По дате публикации

Эксплуатируемые и новые серьёзные CVE: январь 2026 г.

272 записей · 16 KEV. В порядке публикации.

В списке: записи из каталога CISA KEV, с боевым эксплойтом, с EPSS от 10%, с публичным PoC и датой публикации в последние 3 года, а также записи с CVSS от 7, опубликованные за последние 90 дней. Остальные записи доступны через поиск и страницы производителей.

Границы месяца считаются по UTC, как и дата публикации на странице записи.

Страница 1 из 3

Записи CVE
Срочность	CVE	Уязвимость	Критичность	KEV	EPSS	Опубликовано
21Наблюдать	CVE-2025-69413Proof of concept	In Gitea before 1.25.2, /api/v1/user has different responses for failed authentication depending on whether a username exists.gitea · gitea · CWE-204 Без аутентификации	Средняя5,3	—	0,3 %	1 янв. 2026 г.
23Наблюдать	CVE-2026-21436Proof of concept	eopkg has Path Traversal: '../filedir' vulnerabilitygetsol · eopkg · CWE-24 Обход пути	Средняя5,8	—	0,2 %	1 янв. 2026 г.
8Наблюдать	CVE-2026-21437Proof of concept	eopkg vulnerable to package file list integrity bypassgetsol · eopkg · CWE-353	Низкая2,0	—	0,1 %	1 янв. 2026 г.
37Наблюдать	CVE-2025-47411Эксплойта нет	Apache StreamPipes: Leverage of User ID for Privilege Escalationapache · streampipes · CWE-269	Высокая8,1	—	15,3 %	1 янв. 2026 г.
41В плане	CVE-2025-66398Proof of concept	Signal K Server has Unauthenticated State Pollution leading to Remote Code Execution (RCE)signalk · signal k server · CWE-78 RCE без входа Инъекция команд	Высокая8,8	—	19,8 %	1 янв. 2026 г.
21Наблюдать	CVE-2025-68273Proof of concept	Signal K Server Vulnerable to Unauthenticated Information Disclosure via Exposed Endpointssignalk · signal k server · CWE-200 Без аутентификации Утечка информации	Средняя5,3	—	0,8 %	1 янв. 2026 г.
21Наблюдать	CVE-2025-14047Proof of concept	WP User Frontend <= 4.2.4 - Missing Authorization to Unauthenticated Arbitrary Attachment Deletionwedevs · user frontend: ai powered frontend posting, user directory, profile, membership & user registration · CWE-862 Без аутентификации Нарушение контроля доступа (IDOR)	Средняя5,3	—	0,8 %	1 янв. 2026 г.
40В плане	CVE-2025-14998Proof of concept	Branda – White Label & Branding, Free Login Page Customizer <= 3.4.24 - Unauthenticated Privilege Escalation via Account Takeoverwpmudev · branda – white label & branding, free login page customizer · CWE-639 Без аутентификации Нарушение контроля доступа (IDOR)	Критическая9,8	—	1,8 %	1 янв. 2026 г.
21Наблюдать	CVE-2024-55374Proof of concept	REDCap 14.3.13 allows an attacker to enumerate usernames due to an observable discrepancy between login attempts.vanderbilt · redcap · CWE-203 Без аутентификации	Средняя5,3	—	0,2 %	2 янв. 2026 г.
30Наблюдать	CVE-2025-67158Proof of concept	An authentication bypass in the /cgi-bin/jvsweb.cgi endpoint of Revotech I6032W-FHW v1.0.0014 - 20210517 allows attackers to access sensitivrevotech · i6032w-fhw firmware · CWE-287 Без аутентификации Обход аутентификации	Высокая7,5	—	0,5 %	2 янв. 2026 г.
30Наблюдать	CVE-2025-67159Proof of concept	Vatilon v1.12.37-20240124 was discovered to transmit user credentials in plaintext.vatilon · pa4 firmware · CWE-319 Без аутентификации Слабая криптография	Высокая7,5	—	0,2 %	2 янв. 2026 г.
30Наблюдать	CVE-2025-67160Proof of concept	An issue in Vatilon v1.12.37-20240124 allows attackers to access sensitive directories and files via a directory traversal.vatilon · pa4 firmware · CWE-22 Без аутентификации Обход пути	Высокая7,5	—	0,9 %	2 янв. 2026 г.
36Наблюдать	CVE-2026-21440Proof of concept	AdonisJS Path Traversal in Multipart File Handlingadonisjs · core · CWE-22 Без аутентификации Обход пути	Критическая9,2	—	1,0 %	2 янв. 2026 г.
45В плане	CVE-2026-21445Proof of concept	Langflow Missing Authentication on Critical API Endpointslangflow · langflow · CWE-306 Без аутентификации Обход аутентификации	Высокая8,8	—	33,2 %	2 янв. 2026 г.
27Наблюдать	CVE-2025-34171Proof of concept	CasaOS <= 0.4.15 Unauthenticated File and Debug Data Exposureicewhale · casaos · CWE-497 Без аутентификации Утечка информации	Средняя6,9	—	0,6 %	2 янв. 2026 г.
21Наблюдать	CVE-2026-21484Proof of concept	AnythingLLM Vulnerable to Username Enumeration w/ Password Recoverymintplexlabs · anythingllm · CWE-203 Без аутентификации	Средняя5,3	—	0,7 %	2 янв. 2026 г.
34Наблюдать	CVE-2025-14124Proof of concept	Team < 5.0.11 - Unauthenticated SQLiunknown · team · CWE-89 Без аутентификации SQL-инъекция	Высокая8,6	—	1,6 %	5 янв. 2026 г.
36Наблюдать	CVE-2025-5965Эксплойта нет	RCE via the backup feature available only to user with high privilegecentreon · centreon web · CWE-78 RCE Инъекция команд	Высокая7,2	—	28,2 %	5 янв. 2026 г.
30Наблюдать	CVE-2025-67303Proof of concept	An issue in ComfyUI-Manager prior to version 3.38 allowed remote attackers to potentially manipulate its configuration and critical data.comfy · comfyui-manager · CWE-420 Без аутентификации	Высокая7,5	—	1,3 %	5 янв. 2026 г.
43В плане	CVE-2025-15029Эксплойта нет	An unauthenticated user is able to introduce SQL Injection using the Awie export modulecentreon · awie · CWE-89 Без аутентификации SQL-инъекция	Критическая9,8	—	12,9 %	5 янв. 2026 г.
60На этой неделе	CVE-2025-66376Готовый эксплойт	Zimbra Collaboration (ZCS) 10 before 10.0.18 and 10.1 before 10.1.13 allows Classic UI stored XSS via Cascading Style Sheets (CSS) @import dsynacor · zimbra collaboration suite · CWE-79 Без аутентификации XSS	Средняя6,1	KEV	20,2 %	5 янв. 2026 г.
38Наблюдать	CVE-2025-64424Proof of concept	Colify has command injection vulnerability in project git sourcecoollabs · coolify · CWE-77 RCE Инъекция команд	Критическая9,4	—	2,0 %	5 янв. 2026 г.
34Наблюдать	CVE-2025-64425Эксплойта нет	Coolify has host header injection in forgot passwordcoollabs · coolify · CWE-644 Без аутентификации	Высокая8,5	—	0,4 %	5 янв. 2026 г.
37Наблюдать	CVE-2025-68428Proof of concept	jsPDF has Local File Inclusion/Path Traversal vulnerabilityparall · jspdf · CWE-35 Без аутентификации Обход пути	Критическая9,2	—	2,1 %	5 янв. 2026 г.
34Наблюдать	CVE-2025-68455Эксплойта нет	Craft CMS vulnerable to potential authenticated Remote Code Execution via malicious attached Behaviorcraftcms · craft cms · CWE-470 RCE	Высокая8,6	—	0,9 %	5 янв. 2026 г.
26Наблюдать	CVE-2025-13652Proof of concept	CBX Bookmark & Favorite <= 2.0.4 - Authenticated (Subscriber+) SQL Injection via `orderby` Parametermanchumahara · cbx bookmark & favorite · CWE-89 SQL-инъекция	Средняя6,5	—	1,1 %	6 янв. 2026 г.
39Наблюдать	CVE-2025-15001Proof of concept	FS Registration Password <= 1.0.1 - Unauthenticated Privilege Escalation via Account Takeoverfsylum · fs registration password · CWE-639 Без аутентификации Нарушение контроля доступа (IDOR)	Критическая9,8	—	0,4 %	6 янв. 2026 г.
17Наблюдать	CVE-2025-69336Эксплойта нет	WordPress Ultimate Store Kit Elementor Addons plugin <= 2.9.4 - Broken Access Control vulnerabilitybdthemes · ultimate store kit elementor addons · CWE-862 Нарушение контроля доступа (IDOR)	Средняя4,3	—	0,1 %	6 янв. 2026 г.
39Наблюдать	CVE-2025-15471Эксплойта нет	TRENDnet TEW-713RE formFSrvX os command injectiontrendnet · tew-713re firmware · CWE-77 RCE без входа Инъекция команд	Высокая8,9	—	13,7 %	7 янв. 2026 г.
17Наблюдать	CVE-2025-12030Proof of concept	ACF to REST API <= 3.3.4 - Insecure Direct Object Reference to Authenticated (Contributor+) ACF Field/Option Modificationairesvsg · acf to rest api · CWE-639 Нарушение контроля доступа (IDOR)	Средняя4,3	—	0,4 %	7 янв. 2026 г.
25Наблюдать	CVE-2025-13418Proof of concept	Responsive Pricing Table <= 5.1.12 - Authenticated (Author+) Stored Cross-Site Scriptingspwebguy · responsive pricing table · CWE-79 XSS	Средняя6,4	—	0,6 %	7 янв. 2026 г.
31Наблюдать	CVE-2025-13801Proof of concept	Yoco Payments <= 3.9.0 - Unauthenticated Arbitrary File Readyocoadmin · yoco payments · CWE-22 Без аутентификации Обход пути	Высокая7,5	—	1,8 %	7 янв. 2026 г.
41В плане	CVE-2026-0628Proof of concept	Insufficient policy enforcement in WebView tag in Google Chrome prior to 143.0.7499.192 allowed an attacker who convinced a user to install google · chrome · CWE-862 Без аутентификации Нарушение контроля доступа (IDOR)	Высокая8,8	—	20,9 %	7 янв. 2026 г.
26Наблюдать	CVE-2025-66838Proof of concept	In Aris v10.0.23.0.3587512 and before, the file upload functionality does not enforce any rate limiting or throttling, allowing users to uplsoftwareag · aris · CWE-770 Отказ в обслуживании	Средняя6,5	—	0,3 %	7 янв. 2026 г.
36Наблюдать	CVE-2025-15472Эксплойта нет	TRENDnet TEW-811DRU httpd uapply.cgi setDeviceURL os command injectiontrendnet · tew-811dru firmware · CWE-77 RCE Инъекция команд	Высокая7,3	—	22,3 %	7 янв. 2026 г.
21Наблюдать	CVE-2025-15474Proof of concept	AuntyFey Smart Combination Lock BLE Connection Flood DoSauntyfey · auntyfey smart combination lock · CWE-770 Без аутентификации Отказ в обслуживании	Средняя5,3	—	0,3 %	7 янв. 2026 г.
32Наблюдать	CVE-2025-69080Proof of concept	WordPress Gecko theme <= 1.9.8 - Local File Inclusion vulnerabilityjanstudio · gecko · CWE-98 Без аутентификации	Высокая8,1	—	0,4 %	7 янв. 2026 г.
37Наблюдать	CVE-2026-0650Proof of concept	OpenFlagr <= 1.1.18 Authentication Bypass via Prefix Whitelist Path Normalizationopenflagr · flagr · CWE-306 Без аутентификации Обход аутентификации	Критическая9,3	—	1,5 %	7 янв. 2026 г.
27Наблюдать	CVE-2025-66837Proof of concept	A file upload vulnerability in ARIS 10.0.23.0.3587512 allows attackers to execute arbitrary code via uploading a crafted PDF file/Malwaresoftwareag · aris · CWE-434 RCE без входа Загрузка файлов	Средняя6,8	—	0,3 %	7 янв. 2026 г.
38Наблюдать	CVE-2025-12543Proof of concept	Undertow-core: undertow http server fails to reject malformed host headers leading to potential cache poisoning and ssrfredhat · build of apache camel · CWE-20 Без аутентификации SSRF	Критическая9,6	—	1,3 %	7 янв. 2026 г.
21Наблюдать	CVE-2026-21851Эксплойта нет	MONAI has Path Traversal (Zip Slip) in NGC Private Bundle Downloadproject-monai · monai · CWE-22 Без аутентификации Обход пути	Средняя5,3	—	0,3 %	7 янв. 2026 г.
33Наблюдать	CVE-2026-21857Proof of concept	Redaxo has Path Traversal in Backup Addon Leading to Arbitrary File Readredaxo · redaxo · CWE-22 Обход пути	Высокая8,3	—	0,5 %	7 янв. 2026 г.
39Наблюдать	CVE-2017-20215Эксплойта нет	FLIR Thermal Camera FC-S/PT firmware version 8.0.0.64 Authenticated OS Command Injectionflir systems, inc. · flir thermal camera fc-s/pt · CWE-78 RCE Инъекция команд	Высокая8,7	—	15,8 %	7 янв. 2026 г.
41В плане	CVE-2017-20216Эксплойта нет	FLIR Thermal Camera PT-Series firmware version 8.0.0.64 Unauthenticated Remote Command Injectionflir systems, inc. · flir thermal camera pt-series · CWE-78 RCE без входа Инъекция команд	Критическая9,3	—	12,0 %	7 янв. 2026 г.
63На этой неделе	CVE-2026-21858Proof of concept	n8n Vulnerable to Unauthenticated File Access via Improper Webhook Request Handlingn8n · n8n · CWE-20 Без аутентификации	Критическая10,0	—	78,1 %	7 янв. 2026 г.
21Наблюдать	CVE-2026-21859Proof of concept	Mailpit Proxy Endpoint is Vulnerable to Server-Side Request Forgery (SSRF)axllent · mailpit · CWE-918 Без аутентификации SSRF	Средняя5,3	—	0,8 %	7 янв. 2026 г.
39Наблюдать	CVE-2026-21869Эксплойта нет	llama.cpp has Out-of-bounds Write in llama-serverggml · llama.cpp · CWE-787 RCE без входа Ошибки памяти	Критическая9,8	—	0,5 %	7 янв. 2026 г.
40В плане	CVE-2026-21875Proof of concept	ClipBucket v5 Vulnerable to Blind SQL Injection through Channel Commentsoxygenz · clipbucket · CWE-89 Без аутентификации SQL-инъекция	Критическая9,8	—	1,7 %	7 янв. 2026 г.
41В плане	CVE-2026-21877Proof of concept	n8n is vulnerable to Remote Code Execution via Arbitrary File Writen8n · n8n · CWE-94 RCE	Критическая9,9	—	5,4 %	7 янв. 2026 г.
37Наблюдать	CVE-2025-68705Proof of concept	RustFS Path Traversal Vulnerabilityrustfs · rustfs · CWE-22 Без аутентификации Обход пути	Высокая8,8	—	7,2 %	7 янв. 2026 г.
27Наблюдать	CVE-2026-22187Proof of concept	Bio-Formats <= 8.3.0 Memoizer Unsafe Deserialization via .bfmemo Cache Filesopenmicroscopy · bio-formats · CWE-502 RCE Десериализация	Средняя6,8	—	0,5 %	7 янв. 2026 г.
26Наблюдать	CVE-2026-21876Proof of concept	OWASP CRS has multipart bypass using multiple content-type partsowasp · owasp modsecurity core rule set · CWE-794 Без аутентификации	Средняя5,3	—	17,8 %	8 янв. 2026 г.
40В плане	CVE-2026-21891Proof of concept	ZimaOS has Authentication Bypass via System-Level Usernamezimaspace · zimaos · CWE-287 Без аутентификации Обход аутентификации	Критическая9,8	—	2,3 %	8 янв. 2026 г.
30Наблюдать	CVE-2026-22241Proof of concept	Open eClass has Unrestricted File Upload that Leads to Remote Code Execution (RCE)openeclass · openeclass · CWE-434 RCE Загрузка файлов	Высокая7,3	—	3,2 %	8 янв. 2026 г.
39Наблюдать	CVE-2025-61246Proof of concept	indieka900 online-shopping-system-php 1.0 is vulnerable to SQL Injection in master/review_action.php via the proId parameter.indieka900 · online shopping system · CWE-89 Без аутентификации SQL-инъекция	Критическая9,8	—	0,4 %	8 янв. 2026 г.
30Наблюдать	CVE-2025-65518Proof of concept	Plesk Obsidian versions 8.0.1 through 18.0.73 are vulnerable to a Denial of Service (DoS) condition.webpros · plesk obsidian · CWE-400 Без аутентификации Обход аутентификации Отказ в обслуживании	Высокая7,5	—	0,6 %	8 янв. 2026 г.
27Наблюдать	CVE-2025-65731Proof of concept	An issue was discovered in D-Link Router DIR-605L (Hardware version F1; Firmware version: V6.02CN02) allowing an attacker with physical accedlink · dir-605l firmware · CWE-306 RCE Обход аутентификации	Средняя6,8	—	0,4 %	8 янв. 2026 г.
39Наблюдать	CVE-2025-67325Proof of concept	Unrestricted file upload in the hotel review feature in QloApps versions 1.7.0 and earlier allows remote unauthenticated attackers to achievwebkul · qloapps · CWE-434 RCE без входа Загрузка файлов	Критическая9,8	—	0,9 %	8 янв. 2026 г.
36Наблюдать	CVE-2025-59470Proof of concept	This vulnerability allows a Backup Operator to perform remote code execution (RCE) as the postgres user by sending a malicious interval or oveeam · veeam backup & replication · CWE-77 RCE Инъекция команд	Критическая9,0	—	1,5 %	8 янв. 2026 г.
11Наблюдать	CVE-2026-0732Эксплойта нет	D-Link DI-8200G upgrade_filter.asp command injectiondlink · di-8200g firmware · CWE-74 RCE Инъекция команд	Низкая2,1	—	11,6 %	8 янв. 2026 г.
39Наблюдать	CVE-2025-14736Proof of concept	Frontend Admin by DynamiApps <= 3.28.29 - Unauthenticated Privilege Escalation to Administrator via Role Form Fieldshabti · frontend admin by dynamiapps · CWE-269 Без аутентификации	Критическая9,8	—	0,7 %	9 янв. 2026 г.
25Наблюдать	CVE-2025-14893Proof of concept	IndieWeb <= 4.0.5 - Authenticated (Author+) Stored Cross-Site Scripting via 'Telephone' Parameterindieweb · indieweb · CWE-79 XSS	Средняя6,4	—	0,2 %	9 янв. 2026 г.
39Наблюдать	CVE-2025-69194Proof of concept	Wget2: arbitrary file write via metalink path traversal in gnu wget2gnu · wget2 · CWE-22 Без аутентификации Обход пути	Критическая9,8	—	0,7 %	9 янв. 2026 г.
26Наблюдать	CVE-2025-14172Proof of concept	WP Page Permalink Extension <= 1.5.4 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Rewrite Rules Flushinfosatech · wp page permalink extension · CWE-862 Без аутентификации Нарушение контроля доступа (IDOR)	Средняя6,5	—	0,4 %	9 янв. 2026 г.
39Наблюдать	CVE-2025-14598Proof of concept	BeeS Software Solutions BET Portal contains an SQL injection vulnerability in the login functionality of affected sites.cloudilyaerp · bet e-portal · CWE-89 Без аутентификации SQL-инъекция	Критическая9,8	—	0,7 %	9 янв. 2026 г.
8Наблюдать	CVE-2025-15495Proof of concept	BiggiDroid Simple PHP CMS editsite.php unrestricted uploadbiggidroid · simple php cms · CWE-284 Загрузка файлов Нарушение контроля доступа (IDOR)	Низкая2,0	—	0,4 %	9 янв. 2026 г.
30Наблюдать	CVE-2025-66744Proof of concept	In Yonyou YonBIP v3 and before, the LoginWithV8 interface in the series data application service system is vulnerable to path traversal, allCWE-22 Без аутентификации Обход пути	Высокая7,5	—	1,5 %	9 янв. 2026 г.
47В плане	CVE-2025-70161Эксплойта нет	EDIMAX BR-6208AC V2_1.02 is vulnerable to Command Injection.edimax · br-6208ac firmware · CWE-77 RCE без входа Инъекция команд	Критическая9,8	—	27,0 %	9 янв. 2026 г.
32Наблюдать	CVE-2025-67070Proof of concept	A vulnerability exists in Intelbras CFTV IP NVD 9032 R Ftd V2.800.00IB00C.0.T, which allows an unauthenticated attacker to bypass the multi-CWE-288 Без аутентификации Обход аутентификации	Высокая8,2	—	0,3 %	9 янв. 2026 г.
25Наблюдать	CVE-2026-22024Proof of concept	CryptoLib Memory Leak in KMC Encrypt Function Leads to Resource Exhaustionnasa · cryptolib · CWE-401 Без аутентификации Отказ в обслуживании	Средняя6,3	—	0,4 %	9 янв. 2026 г.
30Наблюдать	CVE-2025-59057Proof of concept	React Router has XSS Vulnerabilityshopify · react-router · CWE-79 XSS	Высокая7,6	—	0,5 %	9 янв. 2026 г.
41В плане	CVE-2025-61686Proof of concept	React Router has Path Traversal in File Session Storageshopify · react-router\/node · CWE-22 Без аутентификации Обход пути	Критическая9,1	—	17,3 %	9 янв. 2026 г.
40В плане	CVE-2026-22594Готовый эксплойт	Ghost has Staff 2FA bypassghost · ghost · CWE-287 Обход аутентификации	Высокая8,1	—	1,3 %	9 янв. 2026 г.
34Наблюдать	CVE-2026-22610Proof of concept	Angular has XSS Vulnerability via Unsanitized SVG Script Attributesangular · angular · CWE-79 XSS	Высокая8,5	—	0,4 %	10 янв. 2026 г.
21Наблюдать	CVE-2026-22704Proof of concept	HAXcms Has Stored XSS Vulnerability that May Lead to Account Takeoverpsu · haxcms-nodejs · CWE-79 XSS	Средняя5,4	—	1,0 %	10 янв. 2026 г.
30Наблюдать	CVE-2026-22777Proof of concept	ComfyUI-Manager is Vulnerable to CRLF Injection in Configuration Handlercomfy · comfyui-manager · CWE-93 Без аутентификации	Высокая7,5	—	0,3 %	10 янв. 2026 г.
23Наблюдать	CVE-2025-15503Proof of concept	Sangfor Operation and Maintenance Management System common.jsp unrestricted uploadsangfor · operation and maintenance security management system · CWE-284 Без аутентификации Загрузка файлов Нарушение контроля доступа (IDOR)	Средняя5,5	—	2,0 %	10 янв. 2026 г.
8Наблюдать	CVE-2026-0842Proof of concept	Flycatcher Toys smART Sketcher Bluetooth Low Energy missing authenticationflycatcher toys · smart sketcher · CWE-287 Без аутентификации Обход аутентификации	Низкая2,1	—	0,3 %	11 янв. 2026 г.
46В плане	CVE-2025-68493Proof of concept	Apache Struts, Apache Struts: XXE vulnerability in outdated XWork componentapache · struts · CWE-611 Без аутентификации XXE	Высокая8,1	—	45,8 %	11 янв. 2026 г.
51В плане	CVE-2025-52694Proof of concept	Execution of arbitrary SQL commandsadvantech · iot edge linux docker · CWE-89 RCE без входа SQL-инъекция	Критическая9,8	—	39,9 %	11 янв. 2026 г.
40В плане	CVE-2025-63314Proof of concept	A static password reset token in the password reset function of DDSN Interactive Acora CMS v10.7.1 allows attackers to arbitrarily reset theddsn · cm3 acora cms · CWE-640 Без аутентификации	Критическая10,0	—	0,2 %	12 янв. 2026 г.
42В плане	CVE-2025-68472Proof of concept	MindsDB has improper sanitation of filepath that leads to information disclosure and DOSmindsdb · mindsdb · CWE-22 Без аутентификации Обход пути	Критическая9,1	—	20,2 %	12 янв. 2026 г.
60На этой неделе	CVE-2026-22200Готовый эксплойт	osTicket (1.18.x < 1.18.3, 1.17.x < 1.17.7) PDF Export Arbitrary File Readenhancesoft · osticket · CWE-74 Без аутентификации	Высокая8,7	—	73,5 %	12 янв. 2026 г.
40В плане	CVE-2026-22252Эксплойта нет	LibreChat MCP Stdio Remote Command Executionlibrechat · librechat · CWE-285 RCE Нарушение контроля доступа (IDOR)	Критическая9,9	—	4,2 %	12 янв. 2026 г.
37Наблюдать	CVE-2026-22785Proof of concept	orval MCP client is vulnerable to a code injection attack.orval · orval · CWE-77 RCE без входа Инъекция команд	Критическая9,3	—	0,7 %	12 янв. 2026 г.
39Наблюдать	CVE-2025-66802Proof of concept	Sourcecodester Covid-19 Contact Tracing System 1.0 is vulnerable to RCE (Remote Code Execution).covid-19 contact tracing system project · covid-19 contact tracing system · CWE-434 RCE без входа Загрузка файлов	Критическая9,8	—	0,9 %	12 янв. 2026 г.
21Наблюдать	CVE-2021-41074Proof of concept	A CSRF issue in index.php in QloApps hotel eCommerce 1.5.1 allows an attacker to change the admin's email address via a crafted HTML documenwebkul · qloapps · CWE-352 Без аутентификации CSRF	Средняя5,4	—	0,1 %	12 янв. 2026 г.
53В плане	CVE-2025-12420Proof of concept	Unauthenticated Privilege Escalation in ServiceNow AI Platformservicenow · now assist ai agents · CWE-250 Без аутентификации	Критическая9,3	—	53,1 %	12 янв. 2026 г.
37Наблюдать	CVE-2025-67146Proof of concept	Multiple SQL Injection vulnerabilities exist in AbhishekMali21 GYM-MANAGEMENT-SYSTEM 1.0 via the 'name' parameter in (1) member_search.php, abhishekmali21 · gym management system · CWE-89 Без аутентификации Обход аутентификации SQL-инъекция	Критическая9,4	—	0,6 %	12 янв. 2026 г.
35Наблюдать	CVE-2026-22794Proof of concept	Account Takeover Vulnerability in Appsmithappsmith · appsmith · CWE-346 Без аутентификации	Высокая8,8	—	0,3 %	12 янв. 2026 г.
18Наблюдать	CVE-2026-22804Proof of concept	Termix has a Stored XSS in File Manager leading to Local File Inclusion (LFI) in Electron and Session Hijacking in Browsertermix · termix · CWE-79 Без аутентификации XSS	Средняя4,7	—	0,2 %	12 янв. 2026 г.
40В плане	CVE-2026-22812Proof of concept	OpenCode's Unauthenticated HTTP Server Allows Arbitrary Command Executionanoma · opencode · CWE-306 RCE без входа Обход аутентификации	Высокая8,8	—	16,5 %	12 янв. 2026 г.
35Наблюдать	CVE-2025-66177Proof of concept	There is a Buffer overflow Vulnerability in the device Search and Discovery feature of Hikvision NVR/DVR/CVR/IPC models.hikvision · ds-96xxxni-hx · CWE-121 Без аутентификации Ошибки памяти	Высокая8,8	—	0,3 %	12 янв. 2026 г.
21Наблюдать	CVE-2025-14001Proof of concept	WP Duplicate Page <= 1.8 - Missing Authorization to Authenticated (Contributor+) Arbitrary Post Duplicationninjateam · wp duplicate page · CWE-862 Нарушение контроля доступа (IDOR)	Средняя5,4	—	0,2 %	13 янв. 2026 г.
22Наблюдать	CVE-2025-9435Proof of concept	Zohocorp ManageEngine ADManager Plus versions below 7230 are vulnerable to Path Traversal in the User Management modulezohocorp · manageengine admanager plus · CWE-22 Обход пути	Средняя5,5	—	0,5 %	13 янв. 2026 г.
35Наблюдать	CVE-2025-13444Эксплойта нет	OS Command Injection Remote Code Execution Vulnerability in Progress LoadMasterprogress · connection manager for objectscale · CWE-78 RCE Инъекция команд	Средняя6,8	—	27,2 %	13 янв. 2026 г.
35Наблюдать	CVE-2025-13447Эксплойта нет	OS Command Injection Remote Code Execution Vulnerability in Progress LoadMasterprogress · connection manager for objectscale* · CWE-78 RCE Инъекция команд	Средняя6,8	—	27,2 %	13 янв. 2026 г.
26Наблюдать	CVE-2025-55462Proof of concept	A CORS misconfiguration in Eramba Community and Enterprise Editions v3.26.0 allows an attacker-controlled Origin header to be reflected in teramba · eramba · CWE-942 Без аутентификации	Средняя6,5	—	0,4 %	13 янв. 2026 г.
43В плане	CVE-2026-22755Эксплойта нет	Legacy Vivotek Camera Firmware Command Injection in upload_map.cgivivotek · affected device model numbers are fd8365, fd8365v2, fd9165, fd9171, fd9187, fd9189, fd9365, fd9371, fd9381, fd9387, fd9389, fd9391,fe9180,fe9181, fe9191, fe9381, fe9382, fe9391, fe9582, ib9365, ib9358 · CWE-77 RCE без входа Инъекция команд	Критическая9,3	—	20,1 %	13 янв. 2026 г.
40В плане	CVE-2025-12548Готовый эксплойт	Github.com/che-incubator/che-code: eclipse che — unauthenticated rce and secret exfiltration via tcp/3333red hat · red hat openshift dev spaces (rhosds) 3.22 · CWE-306 RCE Обход аутентификации	Критическая9,0	—	1,2 %	13 янв. 2026 г.

CVE-2025-69413
21Наблюдать
In Gitea before 1.25.2, /api/v1/user has different responses for failed authentication depending on whether a username exists.
СредняяCVSS 5,3Proof of conceptEPSS 0 %
- Без аутентификации
gitea · gitea1 янв. 2026 г.
CVE-2026-21436
23Наблюдать
eopkg has Path Traversal: '../filedir' vulnerability
СредняяCVSS 5,8Proof of conceptEPSS 0 %
- Обход пути
getsol · eopkg1 янв. 2026 г.
CVE-2026-21437
8Наблюдать
eopkg vulnerable to package file list integrity bypass
НизкаяCVSS 2,0Proof of conceptEPSS 0 %
getsol · eopkg1 янв. 2026 г.
CVE-2025-47411
37Наблюдать
Apache StreamPipes: Leverage of User ID for Privilege Escalation
ВысокаяCVSS 8,1Эксплойта нетEPSS 15 %
apache · streampipes1 янв. 2026 г.
CVE-2025-66398
41В плане
Signal K Server has Unauthenticated State Pollution leading to Remote Code Execution (RCE)
ВысокаяCVSS 8,8Proof of conceptEPSS 19 %
- RCE без входа
- Инъекция команд
signalk · signal k server1 янв. 2026 г.
CVE-2025-68273
21Наблюдать
Signal K Server Vulnerable to Unauthenticated Information Disclosure via Exposed Endpoints
СредняяCVSS 5,3Proof of conceptEPSS 0 %
- Без аутентификации
- Утечка информации
signalk · signal k server1 янв. 2026 г.
CVE-2025-14047
21Наблюдать
WP User Frontend <= 4.2.4 - Missing Authorization to Unauthenticated Arbitrary Attachment Deletion
СредняяCVSS 5,3Proof of conceptEPSS 0 %
- Без аутентификации
- Нарушение контроля доступа (IDOR)
wedevs · user frontend: ai powered frontend posting, user directory, profile, membership & user registration1 янв. 2026 г.
CVE-2025-14998
40В плане
Branda – White Label & Branding, Free Login Page Customizer <= 3.4.24 - Unauthenticated Privilege Escalation via Account Takeover
КритическаяCVSS 9,8Proof of conceptEPSS 1 %
- Без аутентификации
- Нарушение контроля доступа (IDOR)
wpmudev · branda – white label & branding, free login page customizer1 янв. 2026 г.
CVE-2024-55374
21Наблюдать
REDCap 14.3.13 allows an attacker to enumerate usernames due to an observable discrepancy between login attempts.
СредняяCVSS 5,3Proof of conceptEPSS 0 %
- Без аутентификации
vanderbilt · redcap2 янв. 2026 г.
CVE-2025-67158
30Наблюдать
An authentication bypass in the /cgi-bin/jvsweb.cgi endpoint of Revotech I6032W-FHW v1.0.0014 - 20210517 allows attackers to access sensitiv
ВысокаяCVSS 7,5Proof of conceptEPSS 0 %
- Без аутентификации
- Обход аутентификации
revotech · i6032w-fhw firmware2 янв. 2026 г.
CVE-2025-67159
30Наблюдать
Vatilon v1.12.37-20240124 was discovered to transmit user credentials in plaintext.
ВысокаяCVSS 7,5Proof of conceptEPSS 0 %
- Без аутентификации
- Слабая криптография
vatilon · pa4 firmware2 янв. 2026 г.
CVE-2025-67160
30Наблюдать
An issue in Vatilon v1.12.37-20240124 allows attackers to access sensitive directories and files via a directory traversal.
ВысокаяCVSS 7,5Proof of conceptEPSS 0 %
- Без аутентификации
- Обход пути
vatilon · pa4 firmware2 янв. 2026 г.
CVE-2026-21440
36Наблюдать
AdonisJS Path Traversal in Multipart File Handling
КритическаяCVSS 9,2Proof of conceptEPSS 1 %
- Без аутентификации
- Обход пути
adonisjs · core2 янв. 2026 г.
CVE-2026-21445
45В плане
Langflow Missing Authentication on Critical API Endpoints
ВысокаяCVSS 8,8Proof of conceptEPSS 33 %
- Без аутентификации
- Обход аутентификации
langflow · langflow2 янв. 2026 г.
CVE-2025-34171
27Наблюдать
CasaOS <= 0.4.15 Unauthenticated File and Debug Data Exposure
СредняяCVSS 6,9Proof of conceptEPSS 0 %
- Без аутентификации
- Утечка информации
icewhale · casaos2 янв. 2026 г.
CVE-2026-21484
21Наблюдать
AnythingLLM Vulnerable to Username Enumeration w/ Password Recovery
СредняяCVSS 5,3Proof of conceptEPSS 0 %
- Без аутентификации
mintplexlabs · anythingllm2 янв. 2026 г.
CVE-2025-14124
34Наблюдать
Team < 5.0.11 - Unauthenticated SQLi
ВысокаяCVSS 8,6Proof of conceptEPSS 1 %
- Без аутентификации
- SQL-инъекция
unknown · team5 янв. 2026 г.
CVE-2025-5965
36Наблюдать
RCE via the backup feature available only to user with high privilege
ВысокаяCVSS 7,2Эксплойта нетEPSS 28 %
- RCE
- Инъекция команд
centreon · centreon web5 янв. 2026 г.
CVE-2025-67303
30Наблюдать
An issue in ComfyUI-Manager prior to version 3.38 allowed remote attackers to potentially manipulate its configuration and critical data.
ВысокаяCVSS 7,5Proof of conceptEPSS 1 %
- Без аутентификации
comfy · comfyui-manager5 янв. 2026 г.
CVE-2025-15029
43В плане
An unauthenticated user is able to introduce SQL Injection using the Awie export module
КритическаяCVSS 9,8Эксплойта нетEPSS 12 %
- Без аутентификации
- SQL-инъекция
centreon · awie5 янв. 2026 г.
CVE-2025-66376
60На этой неделе
Zimbra Collaboration (ZCS) 10 before 10.0.18 and 10.1 before 10.1.13 allows Classic UI stored XSS via Cascading Style Sheets (CSS) @import d
СредняяCVSS 6,1KEVГотовый эксплойтEPSS 20 %
- Без аутентификации
- XSS
synacor · zimbra collaboration suite5 янв. 2026 г.
CVE-2025-64424
38Наблюдать
Colify has command injection vulnerability in project git source
КритическаяCVSS 9,4Proof of conceptEPSS 2 %
- RCE
- Инъекция команд
coollabs · coolify5 янв. 2026 г.
CVE-2025-64425
34Наблюдать
Coolify has host header injection in forgot password
ВысокаяCVSS 8,5Эксплойта нетEPSS 0 %
- Без аутентификации
coollabs · coolify5 янв. 2026 г.
CVE-2025-68428
37Наблюдать
jsPDF has Local File Inclusion/Path Traversal vulnerability
КритическаяCVSS 9,2Proof of conceptEPSS 2 %
- Без аутентификации
- Обход пути
parall · jspdf5 янв. 2026 г.
CVE-2025-68455
34Наблюдать
Craft CMS vulnerable to potential authenticated Remote Code Execution via malicious attached Behavior
ВысокаяCVSS 8,6Эксплойта нетEPSS 0 %
- RCE
craftcms · craft cms5 янв. 2026 г.
CVE-2025-13652
26Наблюдать
CBX Bookmark & Favorite <= 2.0.4 - Authenticated (Subscriber+) SQL Injection via `orderby` Parameter
СредняяCVSS 6,5Proof of conceptEPSS 1 %
- SQL-инъекция
manchumahara · cbx bookmark & favorite6 янв. 2026 г.
CVE-2025-15001
39Наблюдать
FS Registration Password <= 1.0.1 - Unauthenticated Privilege Escalation via Account Takeover
КритическаяCVSS 9,8Proof of conceptEPSS 0 %
- Без аутентификации
- Нарушение контроля доступа (IDOR)
fsylum · fs registration password6 янв. 2026 г.
CVE-2025-69336
17Наблюдать
WordPress Ultimate Store Kit Elementor Addons plugin <= 2.9.4 - Broken Access Control vulnerability
СредняяCVSS 4,3Эксплойта нетEPSS 0 %
- Нарушение контроля доступа (IDOR)
bdthemes · ultimate store kit elementor addons6 янв. 2026 г.
CVE-2025-15471
39Наблюдать
TRENDnet TEW-713RE formFSrvX os command injection
ВысокаяCVSS 8,9Эксплойта нетEPSS 13 %
- RCE без входа
- Инъекция команд
trendnet · tew-713re firmware7 янв. 2026 г.
CVE-2025-12030
17Наблюдать
ACF to REST API <= 3.3.4 - Insecure Direct Object Reference to Authenticated (Contributor+) ACF Field/Option Modification
СредняяCVSS 4,3Proof of conceptEPSS 0 %
- Нарушение контроля доступа (IDOR)
airesvsg · acf to rest api7 янв. 2026 г.
CVE-2025-13418
25Наблюдать
Responsive Pricing Table <= 5.1.12 - Authenticated (Author+) Stored Cross-Site Scripting
СредняяCVSS 6,4Proof of conceptEPSS 0 %
- XSS
spwebguy · responsive pricing table7 янв. 2026 г.
CVE-2025-13801
31Наблюдать
Yoco Payments <= 3.9.0 - Unauthenticated Arbitrary File Read
ВысокаяCVSS 7,5Proof of conceptEPSS 1 %
- Без аутентификации
- Обход пути
yocoadmin · yoco payments7 янв. 2026 г.
CVE-2026-0628
41В плане
Insufficient policy enforcement in WebView tag in Google Chrome prior to 143.0.7499.192 allowed an attacker who convinced a user to install
ВысокаяCVSS 8,8Proof of conceptEPSS 20 %
- Без аутентификации
- Нарушение контроля доступа (IDOR)
google · chrome7 янв. 2026 г.
CVE-2025-66838
26Наблюдать
In Aris v10.0.23.0.3587512 and before, the file upload functionality does not enforce any rate limiting or throttling, allowing users to upl
СредняяCVSS 6,5Proof of conceptEPSS 0 %
- Отказ в обслуживании
softwareag · aris7 янв. 2026 г.
CVE-2025-15472
36Наблюдать
TRENDnet TEW-811DRU httpd uapply.cgi setDeviceURL os command injection
ВысокаяCVSS 7,3Эксплойта нетEPSS 22 %
- RCE
- Инъекция команд
trendnet · tew-811dru firmware7 янв. 2026 г.
CVE-2025-15474
21Наблюдать
AuntyFey Smart Combination Lock BLE Connection Flood DoS
СредняяCVSS 5,3Proof of conceptEPSS 0 %
- Без аутентификации
- Отказ в обслуживании
auntyfey · auntyfey smart combination lock7 янв. 2026 г.
CVE-2025-69080
32Наблюдать
WordPress Gecko theme <= 1.9.8 - Local File Inclusion vulnerability
ВысокаяCVSS 8,1Proof of conceptEPSS 0 %
- Без аутентификации
janstudio · gecko7 янв. 2026 г.
CVE-2026-0650
37Наблюдать
OpenFlagr <= 1.1.18 Authentication Bypass via Prefix Whitelist Path Normalization
КритическаяCVSS 9,3Proof of conceptEPSS 1 %
- Без аутентификации
- Обход аутентификации
openflagr · flagr7 янв. 2026 г.
CVE-2025-66837
27Наблюдать
A file upload vulnerability in ARIS 10.0.23.0.3587512 allows attackers to execute arbitrary code via uploading a crafted PDF file/Malware
СредняяCVSS 6,8Proof of conceptEPSS 0 %
- RCE без входа
- Загрузка файлов
softwareag · aris7 янв. 2026 г.
CVE-2025-12543
38Наблюдать
Undertow-core: undertow http server fails to reject malformed host headers leading to potential cache poisoning and ssrf
КритическаяCVSS 9,6Proof of conceptEPSS 1 %
- Без аутентификации
- SSRF
redhat · build of apache camel7 янв. 2026 г.
CVE-2026-21851
21Наблюдать
MONAI has Path Traversal (Zip Slip) in NGC Private Bundle Download
СредняяCVSS 5,3Эксплойта нетEPSS 0 %
- Без аутентификации
- Обход пути
project-monai · monai7 янв. 2026 г.
CVE-2026-21857
33Наблюдать
Redaxo has Path Traversal in Backup Addon Leading to Arbitrary File Read
ВысокаяCVSS 8,3Proof of conceptEPSS 0 %
- Обход пути
redaxo · redaxo7 янв. 2026 г.
CVE-2017-20215
39Наблюдать
FLIR Thermal Camera FC-S/PT firmware version 8.0.0.64 Authenticated OS Command Injection
ВысокаяCVSS 8,7Эксплойта нетEPSS 15 %
- RCE
- Инъекция команд
flir systems, inc. · flir thermal camera fc-s/pt7 янв. 2026 г.
CVE-2017-20216
41В плане
FLIR Thermal Camera PT-Series firmware version 8.0.0.64 Unauthenticated Remote Command Injection
КритическаяCVSS 9,3Эксплойта нетEPSS 12 %
- RCE без входа
- Инъекция команд
flir systems, inc. · flir thermal camera pt-series7 янв. 2026 г.
CVE-2026-21858
63На этой неделе
n8n Vulnerable to Unauthenticated File Access via Improper Webhook Request Handling
КритическаяCVSS 10,0Proof of conceptEPSS 78 %
- Без аутентификации
n8n · n8n7 янв. 2026 г.
CVE-2026-21859
21Наблюдать
Mailpit Proxy Endpoint is Vulnerable to Server-Side Request Forgery (SSRF)
СредняяCVSS 5,3Proof of conceptEPSS 0 %
- Без аутентификации
- SSRF
axllent · mailpit7 янв. 2026 г.
CVE-2026-21869
39Наблюдать
llama.cpp has Out-of-bounds Write in llama-server
КритическаяCVSS 9,8Эксплойта нетEPSS 0 %
- RCE без входа
- Ошибки памяти
ggml · llama.cpp7 янв. 2026 г.
CVE-2026-21875
40В плане
ClipBucket v5 Vulnerable to Blind SQL Injection through Channel Comments
КритическаяCVSS 9,8Proof of conceptEPSS 1 %
- Без аутентификации
- SQL-инъекция
oxygenz · clipbucket7 янв. 2026 г.
CVE-2026-21877
41В плане
n8n is vulnerable to Remote Code Execution via Arbitrary File Write
КритическаяCVSS 9,9Proof of conceptEPSS 5 %
- RCE
n8n · n8n7 янв. 2026 г.
CVE-2025-68705
37Наблюдать
RustFS Path Traversal Vulnerability
ВысокаяCVSS 8,8Proof of conceptEPSS 7 %
- Без аутентификации
- Обход пути
rustfs · rustfs7 янв. 2026 г.
CVE-2026-22187
27Наблюдать
Bio-Formats <= 8.3.0 Memoizer Unsafe Deserialization via .bfmemo Cache Files
СредняяCVSS 6,8Proof of conceptEPSS 0 %
- RCE
- Десериализация
openmicroscopy · bio-formats7 янв. 2026 г.
CVE-2026-21876
26Наблюдать
OWASP CRS has multipart bypass using multiple content-type parts
СредняяCVSS 5,3Proof of conceptEPSS 17 %
- Без аутентификации
owasp · owasp modsecurity core rule set8 янв. 2026 г.
CVE-2026-21891
40В плане
ZimaOS has Authentication Bypass via System-Level Username
КритическаяCVSS 9,8Proof of conceptEPSS 2 %
- Без аутентификации
- Обход аутентификации
zimaspace · zimaos8 янв. 2026 г.
CVE-2026-22241
30Наблюдать
Open eClass has Unrestricted File Upload that Leads to Remote Code Execution (RCE)
ВысокаяCVSS 7,3Proof of conceptEPSS 3 %
- RCE
- Загрузка файлов
openeclass · openeclass8 янв. 2026 г.
CVE-2025-61246
39Наблюдать
indieka900 online-shopping-system-php 1.0 is vulnerable to SQL Injection in master/review_action.php via the proId parameter.
КритическаяCVSS 9,8Proof of conceptEPSS 0 %
- Без аутентификации
- SQL-инъекция
indieka900 · online shopping system8 янв. 2026 г.
CVE-2025-65518
30Наблюдать
Plesk Obsidian versions 8.0.1 through 18.0.73 are vulnerable to a Denial of Service (DoS) condition.
ВысокаяCVSS 7,5Proof of conceptEPSS 0 %
- Без аутентификации
- Обход аутентификации
- Отказ в обслуживании
webpros · plesk obsidian8 янв. 2026 г.
CVE-2025-65731
27Наблюдать
An issue was discovered in D-Link Router DIR-605L (Hardware version F1; Firmware version: V6.02CN02) allowing an attacker with physical acce
СредняяCVSS 6,8Proof of conceptEPSS 0 %
- RCE
- Обход аутентификации
dlink · dir-605l firmware8 янв. 2026 г.
CVE-2025-67325
39Наблюдать
Unrestricted file upload in the hotel review feature in QloApps versions 1.7.0 and earlier allows remote unauthenticated attackers to achiev
КритическаяCVSS 9,8Proof of conceptEPSS 0 %
- RCE без входа
- Загрузка файлов
webkul · qloapps8 янв. 2026 г.
CVE-2025-59470
36Наблюдать
This vulnerability allows a Backup Operator to perform remote code execution (RCE) as the postgres user by sending a malicious interval or o
КритическаяCVSS 9,0Proof of conceptEPSS 1 %
- RCE
- Инъекция команд
veeam · veeam backup & replication8 янв. 2026 г.
CVE-2026-0732
11Наблюдать
D-Link DI-8200G upgrade_filter.asp command injection
НизкаяCVSS 2,1Эксплойта нетEPSS 11 %
- RCE
- Инъекция команд
dlink · di-8200g firmware8 янв. 2026 г.
CVE-2025-14736
39Наблюдать
Frontend Admin by DynamiApps <= 3.28.29 - Unauthenticated Privilege Escalation to Administrator via Role Form Field
КритическаяCVSS 9,8Proof of conceptEPSS 0 %
- Без аутентификации
shabti · frontend admin by dynamiapps9 янв. 2026 г.
CVE-2025-14893
25Наблюдать
IndieWeb <= 4.0.5 - Authenticated (Author+) Stored Cross-Site Scripting via 'Telephone' Parameter
СредняяCVSS 6,4Proof of conceptEPSS 0 %
- XSS
indieweb · indieweb9 янв. 2026 г.
CVE-2025-69194
39Наблюдать
Wget2: arbitrary file write via metalink path traversal in gnu wget2
КритическаяCVSS 9,8Proof of conceptEPSS 0 %
- Без аутентификации
- Обход пути
gnu · wget29 янв. 2026 г.
CVE-2025-14172
26Наблюдать
WP Page Permalink Extension <= 1.5.4 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Rewrite Rules Flush
СредняяCVSS 6,5Proof of conceptEPSS 0 %
- Без аутентификации
- Нарушение контроля доступа (IDOR)
infosatech · wp page permalink extension9 янв. 2026 г.
CVE-2025-14598
39Наблюдать
BeeS Software Solutions BET Portal contains an SQL injection vulnerability in the login functionality of affected sites.
КритическаяCVSS 9,8Proof of conceptEPSS 0 %
- Без аутентификации
- SQL-инъекция
cloudilyaerp · bet e-portal9 янв. 2026 г.
CVE-2025-15495
8Наблюдать
BiggiDroid Simple PHP CMS editsite.php unrestricted upload
НизкаяCVSS 2,0Proof of conceptEPSS 0 %
- Загрузка файлов
- Нарушение контроля доступа (IDOR)
biggidroid · simple php cms9 янв. 2026 г.
CVE-2025-66744
30Наблюдать
In Yonyou YonBIP v3 and before, the LoginWithV8 interface in the series data application service system is vulnerable to path traversal, all
ВысокаяCVSS 7,5Proof of conceptEPSS 1 %
- Без аутентификации
- Обход пути
9 янв. 2026 г.
CVE-2025-70161
47В плане
EDIMAX BR-6208AC V2_1.02 is vulnerable to Command Injection.
КритическаяCVSS 9,8Эксплойта нетEPSS 27 %
- RCE без входа
- Инъекция команд
edimax · br-6208ac firmware9 янв. 2026 г.
CVE-2025-67070
32Наблюдать
A vulnerability exists in Intelbras CFTV IP NVD 9032 R Ftd V2.800.00IB00C.0.T, which allows an unauthenticated attacker to bypass the multi-
ВысокаяCVSS 8,2Proof of conceptEPSS 0 %
- Без аутентификации
- Обход аутентификации
9 янв. 2026 г.
CVE-2026-22024
25Наблюдать
CryptoLib Memory Leak in KMC Encrypt Function Leads to Resource Exhaustion
СредняяCVSS 6,3Proof of conceptEPSS 0 %
- Без аутентификации
- Отказ в обслуживании
nasa · cryptolib9 янв. 2026 г.
CVE-2025-59057
30Наблюдать
React Router has XSS Vulnerability
ВысокаяCVSS 7,6Proof of conceptEPSS 0 %
- XSS
shopify · react-router9 янв. 2026 г.
CVE-2025-61686
41В плане
React Router has Path Traversal in File Session Storage
КритическаяCVSS 9,1Proof of conceptEPSS 17 %
- Без аутентификации
- Обход пути
shopify · react-router\/node9 янв. 2026 г.
CVE-2026-22594
40В плане
Ghost has Staff 2FA bypass
ВысокаяCVSS 8,1Готовый эксплойтEPSS 1 %
- Обход аутентификации
ghost · ghost9 янв. 2026 г.
CVE-2026-22610
34Наблюдать
Angular has XSS Vulnerability via Unsanitized SVG Script Attributes
ВысокаяCVSS 8,5Proof of conceptEPSS 0 %
- XSS
angular · angular10 янв. 2026 г.
CVE-2026-22704
21Наблюдать
HAXcms Has Stored XSS Vulnerability that May Lead to Account Takeover
СредняяCVSS 5,4Proof of conceptEPSS 1 %
- XSS
psu · haxcms-nodejs10 янв. 2026 г.
CVE-2026-22777
30Наблюдать
ComfyUI-Manager is Vulnerable to CRLF Injection in Configuration Handler
ВысокаяCVSS 7,5Proof of conceptEPSS 0 %
- Без аутентификации
comfy · comfyui-manager10 янв. 2026 г.
CVE-2025-15503
23Наблюдать
Sangfor Operation and Maintenance Management System common.jsp unrestricted upload
СредняяCVSS 5,5Proof of conceptEPSS 2 %
- Без аутентификации
- Загрузка файлов
- Нарушение контроля доступа (IDOR)
sangfor · operation and maintenance security management system10 янв. 2026 г.
CVE-2026-0842
8Наблюдать
Flycatcher Toys smART Sketcher Bluetooth Low Energy missing authentication
НизкаяCVSS 2,1Proof of conceptEPSS 0 %
- Без аутентификации
- Обход аутентификации
flycatcher toys · smart sketcher11 янв. 2026 г.
CVE-2025-68493
46В плане
Apache Struts, Apache Struts: XXE vulnerability in outdated XWork component
ВысокаяCVSS 8,1Proof of conceptEPSS 45 %
- Без аутентификации
- XXE
apache · struts11 янв. 2026 г.
CVE-2025-52694
51В плане
Execution of arbitrary SQL commands
КритическаяCVSS 9,8Proof of conceptEPSS 39 %
- RCE без входа
- SQL-инъекция
advantech · iot edge linux docker11 янв. 2026 г.
CVE-2025-63314
40В плане
A static password reset token in the password reset function of DDSN Interactive Acora CMS v10.7.1 allows attackers to arbitrarily reset the
КритическаяCVSS 10,0Proof of conceptEPSS 0 %
- Без аутентификации
ddsn · cm3 acora cms12 янв. 2026 г.
CVE-2025-68472
42В плане
MindsDB has improper sanitation of filepath that leads to information disclosure and DOS
КритическаяCVSS 9,1Proof of conceptEPSS 20 %
- Без аутентификации
- Обход пути
mindsdb · mindsdb12 янв. 2026 г.
CVE-2026-22200
60На этой неделе
osTicket (1.18.x < 1.18.3, 1.17.x < 1.17.7) PDF Export Arbitrary File Read
ВысокаяCVSS 8,7Готовый эксплойтEPSS 73 %
- Без аутентификации
enhancesoft · osticket12 янв. 2026 г.
CVE-2026-22252
40В плане
LibreChat MCP Stdio Remote Command Execution
КритическаяCVSS 9,9Эксплойта нетEPSS 4 %
- RCE
- Нарушение контроля доступа (IDOR)
librechat · librechat12 янв. 2026 г.
CVE-2026-22785
37Наблюдать
orval MCP client is vulnerable to a code injection attack.
КритическаяCVSS 9,3Proof of conceptEPSS 0 %
- RCE без входа
- Инъекция команд
orval · orval12 янв. 2026 г.
CVE-2025-66802
39Наблюдать
Sourcecodester Covid-19 Contact Tracing System 1.0 is vulnerable to RCE (Remote Code Execution).
КритическаяCVSS 9,8Proof of conceptEPSS 0 %
- RCE без входа
- Загрузка файлов
covid-19 contact tracing system project · covid-19 contact tracing system12 янв. 2026 г.
CVE-2021-41074
21Наблюдать
A CSRF issue in index.php in QloApps hotel eCommerce 1.5.1 allows an attacker to change the admin's email address via a crafted HTML documen
СредняяCVSS 5,4Proof of conceptEPSS 0 %
- Без аутентификации
- CSRF
webkul · qloapps12 янв. 2026 г.
CVE-2025-12420
53В плане
Unauthenticated Privilege Escalation in ServiceNow AI Platform
КритическаяCVSS 9,3Proof of conceptEPSS 53 %
- Без аутентификации
servicenow · now assist ai agents12 янв. 2026 г.
CVE-2025-67146
37Наблюдать
Multiple SQL Injection vulnerabilities exist in AbhishekMali21 GYM-MANAGEMENT-SYSTEM 1.0 via the 'name' parameter in (1) member_search.php,
КритическаяCVSS 9,4Proof of conceptEPSS 0 %
- Без аутентификации
- Обход аутентификации
- SQL-инъекция
abhishekmali21 · gym management system12 янв. 2026 г.
CVE-2026-22794
35Наблюдать
Account Takeover Vulnerability in Appsmith
ВысокаяCVSS 8,8Proof of conceptEPSS 0 %
- Без аутентификации
appsmith · appsmith12 янв. 2026 г.
CVE-2026-22804
18Наблюдать
Termix has a Stored XSS in File Manager leading to Local File Inclusion (LFI) in Electron and Session Hijacking in Browser
СредняяCVSS 4,7Proof of conceptEPSS 0 %
- Без аутентификации
- XSS
termix · termix12 янв. 2026 г.
CVE-2026-22812
40В плане
OpenCode's Unauthenticated HTTP Server Allows Arbitrary Command Execution
ВысокаяCVSS 8,8Proof of conceptEPSS 16 %
- RCE без входа
- Обход аутентификации
anoma · opencode12 янв. 2026 г.
CVE-2025-66177
35Наблюдать
There is a Buffer overflow Vulnerability in the device Search and Discovery feature of Hikvision NVR/DVR/CVR/IPC models.
ВысокаяCVSS 8,8Proof of conceptEPSS 0 %
- Без аутентификации
- Ошибки памяти
hikvision · ds-96xxxni-hx12 янв. 2026 г.
CVE-2025-14001
21Наблюдать
WP Duplicate Page <= 1.8 - Missing Authorization to Authenticated (Contributor+) Arbitrary Post Duplication
СредняяCVSS 5,4Proof of conceptEPSS 0 %
- Нарушение контроля доступа (IDOR)
ninjateam · wp duplicate page13 янв. 2026 г.
CVE-2025-9435
22Наблюдать
Zohocorp ManageEngine ADManager Plus versions below 7230 are vulnerable to Path Traversal in the User Management module
СредняяCVSS 5,5Proof of conceptEPSS 0 %
- Обход пути
zohocorp · manageengine admanager plus13 янв. 2026 г.
CVE-2025-13444
35Наблюдать
OS Command Injection Remote Code Execution Vulnerability in Progress LoadMaster
СредняяCVSS 6,8Эксплойта нетEPSS 27 %
- RCE
- Инъекция команд
progress · connection manager for objectscale13 янв. 2026 г.
CVE-2025-13447
35Наблюдать
OS Command Injection Remote Code Execution Vulnerability in Progress LoadMaster
СредняяCVSS 6,8Эксплойта нетEPSS 27 %
- RCE
- Инъекция команд
progress · connection manager for objectscale*13 янв. 2026 г.
CVE-2025-55462
26Наблюдать
A CORS misconfiguration in Eramba Community and Enterprise Editions v3.26.0 allows an attacker-controlled Origin header to be reflected in t
СредняяCVSS 6,5Proof of conceptEPSS 0 %
- Без аутентификации
eramba · eramba13 янв. 2026 г.
CVE-2026-22755
43В плане
Legacy Vivotek Camera Firmware Command Injection in upload_map.cgi
КритическаяCVSS 9,3Эксплойта нетEPSS 20 %
- RCE без входа
- Инъекция команд
vivotek · affected device model numbers are fd8365, fd8365v2, fd9165, fd9171, fd9187, fd9189, fd9365, fd9371, fd9381, fd9387, fd9389, fd9391,fe9180,fe9181, fe9191, fe9381, fe9382, fe9391, fe9582, ib9365, ib935813 янв. 2026 г.
CVE-2025-12548
40В плане
Github.com/che-incubator/che-code: eclipse che — unauthenticated rce and secret exfiltration via tcp/3333
КритическаяCVSS 9,0Готовый эксплойтEPSS 1 %
- RCE
- Обход аутентификации
red hat · red hat openshift dev spaces (rhosds) 3.2213 янв. 2026 г.