CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.10.01)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
Wtyczka Drag and Drop Multiple File Upload - Contact Form 7 dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu niewystarczającej walidacji typów plików w funkcji 'dnd_upload_cf7_upload' w wersjach do 1.3.7.3 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.
Wtyczka News & Blog Designer Pack dla WordPressa jest podatna na zdalne wykonanie kodu poprzez lokalne dołączenie pliku w wersjach do 3.4.1 włącznie. Problem wynika z wykorzystania niebezpiecznej metody extract() w funkcji bdp_get_more_post, co pozwala na dołączenie dowolnych plików PHP przez nieautoryzowanych atakujących.
Wtyczka Wp anything slider dla WordPressa jest podatna na atak typu SQL Injection poprzez shortcode w wersjach do 9.1 włącznie, z powodu niewystarczającego zabezpieczenia parametrów dostarczanych przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie subskrybenta i wyżej dodawanie dodatkowych zapytań SQL do już istniejących.
Wtyczka Popup with fancybox dla WordPressa jest podatna na atak typu SQL Injection poprzez shortcode w wersjach do 3.5 włącznie, z powodu niewystarczającego zabezpieczenia parametrów dostarczanych przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie subskrybenta i wyżej dodawanie dodatkowych zapytań SQL do już istniejących.
Wtyczka Advanced Local Pickup dla WooCommerce w WordPressie jest podatna na atak typu SQL Injection opartego na czasie poprzez parametr id w wersjach do 1.5.5 włącznie, z powodu niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to uwierzytelnionym atakującym z uprawnieniami administratora dodawanie dodatkowych zapytań SQL do już istniejących zapytań.
Wtyczka UserPro dla WordPressa jest podatna na atak typu Cross-Site Request Forgery w wersjach do 5.1.0 włącznie. Problem wynika z braku lub nieprawidłowej walidacji nonce w funkcji 'import_settings', co umożliwia nieautoryzowanym atakującym wykorzystanie wstrzykiwania obiektów PHP.
Wtyczka UserPro dla WordPressa jest podatna na nieautoryzowane resetowanie haseł w wersjach do 5.1.1 włącznie. Problem wynika z niewystarczającej walidacji funkcji resetowania hasła, która używa wartości w postaci czystego tekstu zamiast wartości haszowanej.
Wtyczka UserPro dla WordPressa jest podatna na atak typu Cross-Site Request Forgery w wersjach do 5.1.1 włącznie. Brak walidacji nonce w funkcjach 'admin_page', 'userpro_verify_user' oraz 'verifyUnverifyAllUsers' umożliwia nieautoryzowanym atakującym modyfikację ról zweryfikowanych użytkowników.
Wtyczka UserPro dla WordPressa jest podatna na obejście uwierzytelnienia w wersjach do 5.1.1 włącznie. Problem wynika z niewystarczającej weryfikacji użytkownika podczas logowania przez Facebooka, co umożliwia nieautoryzowanym atakującym logowanie się jako dowolny istniejący użytkownik na stronie.
CVE-2023-2889 describes an improper neutralization of special elements used in SQL commands, allowing SQL Injection in Veon Computer Service Tracking Software before crm version 2.0.
A vulnerability in Botanik Software Pharmacy Automation allows unauthorized actors to access private personal information. This issue affects versions before 2.1.133.0.
CVE-2023-5047 describes an improper neutralization of special elements used in SQL commands, leading to SQL Injection vulnerabilities in the DRDrive system.
CVE-2023-5921 describes an improper enforcement of behavioral workflow vulnerability in DECE Software Geodi that allows functionality bypass.
In ownCloud core before version 10.13.1, an attacker can access, modify, or delete any file without authentication if the victim's username is known and the victim has no signing-key configured. This occurs because pre-signed URLs can be accepted even when no signing-key is configured for the file owner. The earliest affected version is 10.6.0.
An issue was discovered in ownCloud owncloud/graphapi 0.2.x before 0.2.1 and 0.3.x before 0.3.1. The graphapi app relies on a third-party GetPhpInfo.php library that provides a URL. When this URL is accessed, it reveals the configuration details of the PHP environment (phpinfo). This information includes all the environment variables of the webserver. In containerized deployments, these environment variables may include sensitive data such as the ownCloud admin password, mail server credentials, and license key.
An attacker could have performed HTML template injection via Reader Mode and exfiltrated user information. This vulnerability affects Firefox for iOS < 120.
In Firefox for iOS, an attacker could access internal pages or data by exfiltrating a security key from ReaderMode via the referrerpolicy attribute. This affects Firefox for iOS versions prior to 120.
A vulnerability in the TOTOlink A3700R router firmware version 9.1.2u.6134_B20201202 allows a local attacker to execute arbitrary code via the setTracerouteCfg function.
Wtyczka Audio Merchant dla WordPressa jest podatna na atak Cross-Site Request Forgery we wszystkich wersjach do i włącznie z 5.0.4. Problem wynika z braku lub nieprawidłowej walidacji nonce w funkcji audio_merchant_add_audio_file.
Wtyczka Paid Memberships Pro dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu niewystarczającej walidacji typów plików w funkcji 'pmpro_paypalexpress_session_vars_for_user_fields' w wersjach do 2.12.3 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami subskrybenta lub wyższymi przesyłanie dowolnych plików na serwerze dotkniętej witryny, co może prowadzić do zdalnego wykonania kodu.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS