Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.18)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność związana z nieprawidłowym przypisaniem uprawnień w zespole Booking Activities umożliwia eskalację uprawnień. Problem ten dotyczy Booking Activities w wersjach od n/a do 1.16.44 włącznie.
W podatności CVE-2025-67952 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w motywie Grand Tour, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem dotyczy wersji Grand Tour od n/a do poniżej 5.6.2.
Podatność CVE-2025-67949 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w systemie Hostiko. Problem ten dotyczy wersji Hostiko od n/a do poniżej 94.3.6.
Podatność CVE-2025-67947 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce AdForest Elementor, co prowadzi do ataków typu Reflected XSS. Problem ten występuje w wersjach od n/a do 3.0.11 włącznie.
Podatność CVE-2025-67946 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w skrypcie AdForest. Problem ten dotyczy wersji AdForest od n/a do 6.0.11 włącznie.
W podatności CVE-2025-67943 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce My auctions allegro w wersjach od n/a do 3.6.32. Problem ten umożliwia atakującym wykonanie złośliwego kodu w kontekście przeglądarki użytkownika.
W podatności CVE-2025-67941 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie Elated-Themes The Aisle w wersjach poniżej 2.9.1. Problem ten może umożliwić atakującym dostęp do wrażliwych danych na serwerze.
Podatność CVE-2025-67940 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie Powerlift. Problem ten dotyczy wersji Powerlift od n/a do poniżej 3.2.1.
W podatności CVE-2025-67938 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie Mikado-Themes Biagiotti. Problem ten dotyczy wersji Biagiotti od n/a do poniżej 3.5.2.
Podatność CVE-2025-67923 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Crocoblock JetEngine, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji JetEngine od n/a do 3.7.7.
W podatności CVE-2025-67620 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w CleverSoft Anon anon2x, co pozwala na ataki typu Reflected XSS. Problem dotyczy wersji Anon od n/a do 2.2.10 włącznie.
Podatność na deserializację niezaufanych danych w wtyczce Kids Heaven pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji Kids Heaven od n/a do 3.2 włącznie.
W podatności CVE-2025-67616 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie BZOTheme Mella. Problem dotyczy wersji Mella od n/a do 1.2.29 włącznie.
W podatności CVE-2025-67615 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku. Problem dotyczy wersji Myour od n/a do 1.5.1.
W podatności CVE-2025-67614 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy wersji TheNa od n/a do 1.5.5 włącznie.
Funkcja orjson.dumps w orjson do wersji 3.11.4 nie ogranicza rekurencji dla głęboko zagnieżdżonych dokumentów JSON, co może prowadzić do problemów z wydajnością lub przepełnienia stosu.
Wtyczka WerkStatt w programie PHP ma podatność na lokalne włączenie pliku z powodu niewłaściwej kontroli nazwy pliku w instrukcji Include/Require. Problem ten dotyczy wersji wtyczki od n/a do 1.6.6.
W bibliotece Apryse HTML2PDF SDK do wersji 11.6.0 wykryto podatności Local File Inclusion (LFI) i Server-Side Request Forgery (SSRF) w funkcji InsertFromHtmlString(). Umożliwiają one atakującemu odczyt lokalnych plików na serwerze oraz wykonywanie dowolnych żądań HTTP do usług wewnętrznych lub zewnętrznych.
W podatności CVE-2025-54003 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wersji Depot od n/a do 1.16 włącznie.
Podatność CVE-2025-53240 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WordPress Photo Gallery. Umożliwia to atak typu Reflected XSS w wersjach od n/a do 1.1.0.