random Posts, Mp3 Player + ShareButton w wersjach od n/a do 1.4.1.
tj-actions changed-files before 46 allows remote attackers to discover secrets by reading actions logs. The tags v1 through v45.0.7 were affected on 2025-03-14 and 2025-03-15 because they were modified by a threat actor to point at commit 0e58ed8, which contained malicious updateFeatures code.
Wtyczka WPSchoolPress dla WordPressa jest podatna na eskalację uprawnień z powodu braku sprawdzenia uprawnień w funkcji wpsp_UpdateTeacher() we wszystkich wersjach do 2.2.16 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie nauczyciela i wyżej aktualizację dowolnych danych użytkowników, w tym adresu e-mail.
Wtyczka Directory Listings WordPress, znana jako uListing, jest podatna na nieautoryzowaną modyfikację danych oraz wstrzykiwanie obiektów PHP z powodu braku weryfikacji uprawnień w akcji AJAX stm_listing_ajax we wszystkich wersjach do 2.2.0 włącznie. Atakujący z poziomem dostępu subskrybenta i wyżej mogą aktualizować metadane postów oraz wstrzykiwać obiekty PHP, które mogą być deserializowane.
Wtyczka Directory Listings WordPress, znana jako wtyczka uListing, jest podatna na eskalację uprawnień we wszystkich wersjach do i włącznie z 2.2.0. Problem wynika z niewystarczających ograniczeń w akcji AJAX stm_listing_profile_edit dotyczących aktualizacji metadanych użytkownika.
The Automation Scripting functionality can be exploited by attackers to run arbitrary system commands on the underlying operating system. An account with administrator privileges or that has been explicitly granted access to use Automation Scripting is needed to carry out the attack. Exploitation of this vulnerability would allow an attacker to run commands of their choosing on the underlying operating system of the web server running LogicalDOC.
In the Linux kernel netfilter subsystem, a vulnerability was found in nf_ct_find_expectation. By default, this function removes the expectation from the hash table, which is undesirable in scenarios like OVS or TC conntrack when the created connection is not confirmed.
Urządzenie wykorzystuje niezaszyfrowany, własnościowy protokół do komunikacji. Przez ten protokół przesyłane są dane konfiguracyjne oraz przeprowadzana jest autoryzacja urządzenia.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS