CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.10.04)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
An OS Command Injection vulnerability has been discovered in the AI (Artificial Intelligence) module for Drupal. The flaw allows an attacker to execute arbitrary commands on the server due to improper neutralization of special elements.
Jooby to framework webowy dla Javy i Kotlina. Moduł pac4j io.jooby.internal.pac4j.SessionStoreImpl#get deserializuje nieufne dane, co stanowi podatność.
Vite is a frontend tooling framework for javascript. Vite exposes content of non-allowed files using ?inline&import or ?raw?import. Only apps explicitly exposing the Vite dev server to the network (using --host or server.host config option) are affected. This vulnerability is fixed in 6.2.4, 6.1.3, 6.0.13, 5.4.16, and 4.5.11.
W systemie Digital China DCME-520 do wersji 20250320 odkryto krytyczną podatność, która dotyczy nieznanego przetwarzania pliku /usr/local/WWW/function/audit/newstatistics/mon_merge_stat_hist.php. Manipulacja argumentem type_name prowadzi do wstrzyknięcia poleceń systemowych.
Wersje VyOS od 1.3 do 1.5 (naprawione w 1.4.2) oraz systemy oparte na Debianie korzystające z Dropbear w połączeniu z live-build mają te same prywatne klucze hosta Dropbear w różnych instalacjach. Umożliwia to atakującym przeprowadzenie aktywnych ataków typu man-in-the-middle na połączenia SSH, jeśli Dropbear jest włączony jako demon SSH.
W podatności CVE-2025-31625 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Stored XSS w aplikacji Useinfluence w wersjach od n/a do 1.0.8.
Podatność typu Cross-Site Request Forgery (CSRF) w edytorze Rich Text Editor umożliwia przechowywanie ataków XSS. Problem dotyczy wersji edytora od n/a do 1.0.1 włącznie.
Podatność typu Cross-Site Request Forgery (CSRF) w integratorze e-mail PostmarkApp autorstwa Gagana Deepa Singha umożliwia przeprowadzenie ataku CSRF. Problem dotyczy wersji integratora od n/a do 2.4 włącznie.
Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Varnish WordPress (wersje od n/a do 1.7) umożliwia atakującym przeprowadzanie nieautoryzowanych żądań w imieniu zalogowanych użytkowników.
Podatność CVE-2025-31615 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Simple Contact Forms, co prowadzi do możliwości ataku typu Stored XSS. Problem ten dotyczy wersji wtyczki od n/a do 1.6.4 włącznie.
W podatności CVE-2025-31613 występuje luka typu Cross-Site Request Forgery (CSRF) w wtyczce AB Google Map Travel, która pozwala na przeprowadzenie ataków CSRF. Problem ten dotyczy wersji wtyczki od n/a do 4.6 włącznie.
Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Leadfox dla WordPressa umożliwia atak CSRF. Problem ten dotyczy wersji Leadfox dla WordPressa od n/a do 2.1.9 włącznie.
Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce WP Copy Media URL autorstwa Ashisha Ajani umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji wtyczki od n/a do 2.1 włącznie.
Podatność CSRF w wtyczce wp-buy Related Posts Widget with Thumbnails umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji wtyczki od n/a do 1.2 włącznie.
Wtyczka wp-buy do WordPressa zawiera podatność typu Cross-Site Request Forgery (CSRF), która umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji wtyczki od n/a do 3.0.0.1.
Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Rio Video Gallery umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Rio Video Gallery od n/a do 2.3.6 włącznie.
Wtyczka Uptime Robot dla WordPressa zawiera podatność na wstrzykiwanie SQL z powodu niewłaściwego neutralizowania specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji wtyczki od n/a do 2.3.
W podatności CVE-2025-31542 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce My auctions allegro w wersjach od n/a do 3.6.20.
W podatności CVE-2025-31526 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w menedżerze portfela Behance. Problem dotyczy wersji menedżera portfela Behance od n/a do 1.7.5 włącznie.
Unraid w wersji 7.0.0 przed 7.0.1 pozwala zdalnym użytkownikom na dostęp do interfejsu WebGUI i konsoli webowej jako root bez uwierzytelnienia, jeśli kontener działa w trybie sieciowym Host z włączoną opcją Use Tailscale.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS