По дате публикации

Эксплуатируемые и новые серьёзные CVE: январь 2026 г.

271 записей · 16 KEV. В порядке публикации.

В списке: записи из каталога CISA KEV, с боевым эксплойтом, с EPSS от 10%, с публичным PoC и датой публикации в последние 3 года, а также записи с CVSS от 7, опубликованные за последние 90 дней. Остальные записи доступны через поиск и страницы производителей.

Границы месяца считаются по UTC, как и дата публикации на странице записи.

Страница 3 из 3

Записи CVE
Срочность	CVE	Уязвимость	Критичность	KEV	EPSS	Опубликовано
26Наблюдать	CVE-2026-24128Proof of concept	XWiki Affected by Reflected Cross-Site Scripting (XSS) in Error Messagesxwiki · xwiki · CWE-79 RCE без входа XSS	Средняя6,5	—	0,5 %	23 янв. 2026 г.
34Наблюдать	CVE-2026-24136Proof of concept	Saleor has an Insecure Direct Object Reference (IDOR) in GraphQL APIsaleor · saleor · CWE-639 Без аутентификации Нарушение контроля доступа (IDOR)	Высокая8,7	—	0,4 %	23 янв. 2026 г.
27Наблюдать	CVE-2026-24421Proof of concept	phpMyFAQ missing authorization exposes /api/setup/backup to any authenticated userphpmyfaq · phpmyfaq · CWE-862 Нарушение контроля доступа (IDOR)	Средняя6,5	—	1,7 %	23 янв. 2026 г.
39Наблюдать	CVE-2025-13374Proof of concept	Kalrav AI Agent <= 2.3.3 - Unauthenticated Arbitrary File Upload via kalrav_upload_file AJAX Actionirisideatechsolutions · kalrav ai agent · CWE-434 RCE без входа Загрузка файлов	Критическая9,8	—	1,1 %	24 янв. 2026 г.
17Наблюдать	CVE-2026-1208Proof of concept	Friendly Functions for Welcart <= 1.2.5 - Cross-Site Request Forgery to Settings Updatemainichiweb · friendly functions for welcart · CWE-352 Без аутентификации CSRF	Средняя4,3	—	0,1 %	24 янв. 2026 г.
21Наблюдать	CVE-2025-13920Proof of concept	WP Directory Kit <= 1.4.9 - Unauthenticated Email Exposure via wdk_public_actionwpdirectorykit · wp directory kit · CWE-200 Без аутентификации Утечка информации	Средняя5,3	—	0,7 %	24 янв. 2026 г.
30Наблюдать	CVE-2026-0911Proof of concept	Hustle <= 7.8.9.2 - Authenticated (Subscriber+) Arbitrary File Upoload via Module Importwpmudev · hustle – email marketing, lead generation, optins, popups · CWE-434 RCE Загрузка файлов	Высокая7,5	—	0,5 %	24 янв. 2026 г.
22Наблюдать	CVE-2026-23002Proof of concept	lib/buildid: use __kernel_read() for sleepable contextlinux · linux kernel · CWE-476 Ошибки памяти Отказ в обслуживании	Средняя5,5	—	0,1 %	25 янв. 2026 г.
22Наблюдать	CVE-2026-23006Proof of concept	ASoC: tlv320adcx140: fix null pointerlinux · linux kernel · CWE-476 Ошибки памяти Отказ в обслуживании	Средняя5,5	—	0,2 %	25 янв. 2026 г.
22Наблюдать	CVE-2026-23008Proof of concept	drm/vmwgfx: Fix KMS with 3D on HW version 10linux · linux kernel · CWE-476 Ошибки памяти Отказ в обслуживании	Средняя5,5	—	0,1 %	25 янв. 2026 г.
22Наблюдать	CVE-2026-23009Proof of concept	xhci: sideband: don't dereference freed ring when removing sideband endpointlinux · linux kernel Отказ в обслуживании	Средняя5,5	—	0,1 %	25 янв. 2026 г.
31Наблюдать	CVE-2026-23001Proof of concept	macvlan: fix possible UAF in macvlan_forward_source()linux · linux kernel · CWE-416 Ошибки памяти	Высокая7,8	—	0,2 %	25 янв. 2026 г.
22Наблюдать	CVE-2026-23003Proof of concept	ip6_tunnel: use skb_vlan_inet_prepare() in __ip6_tnl_rcv()linux · linux kernel · CWE-908 Ошибки памяти Отказ в обслуживании	Средняя5,5	—	0,5 %	25 янв. 2026 г.
18Наблюдать	CVE-2026-23004Proof of concept	dst: fix races in rt6_uncached_list_del() and rt_del_uncached_list()linux · linux kernel · CWE-362 Состояние гонки Отказ в обслуживании	Средняя4,7	—	0,1 %	25 янв. 2026 г.
22Наблюдать	CVE-2026-23005Proof of concept	x86/fpu: Clear XSTATE_BV[i] in guest XSAVE state whenever XFD[i]=1linux · linux kernel · CWE-20 Отказ в обслуживании	Средняя5,5	—	0,2 %	25 янв. 2026 г.
22Наблюдать	CVE-2026-23007Proof of concept	block: zero non-PI portion of auto integrity bufferlinux · linux kernel · CWE-908 Ошибки памяти Отказ в обслуживании	Средняя5,5	—	0,1 %	25 янв. 2026 г.
31Наблюдать	CVE-2026-23010Proof of concept	ipv6: Fix use-after-free in inet6_addr_del().linux · linux kernel · CWE-416 Ошибки памяти	Высокая7,8	—	0,2 %	25 янв. 2026 г.
13Наблюдать	CVE-2026-1419Эксплойта нет	D-Link DCS700l Web Form setDayNightMode command injectiondlink · dcs-700l firmware · CWE-74 RCE Инъекция команд	Низкая2,0	—	17,1 %	26 янв. 2026 г.
40В плане	CVE-2016-15057Готовый эксплойт	Apache Continuum: Command injection leading to RCEapache · continuum · CWE-77 RCE Инъекция команд	Критическая9,9	—	3,8 %	26 янв. 2026 г.
22Наблюдать	CVE-2025-50537Эксплойта нет	Stack overflow vulnerability in eslint before 9.26.0 when serializing objects with circular references in eslint/lib/shared/serialization.jsopenjsf · eslint · CWE-674 Отказ в обслуживании	Средняя5,5	—	0,2 %	26 янв. 2026 г.
82Срочно	CVE-2026-21509Готовый эксплойт	Microsoft Office Security Feature Bypass Vulnerabilitymicrosoft · 365 apps · CWE-807	Высокая7,8	KEV	70,7 %	26 янв. 2026 г.
21Наблюдать	CVE-2025-70368Proof of concept	Worklenz version 2.1.5 contains a Stored Cross-Site Scripting (XSS) vulnerability in the Project Updates feature.worklenz · worklenz · CWE-79 XSS	Средняя5,4	—	0,2 %	26 янв. 2026 г.
31Наблюдать	CVE-2026-23864Эксплойта нет	Multiple denial of service vulnerabilities exist in React Server Components, affecting the following packages: react-server-dom-parcel, reacfacebook · react · CWE-400 Без аутентификации Отказ в обслуживании	Высокая7,5	—	2,5 %	26 янв. 2026 г.
35Наблюдать	CVE-2026-24477Proof of concept	AnythingLLM has key leak in `systemSettings.js`mintplexlabs · anythingllm · CWE-201 Без аутентификации	Высокая8,7	—	1,6 %	26 янв. 2026 г.
60На этой неделе	CVE-2026-24479Готовый эксплойт	HUSTOJ has Arbitrary File Write (Zip Slip) in Problem Import Modules that leads to RCEhustoj · hustoj · CWE-22 RCE без входа Обход пути	Критическая9,3	—	8,1 %	26 янв. 2026 г.
31Наблюдать	CVE-2026-24486Proof of concept	Python-Multipart has Arbitrary File Write via Non-Default Configurationfastapiexpert · python-multipart · CWE-22 Без аутентификации Обход пути	Высокая7,5	—	2,2 %	26 янв. 2026 г.
34Наблюдать	CVE-2026-24480Proof of concept	QGIS had validated RCE and Repository Takeover via GitHub Actionsqgis · qgis · CWE-863 RCE Нарушение контроля доступа (IDOR)	Высокая8,7	—	0,4 %	27 янв. 2026 г.
32Наблюдать	CVE-2026-21721Proof of concept	Dashboard Permissions Scope Bypass Enables Cross‑Dashboard Privilege Escalationgrafana · grafana · CWE-863 Нарушение контроля доступа (IDOR)	Высокая8,1	—	0,7 %	27 янв. 2026 г.
40В плане	CVE-2026-24816Эксплойта нет	Cookie Security Vulnerabilities in datavane/tisdatavane · tis · CWE-835 Без аутентификации Отказ в обслуживании	Критическая10,0	—	0,2 %	27 янв. 2026 г.
45В плане	CVE-2026-1470Эксплойта нет	Authenticated users can bypass the Expression sandbox mechanism to achieve full remote code execution on n8n’s main node.n8n · n8n · CWE-95 RCE	Критическая9,9	—	20,4 %	27 янв. 2026 г.
26Наблюдать	CVE-2025-11187Proof of concept	Improper validation of PBMAC1 parameters in PKCS#12 MAC verificationopenssl · openssl · CWE-476 Ошибки памяти	Средняя6,1	—	5,0 %	27 янв. 2026 г.
29Наблюдать	CVE-2025-69419Proof of concept	Out of bounds write in PKCS12_get_friendlyname() UTF-8 conversionopenssl · openssl · CWE-787 Без аутентификации Ошибки памяти	Высокая7,4	—	0,6 %	27 янв. 2026 г.
30Наблюдать	CVE-2025-69420Proof of concept	Missing ASN1_TYPE validation in TS_RESP_verify_response() functionopenssl · openssl · CWE-754 Без аутентификации Отказ в обслуживании	Высокая7,5	—	0,9 %	27 янв. 2026 г.
30Наблюдать	CVE-2025-69421Proof of concept	NULL Pointer Dereference in PKCS12_item_decrypt_d2i_ex functionopenssl · openssl · CWE-476 Без аутентификации Ошибки памяти Отказ в обслуживании	Высокая7,5	—	0,9 %	27 янв. 2026 г.
22Наблюдать	CVE-2025-65264Proof of concept	The kernel driver of CPUID CPU-Z v2.17 and earlier does not validate user-supplied values passed via its IOCTL interface, allowing an attackcpuid · cpu-z · CWE-20	Средняя5,5	—	0,2 %	27 янв. 2026 г.
60На этой неделе	CVE-2020-36939Готовый эксплойт	Cassandra Web 0.5.0 - Remote File Readavalanche123 · cassandra web · CWE-22 Без аутентификации Обход пути	Высокая8,7	—	2,9 %	27 янв. 2026 г.
52В плане	CVE-2025-15467Proof of concept	Stack buffer overflow in CMS (Auth)EnvelopedData parsingopenssl · openssl · CWE-787 RCE без входа Ошибки памяти	Высокая8,8	—	55,8 %	27 янв. 2026 г.
20Наблюдать	CVE-2026-24688Proof of concept	pypdf has possible Infinite Loop when processing outlines/bookmarkspypdf project · pypdf · CWE-835 Отказ в обслуживании	Средняя5,1	—	0,4 %	27 янв. 2026 г.
95Срочно	CVE-2026-24858Готовый эксплойт	An Authentication Bypass Using an Alternate Path or Channel vulnerability [CWE-288] vulnerability in Fortinet FortiAnalyzer 7.6.0 through 7.fortinet · fortianalyzer · CWE-288 Без аутентификации Обход аутентификации	Критическая9,8	KEV	85,7 %	27 янв. 2026 г.
40В плане	CVE-2026-23830Proof of concept	SandboxJS has Sandbox Escape via Unprotected AsyncFunction Constructornyariv · sandboxjs · CWE-94 RCE без входа	Критическая10,0	—	1,2 %	27 янв. 2026 г.
26Наблюдать	CVE-2026-24134Proof of concept	StudioCMS has an Authorization Bypass Through User-Controlled Keystudiocms · studiocms · CWE-639 Нарушение контроля доступа (IDOR)	Средняя6,5	—	0,3 %	27 янв. 2026 г.
40В плане	CVE-2026-24841Proof of concept	Dokploy Vulnerable to Authenticated Remote Code Execution via Command Injection in Docker Container Terminal WebSocket Endpointdokploy · dokploy · CWE-78 RCE Инъекция команд	Критическая9,9	—	2,7 %	27 янв. 2026 г.
91Срочно	CVE-2025-40536Готовый эксплойт	SolarWinds Web Help Desk Security Control Bypass Vulnerabilitysolarwinds · web help desk · CWE-693 Без аутентификации	Критическая9,8	KEV	73,5 %	28 янв. 2026 г.
94Срочно	CVE-2025-40551Готовый эксплойт	SolarWinds Web Help Desk Deserialization of Untrusted Data Remote Code Execution Vulnerabilitysolarwinds · web help desk · CWE-502 RCE без входа Обход аутентификации Десериализация	Критическая9,8	KEV	84,1 %	28 янв. 2026 г.
55В плане	CVE-2025-40552Proof of concept	SolarWinds Web Help Desk Authentication Bypass Vulnerabilitysolarwinds · web help desk · CWE-1390 Без аутентификации Обход аутентификации	Критическая9,8	—	51,9 %	28 янв. 2026 г.
59В плане	CVE-2025-40553Proof of concept	SolarWinds Web Help Desk Deserialization of Untrusted Data Remote Code Execution Vulnerabilitysolarwinds · web help desk · CWE-502 RCE без входа Обход аутентификации Десериализация	Критическая9,8	—	67,9 %	28 янв. 2026 г.
57В плане	CVE-2025-40554Proof of concept	SolarWinds Web Help Desk Authentication Bypass Vulnerabilitysolarwinds · web help desk · CWE-1390 Без аутентификации Обход аутентификации	Критическая9,8	—	60,6 %	28 янв. 2026 г.
30Наблюдать	CVE-2026-0702Proof of concept	VidShop – Shoppable Videos for WooCommerce <= 1.1.4 - Unauthenticated Time-Based SQL Injection via 'fields'wpcreatix · vidshop – shoppable videos for woocommerce · CWE-89 Без аутентификации SQL-инъекция	Высокая7,5	—	1,5 %	28 янв. 2026 г.
43В плане	CVE-2026-1056Proof of concept	Snow Monkey Forms <= 12.0.3 - Unauthenticated Arbitrary File Deletion via Path Traversalinc2734 · snow monkey forms · CWE-22 RCE без входа Обход пути	Критическая9,8	—	13,2 %	28 янв. 2026 г.
19Наблюдать	CVE-2025-70336Proof of concept	A Stored cross-site scripting (XSS) vulnerability in 'Create New Live Item' in PodcastGenerator 3.2.9 allows remote attackers to inject arbipodcastgenerator · podcast generator · CWE-79 XSS	Средняя4,8	—	0,5 %	28 янв. 2026 г.
34Наблюдать	CVE-2026-22243Proof of concept	EGroupware has SQL Injection in Nextmatch Filter Processingegroupware · egroupware · CWE-89 SQL-инъекция	Высокая8,7	—	0,4 %	28 янв. 2026 г.
25Наблюдать	CVE-2020-36962Эксплойта нет	Tendenci 12.3.1 - CSV/ Formula Injectiontendenci · tendenci · CWE-1236 RCE без входа	Средняя5,3	—	12,4 %	28 янв. 2026 г.
36Наблюдать	CVE-2026-24897Proof of concept	Authenticated Remote Code Execution via Arbitrary File Uploaderugo · erugo · CWE-22 RCE Обход пути Загрузка файлов	Высокая8,8	—	3,2 %	28 янв. 2026 г.
29Наблюдать	CVE-2025-15545Proof of concept	Insufficient Backup File Upload Input Validation on TP-Link Archer RE605Xtp-link · archer re605x firmware · CWE-20 RCE	Высокая7,3	—	0,4 %	29 янв. 2026 г.
36Наблюдать	CVE-2026-1457Proof of concept	Authenticated RCE Vulnerability Due to Buffer Overflow on TP-Link VIGI C385tp-link · vigi c385 firmware · CWE-121 RCE Ошибки памяти	Высокая8,5	—	7,5 %	29 янв. 2026 г.
40В плане	CVE-2025-69516Готовый эксплойт	A Server-Side Template Injection (SSTI) vulnerability in the /reporting/templates/preview/ endpoint of Amidaware Tactical RMM, affecting veramidaware · tactical rmm · CWE-1336 RCE SSTI	Высокая8,8	—	2,3 %	29 янв. 2026 г.
31Наблюдать	CVE-2025-69604Proof of concept	An issue in Shirt Pocket's SuperDuper! 3.11 and earlier allow a local attacker to modify the default task template to install an arbitrary pshirt-pocket · superduper\! · CWE-276 Локальное повышение привилегий	Высокая7,8	—	0,1 %	29 янв. 2026 г.
99Срочно	CVE-2026-1281Готовый эксплойт	A code injection in Ivanti Endpoint Manager Mobile allowing attackers to achieve unauthenticated remote code execution.ivanti · endpoint manager mobile · CWE-94 RCE без входа	Критическая9,8	KEV	98,6 %	29 янв. 2026 г.
99Срочно	CVE-2026-1340Готовый эксплойт	A code injection in Ivanti Endpoint Manager Mobile allowing attackers to achieve unauthenticated remote code execution.ivanti · endpoint manager mobile · CWE-94 RCE без входа	Критическая9,8	KEV	98,6 %	29 янв. 2026 г.
37Наблюдать	CVE-2026-25047Proof of concept	deepHas vulnerable to Prototype Pollution via constructor.prototypesharpred · deephas · CWE-1321 Prototype pollution	Критическая9,4	—	0,8 %	29 янв. 2026 г.
28Наблюдать	CVE-2026-25126Proof of concept	PolarLearn's unvalidated vote direction allows vote count manipulationpolarlearn · polarlearn · CWE-20	Высокая7,1	—	0,3 %	29 янв. 2026 г.
12Наблюдать	CVE-2026-25211Proof of concept	Llama Stack (aka llama-stack) before 0.4.0rc3 does not censor the pgvector password in the initialization log.llamastack · llama stack · CWE-532 Утечка информации	Низкая3,2	—	0,2 %	30 янв. 2026 г.
35Наблюдать	CVE-2026-1699Proof of concept	In the Eclipse Theia Website repository, the GitHub Actions workflow .github/workflows/preview.yml used pull_request_target trigger while checlipse · theia website · CWE-829 RCE	Высокая8,8	—	0,5 %	30 янв. 2026 г.
28Наблюдать	CVE-2026-0709Proof of concept	Some Hikvision Wireless Access Points are vulnerable to authenticated command execution due to insufficient input validation.hikvision · ds-3wap521-si · CWE-78 RCE Инъекция команд	Высокая7,2	—	0,9 %	30 янв. 2026 г.
28Наблюдать	CVE-2026-1498Эксплойта нет	WatchGuard Firebox LDAP Injectionwatchguard · fireware os · CWE-90 Без аутентификации	Высокая7,0	—	0,9 %	30 янв. 2026 г.
34Наблюдать	CVE-2025-4686Proof of concept	Time-Based Blind SQLi in Kodmatic Computer's Online Exam and Assessmentkodmatic computer software tourism construction industry and trade ltd. co. · online exam and assessment · CWE-89 Без аутентификации SQL-инъекция	Высокая8,6	—	0,3 %	30 янв. 2026 г.
35Наблюдать	CVE-2026-24854Proof of concept	Church CRM has SQL injection in PaddleNumEditor.phpchurchcrm · churchcrm · CWE-89 SQL-инъекция	Высокая8,8	—	0,4 %	30 янв. 2026 г.
10Наблюдать	CVE-2026-25050Proof of concept	Vendure vulnerable to timing attack that enables user enumeration in NativeAuthenticationStrategyvendure · vendure · CWE-202 Без аутентификации	Низкая2,7	—	0,4 %	30 янв. 2026 г.
60На этой неделе	CVE-2025-24293Готовый эксплойт	# Active Storage allowed transformation methods potentially unsafe Active Storage attempts to prevent the use of potentially unsafe imagerails · activestorage · CWE-77 RCE без входа Инъекция команд	Критическая9,2	—	5,6 %	30 янв. 2026 г.
38Наблюдать	CVE-2026-25130Proof of concept	Cybersecurity AI vulnerable to command Injection through argument injection in find_file Agent toolaliasrobotics · cai · CWE-78 RCE без входа Инъекция команд	Критическая9,6	—	0,9 %	30 янв. 2026 г.
26Наблюдать	CVE-2025-36001Proof of concept	IBM Db2 Denial of Serviceibm · db2 · CWE-674 Отказ в обслуживании	Средняя6,5	—	0,3 %	30 янв. 2026 г.

CVE-2026-24128
26Наблюдать
XWiki Affected by Reflected Cross-Site Scripting (XSS) in Error Messages
СредняяCVSS 6,5Proof of conceptEPSS 0 %
- RCE без входа
- XSS
xwiki · xwiki23 янв. 2026 г.
CVE-2026-24136
34Наблюдать
Saleor has an Insecure Direct Object Reference (IDOR) in GraphQL API
ВысокаяCVSS 8,7Proof of conceptEPSS 0 %
- Без аутентификации
- Нарушение контроля доступа (IDOR)
saleor · saleor23 янв. 2026 г.
CVE-2026-24421
27Наблюдать
phpMyFAQ missing authorization exposes /api/setup/backup to any authenticated user
СредняяCVSS 6,5Proof of conceptEPSS 1 %
- Нарушение контроля доступа (IDOR)
phpmyfaq · phpmyfaq23 янв. 2026 г.
CVE-2025-13374
39Наблюдать
Kalrav AI Agent <= 2.3.3 - Unauthenticated Arbitrary File Upload via kalrav_upload_file AJAX Action
КритическаяCVSS 9,8Proof of conceptEPSS 1 %
- RCE без входа
- Загрузка файлов
irisideatechsolutions · kalrav ai agent24 янв. 2026 г.
CVE-2026-1208
17Наблюдать
Friendly Functions for Welcart <= 1.2.5 - Cross-Site Request Forgery to Settings Update
СредняяCVSS 4,3Proof of conceptEPSS 0 %
- Без аутентификации
- CSRF
mainichiweb · friendly functions for welcart24 янв. 2026 г.
CVE-2025-13920
21Наблюдать
WP Directory Kit <= 1.4.9 - Unauthenticated Email Exposure via wdk_public_action
СредняяCVSS 5,3Proof of conceptEPSS 0 %
- Без аутентификации
- Утечка информации
wpdirectorykit · wp directory kit24 янв. 2026 г.
CVE-2026-0911
30Наблюдать
Hustle <= 7.8.9.2 - Authenticated (Subscriber+) Arbitrary File Upoload via Module Import
ВысокаяCVSS 7,5Proof of conceptEPSS 0 %
- RCE
- Загрузка файлов
wpmudev · hustle – email marketing, lead generation, optins, popups24 янв. 2026 г.
CVE-2026-23002
22Наблюдать
lib/buildid: use __kernel_read() for sleepable context
СредняяCVSS 5,5Proof of conceptEPSS 0 %
- Ошибки памяти
- Отказ в обслуживании
linux · linux kernel25 янв. 2026 г.
CVE-2026-23006
22Наблюдать
ASoC: tlv320adcx140: fix null pointer
СредняяCVSS 5,5Proof of conceptEPSS 0 %
- Ошибки памяти
- Отказ в обслуживании
linux · linux kernel25 янв. 2026 г.
CVE-2026-23008
22Наблюдать
drm/vmwgfx: Fix KMS with 3D on HW version 10
СредняяCVSS 5,5Proof of conceptEPSS 0 %
- Ошибки памяти
- Отказ в обслуживании
linux · linux kernel25 янв. 2026 г.
CVE-2026-23009
22Наблюдать
xhci: sideband: don't dereference freed ring when removing sideband endpoint
СредняяCVSS 5,5Proof of conceptEPSS 0 %
- Отказ в обслуживании
linux · linux kernel25 янв. 2026 г.
CVE-2026-23001
31Наблюдать
macvlan: fix possible UAF in macvlan_forward_source()
ВысокаяCVSS 7,8Proof of conceptEPSS 0 %
- Ошибки памяти
linux · linux kernel25 янв. 2026 г.
CVE-2026-23003
22Наблюдать
ip6_tunnel: use skb_vlan_inet_prepare() in __ip6_tnl_rcv()
СредняяCVSS 5,5Proof of conceptEPSS 0 %
- Ошибки памяти
- Отказ в обслуживании
linux · linux kernel25 янв. 2026 г.
CVE-2026-23004
18Наблюдать
dst: fix races in rt6_uncached_list_del() and rt_del_uncached_list()
СредняяCVSS 4,7Proof of conceptEPSS 0 %
- Состояние гонки
- Отказ в обслуживании
linux · linux kernel25 янв. 2026 г.
CVE-2026-23005
22Наблюдать
x86/fpu: Clear XSTATE_BV[i] in guest XSAVE state whenever XFD[i]=1
СредняяCVSS 5,5Proof of conceptEPSS 0 %
- Отказ в обслуживании
linux · linux kernel25 янв. 2026 г.
CVE-2026-23007
22Наблюдать
block: zero non-PI portion of auto integrity buffer
СредняяCVSS 5,5Proof of conceptEPSS 0 %
- Ошибки памяти
- Отказ в обслуживании
linux · linux kernel25 янв. 2026 г.
CVE-2026-23010
31Наблюдать
ipv6: Fix use-after-free in inet6_addr_del().
ВысокаяCVSS 7,8Proof of conceptEPSS 0 %
- Ошибки памяти
linux · linux kernel25 янв. 2026 г.
CVE-2026-1419
13Наблюдать
D-Link DCS700l Web Form setDayNightMode command injection
НизкаяCVSS 2,0Эксплойта нетEPSS 17 %
- RCE
- Инъекция команд
dlink · dcs-700l firmware26 янв. 2026 г.
CVE-2016-15057
40В плане
Apache Continuum: Command injection leading to RCE
КритическаяCVSS 9,9Готовый эксплойтEPSS 3 %
- RCE
- Инъекция команд
apache · continuum26 янв. 2026 г.
CVE-2025-50537
22Наблюдать
Stack overflow vulnerability in eslint before 9.26.0 when serializing objects with circular references in eslint/lib/shared/serialization.js
СредняяCVSS 5,5Эксплойта нетEPSS 0 %
- Отказ в обслуживании
openjsf · eslint26 янв. 2026 г.
CVE-2026-21509
82Срочно
Microsoft Office Security Feature Bypass Vulnerability
ВысокаяCVSS 7,8KEVГотовый эксплойтEPSS 70 %
microsoft · 365 apps26 янв. 2026 г.
CVE-2025-70368
21Наблюдать
Worklenz version 2.1.5 contains a Stored Cross-Site Scripting (XSS) vulnerability in the Project Updates feature.
СредняяCVSS 5,4Proof of conceptEPSS 0 %
- XSS
worklenz · worklenz26 янв. 2026 г.
CVE-2026-23864
31Наблюдать
Multiple denial of service vulnerabilities exist in React Server Components, affecting the following packages: react-server-dom-parcel, reac
ВысокаяCVSS 7,5Эксплойта нетEPSS 2 %
- Без аутентификации
- Отказ в обслуживании
facebook · react26 янв. 2026 г.
CVE-2026-24477
35Наблюдать
AnythingLLM has key leak in `systemSettings.js`
ВысокаяCVSS 8,7Proof of conceptEPSS 1 %
- Без аутентификации
mintplexlabs · anythingllm26 янв. 2026 г.
CVE-2026-24479
60На этой неделе
HUSTOJ has Arbitrary File Write (Zip Slip) in Problem Import Modules that leads to RCE
КритическаяCVSS 9,3Готовый эксплойтEPSS 8 %
- RCE без входа
- Обход пути
hustoj · hustoj26 янв. 2026 г.
CVE-2026-24486
31Наблюдать
Python-Multipart has Arbitrary File Write via Non-Default Configuration
ВысокаяCVSS 7,5Proof of conceptEPSS 2 %
- Без аутентификации
- Обход пути
fastapiexpert · python-multipart26 янв. 2026 г.
CVE-2026-24480
34Наблюдать
QGIS had validated RCE and Repository Takeover via GitHub Actions
ВысокаяCVSS 8,7Proof of conceptEPSS 0 %
- RCE
- Нарушение контроля доступа (IDOR)
qgis · qgis27 янв. 2026 г.
CVE-2026-21721
32Наблюдать
Dashboard Permissions Scope Bypass Enables Cross‑Dashboard Privilege Escalation
ВысокаяCVSS 8,1Proof of conceptEPSS 0 %
- Нарушение контроля доступа (IDOR)
grafana · grafana27 янв. 2026 г.
CVE-2026-24816
40В плане
Cookie Security Vulnerabilities in datavane/tis
КритическаяCVSS 10,0Эксплойта нетEPSS 0 %
- Без аутентификации
- Отказ в обслуживании
datavane · tis27 янв. 2026 г.
CVE-2026-1470
45В плане
Authenticated users can bypass the Expression sandbox mechanism to achieve full remote code execution on n8n’s main node.
КритическаяCVSS 9,9Эксплойта нетEPSS 20 %
- RCE
n8n · n8n27 янв. 2026 г.
CVE-2025-11187
26Наблюдать
Improper validation of PBMAC1 parameters in PKCS#12 MAC verification
СредняяCVSS 6,1Proof of conceptEPSS 5 %
- Ошибки памяти
openssl · openssl27 янв. 2026 г.
CVE-2025-69419
29Наблюдать
Out of bounds write in PKCS12_get_friendlyname() UTF-8 conversion
ВысокаяCVSS 7,4Proof of conceptEPSS 0 %
- Без аутентификации
- Ошибки памяти
openssl · openssl27 янв. 2026 г.
CVE-2025-69420
30Наблюдать
Missing ASN1_TYPE validation in TS_RESP_verify_response() function
ВысокаяCVSS 7,5Proof of conceptEPSS 0 %
- Без аутентификации
- Отказ в обслуживании
openssl · openssl27 янв. 2026 г.
CVE-2025-69421
30Наблюдать
NULL Pointer Dereference in PKCS12_item_decrypt_d2i_ex function
ВысокаяCVSS 7,5Proof of conceptEPSS 0 %
- Без аутентификации
- Ошибки памяти
- Отказ в обслуживании
openssl · openssl27 янв. 2026 г.
CVE-2025-65264
22Наблюдать
The kernel driver of CPUID CPU-Z v2.17 and earlier does not validate user-supplied values passed via its IOCTL interface, allowing an attack
СредняяCVSS 5,5Proof of conceptEPSS 0 %
cpuid · cpu-z27 янв. 2026 г.
CVE-2020-36939
60На этой неделе
Cassandra Web 0.5.0 - Remote File Read
ВысокаяCVSS 8,7Готовый эксплойтEPSS 2 %
- Без аутентификации
- Обход пути
avalanche123 · cassandra web27 янв. 2026 г.
CVE-2025-15467
52В плане
Stack buffer overflow in CMS (Auth)EnvelopedData parsing
ВысокаяCVSS 8,8Proof of conceptEPSS 55 %
- RCE без входа
- Ошибки памяти
openssl · openssl27 янв. 2026 г.
CVE-2026-24688
20Наблюдать
pypdf has possible Infinite Loop when processing outlines/bookmarks
СредняяCVSS 5,1Proof of conceptEPSS 0 %
- Отказ в обслуживании
pypdf project · pypdf27 янв. 2026 г.
CVE-2026-24858
95Срочно
An Authentication Bypass Using an Alternate Path or Channel vulnerability [CWE-288] vulnerability in Fortinet FortiAnalyzer 7.6.0 through 7.
КритическаяCVSS 9,8KEVГотовый эксплойтEPSS 85 %
- Без аутентификации
- Обход аутентификации
fortinet · fortianalyzer27 янв. 2026 г.
CVE-2026-23830
40В плане
SandboxJS has Sandbox Escape via Unprotected AsyncFunction Constructor
КритическаяCVSS 10,0Proof of conceptEPSS 1 %
- RCE без входа
nyariv · sandboxjs27 янв. 2026 г.
CVE-2026-24134
26Наблюдать
StudioCMS has an Authorization Bypass Through User-Controlled Key
СредняяCVSS 6,5Proof of conceptEPSS 0 %
- Нарушение контроля доступа (IDOR)
studiocms · studiocms27 янв. 2026 г.
CVE-2026-24841
40В плане
Dokploy Vulnerable to Authenticated Remote Code Execution via Command Injection in Docker Container Terminal WebSocket Endpoint
КритическаяCVSS 9,9Proof of conceptEPSS 2 %
- RCE
- Инъекция команд
dokploy · dokploy27 янв. 2026 г.
CVE-2025-40536
91Срочно
SolarWinds Web Help Desk Security Control Bypass Vulnerability
КритическаяCVSS 9,8KEVГотовый эксплойтEPSS 73 %
- Без аутентификации
solarwinds · web help desk28 янв. 2026 г.
CVE-2025-40551
94Срочно
SolarWinds Web Help Desk Deserialization of Untrusted Data Remote Code Execution Vulnerability
КритическаяCVSS 9,8KEVГотовый эксплойтEPSS 84 %
- RCE без входа
- Обход аутентификации
- Десериализация
solarwinds · web help desk28 янв. 2026 г.
CVE-2025-40552
55В плане
SolarWinds Web Help Desk Authentication Bypass Vulnerability
КритическаяCVSS 9,8Proof of conceptEPSS 51 %
- Без аутентификации
- Обход аутентификации
solarwinds · web help desk28 янв. 2026 г.
CVE-2025-40553
59В плане
SolarWinds Web Help Desk Deserialization of Untrusted Data Remote Code Execution Vulnerability
КритическаяCVSS 9,8Proof of conceptEPSS 67 %
- RCE без входа
- Обход аутентификации
- Десериализация
solarwinds · web help desk28 янв. 2026 г.
CVE-2025-40554
57В плане
SolarWinds Web Help Desk Authentication Bypass Vulnerability
КритическаяCVSS 9,8Proof of conceptEPSS 60 %
- Без аутентификации
- Обход аутентификации
solarwinds · web help desk28 янв. 2026 г.
CVE-2026-0702
30Наблюдать
VidShop – Shoppable Videos for WooCommerce <= 1.1.4 - Unauthenticated Time-Based SQL Injection via 'fields'
ВысокаяCVSS 7,5Proof of conceptEPSS 1 %
- Без аутентификации
- SQL-инъекция
wpcreatix · vidshop – shoppable videos for woocommerce28 янв. 2026 г.
CVE-2026-1056
43В плане
Snow Monkey Forms <= 12.0.3 - Unauthenticated Arbitrary File Deletion via Path Traversal
КритическаяCVSS 9,8Proof of conceptEPSS 13 %
- RCE без входа
- Обход пути
inc2734 · snow monkey forms28 янв. 2026 г.
CVE-2025-70336
19Наблюдать
A Stored cross-site scripting (XSS) vulnerability in 'Create New Live Item' in PodcastGenerator 3.2.9 allows remote attackers to inject arbi
СредняяCVSS 4,8Proof of conceptEPSS 0 %
- XSS
podcastgenerator · podcast generator28 янв. 2026 г.
CVE-2026-22243
34Наблюдать
EGroupware has SQL Injection in Nextmatch Filter Processing
ВысокаяCVSS 8,7Proof of conceptEPSS 0 %
- SQL-инъекция
egroupware · egroupware28 янв. 2026 г.
CVE-2020-36962
25Наблюдать
Tendenci 12.3.1 - CSV/ Formula Injection
СредняяCVSS 5,3Эксплойта нетEPSS 12 %
- RCE без входа
tendenci · tendenci28 янв. 2026 г.
CVE-2026-24897
36Наблюдать
Authenticated Remote Code Execution via Arbitrary File Upload
ВысокаяCVSS 8,8Proof of conceptEPSS 3 %
- RCE
- Обход пути
- Загрузка файлов
erugo · erugo28 янв. 2026 г.
CVE-2025-15545
29Наблюдать
Insufficient Backup File Upload Input Validation on TP-Link Archer RE605X
ВысокаяCVSS 7,3Proof of conceptEPSS 0 %
- RCE
tp-link · archer re605x firmware29 янв. 2026 г.
CVE-2026-1457
36Наблюдать
Authenticated RCE Vulnerability Due to Buffer Overflow on TP-Link VIGI C385
ВысокаяCVSS 8,5Proof of conceptEPSS 7 %
- RCE
- Ошибки памяти
tp-link · vigi c385 firmware29 янв. 2026 г.
CVE-2025-69516
40В плане
A Server-Side Template Injection (SSTI) vulnerability in the /reporting/templates/preview/ endpoint of Amidaware Tactical RMM, affecting ver
ВысокаяCVSS 8,8Готовый эксплойтEPSS 2 %
- RCE
- SSTI
amidaware · tactical rmm29 янв. 2026 г.
CVE-2025-69604
31Наблюдать
An issue in Shirt Pocket's SuperDuper! 3.11 and earlier allow a local attacker to modify the default task template to install an arbitrary p
ВысокаяCVSS 7,8Proof of conceptEPSS 0 %
- Локальное повышение привилегий
shirt-pocket · superduper\!29 янв. 2026 г.
CVE-2026-1281
99Срочно
A code injection in Ivanti Endpoint Manager Mobile allowing attackers to achieve unauthenticated remote code execution.
КритическаяCVSS 9,8KEVГотовый эксплойтEPSS 98 %
- RCE без входа
ivanti · endpoint manager mobile29 янв. 2026 г.
CVE-2026-1340
99Срочно
A code injection in Ivanti Endpoint Manager Mobile allowing attackers to achieve unauthenticated remote code execution.
КритическаяCVSS 9,8KEVГотовый эксплойтEPSS 98 %
- RCE без входа
ivanti · endpoint manager mobile29 янв. 2026 г.
CVE-2026-25047
37Наблюдать
deepHas vulnerable to Prototype Pollution via constructor.prototype
КритическаяCVSS 9,4Proof of conceptEPSS 0 %
- Prototype pollution
sharpred · deephas29 янв. 2026 г.
CVE-2026-25126
28Наблюдать
PolarLearn's unvalidated vote direction allows vote count manipulation
ВысокаяCVSS 7,1Proof of conceptEPSS 0 %
polarlearn · polarlearn29 янв. 2026 г.
CVE-2026-25211
12Наблюдать
Llama Stack (aka llama-stack) before 0.4.0rc3 does not censor the pgvector password in the initialization log.
НизкаяCVSS 3,2Proof of conceptEPSS 0 %
- Утечка информации
llamastack · llama stack30 янв. 2026 г.
CVE-2026-1699
35Наблюдать
In the Eclipse Theia Website repository, the GitHub Actions workflow .github/workflows/preview.yml used pull_request_target trigger while ch
ВысокаяCVSS 8,8Proof of conceptEPSS 0 %
- RCE
eclipse · theia website30 янв. 2026 г.
CVE-2026-0709
28Наблюдать
Some Hikvision Wireless Access Points are vulnerable to authenticated command execution due to insufficient input validation.
ВысокаяCVSS 7,2Proof of conceptEPSS 0 %
- RCE
- Инъекция команд
hikvision · ds-3wap521-si30 янв. 2026 г.
CVE-2026-1498
28Наблюдать
WatchGuard Firebox LDAP Injection
ВысокаяCVSS 7,0Эксплойта нетEPSS 0 %
- Без аутентификации
watchguard · fireware os30 янв. 2026 г.
CVE-2025-4686
34Наблюдать
Time-Based Blind SQLi in Kodmatic Computer's Online Exam and Assessment
ВысокаяCVSS 8,6Proof of conceptEPSS 0 %
- Без аутентификации
- SQL-инъекция
kodmatic computer software tourism construction industry and trade ltd. co. · online exam and assessment30 янв. 2026 г.
CVE-2026-24854
35Наблюдать
Church CRM has SQL injection in PaddleNumEditor.php
ВысокаяCVSS 8,8Proof of conceptEPSS 0 %
- SQL-инъекция
churchcrm · churchcrm30 янв. 2026 г.
CVE-2026-25050
10Наблюдать
Vendure vulnerable to timing attack that enables user enumeration in NativeAuthenticationStrategy
НизкаяCVSS 2,7Proof of conceptEPSS 0 %
- Без аутентификации
vendure · vendure30 янв. 2026 г.
CVE-2025-24293
60На этой неделе
# Active Storage allowed transformation methods potentially unsafe Active Storage attempts to prevent the use of potentially unsafe image
КритическаяCVSS 9,2Готовый эксплойтEPSS 5 %
- RCE без входа
- Инъекция команд
rails · activestorage30 янв. 2026 г.
CVE-2026-25130
38Наблюдать
Cybersecurity AI vulnerable to command Injection through argument injection in find_file Agent tool
КритическаяCVSS 9,6Proof of conceptEPSS 0 %
- RCE без входа
- Инъекция команд
aliasrobotics · cai30 янв. 2026 г.
CVE-2025-36001
26Наблюдать
IBM Db2 Denial of Service
СредняяCVSS 6,5Proof of conceptEPSS 0 %
- Отказ в обслуживании
ibm · db230 янв. 2026 г.