По дате публикации

Эксплуатируемые и новые серьёзные CVE: апрель 2026 г.

362 записей · 14 KEV. В порядке публикации.

В списке: записи из каталога CISA KEV, с боевым эксплойтом, с EPSS от 10%, с публичным PoC и датой публикации в последние 3 года, а также записи с CVSS от 7, опубликованные за последние 90 дней. Остальные записи доступны через поиск и страницы производителей.

Границы месяца считаются по UTC, как и дата публикации на странице записи.

Страница 1 из 4

Записи CVE
Срочность	CVE	Уязвимость	Критичность	KEV	EPSS	Опубликовано
65На этой неделе	CVE-2026-5281Готовый эксплойт	Use after free in Dawn in Google Chrome prior to 146.0.7680.178 allowed a remote attacker who had compromised the renderer process to executgoogle · chrome · CWE-416 RCE без входа Ошибки памяти	Высокая8,8	KEV	0,7 %	1 апр. 2026 г.
38Наблюдать	CVE-2026-29014Proof of concept	MetInfo CMS Unauthenticated PHP Code Injection RCEmetinfo · metinfo · CWE-94 RCE без входа	Критическая9,3	—	4,4 %	1 апр. 2026 г.
21Наблюдать	CVE-2026-29598Proof of concept	Multiple stored cross-site scripting (XSS) vulnerabilities in the submit_add_user.asp endpoint of DDSN Interactive Acora CMS v10.7.1 allow aCWE-79 RCE XSS	Средняя5,4	—	0,2 %	1 апр. 2026 г.
39Наблюдать	CVE-2026-34159Proof of concept	llama.cpp: Unauthenticated RCE via GRAPH_COMPUTE buffer=0 bypass in llama.cpp RPC backendggml · llama.cpp · CWE-119 RCE без входа Десериализация Ошибки памяти	Критическая9,8	—	1,2 %	1 апр. 2026 г.
31Наблюдать	CVE-2026-5032Proof of concept	W3 Total Cache <= 2.9.3 - Unauthenticated Security Token Exposure via User-Agent Headerboldgrid · w3 total cache · CWE-200 Без аутентификации Утечка информации	Высокая7,5	—	2,6 %	2 апр. 2026 г.
22Наблюдать	CVE-2026-23416Proof of concept	mm/mseal: update VMA end correctly on mergelinux · linux kernel Отказ в обслуживании	Средняя5,5	—	0,2 %	2 апр. 2026 г.
29Наблюдать	CVE-2026-4282Proof of concept	Keycloak: keycloak: privilege escalation via forged authorization codes due to singleuseobjectprovider isolation flawredhat · build of keycloak · CWE-653 Без аутентификации	Высокая7,4	—	0,5 %	2 апр. 2026 г.
28Наблюдать	CVE-2026-29782Proof of concept	OpenSTAManager: Remote Code Execution via Insecure Deserialization in OAuth2devcode · openstamanager · CWE-502 RCE Десериализация	Высокая7,2	—	0,6 %	2 апр. 2026 г.
40В плане	CVE-2026-2699Proof of concept	EAR vulnerability in Progress ShareFile Storage Zones Controller (SZC)progress · sharefile storage zones controller · CWE-284 RCE без входа Нарушение контроля доступа (IDOR)	Критическая9,8	—	3,1 %	2 апр. 2026 г.
31Наблюдать	CVE-2026-33641Proof of concept	Glances Vulnerable to Command Injection via Dynamic Configuration Valuesnicolargo · glances · CWE-78 RCE Локальное повышение привилегий Инъекция команд	Высокая7,8	—	0,7 %	2 апр. 2026 г.
11Наблюдать	CVE-2026-5339Эксплойта нет	Tenda G103 Setting gpon.lua action_set_net_settings command injectiontenda · g103 firmware · CWE-74 RCE Инъекция команд	Низкая2,0	—	10,2 %	2 апр. 2026 г.
31Наблюдать	CVE-2026-23415Proof of concept	futex: Fix UaF between futex_key_to_node_opt() and vma_replace_policy()linux · linux kernel · CWE-416 Ошибки памяти	Высокая7,8	—	0,1 %	2 апр. 2026 г.
30Наблюдать	CVE-2026-30332Proof of concept	A Time-of-Check to Time-of-Use (TOCTOU) race condition vulnerability in Balena Etcher for Windows prior to v2.1.4 allows attackers to escalaCWE-367 RCE Локальное повышение привилегий Состояние гонки	Высокая7,5	—	0,1 %	2 апр. 2026 г.
30Наблюдать	CVE-2026-33691Proof of concept	OWASP CRS: Whitespace padding in filenames bypasses file upload extension checksowasp · owasp modsecurity core rule set · CWE-178 Без аутентификации	Высокая7,5	—	1,5 %	2 апр. 2026 г.
39Наблюдать	CVE-2026-25212Proof of concept	An issue was discovered in Percona PMM before 3.7.percona · monitoring and management · CWE-250	Критическая9,9	—	0,2 %	2 апр. 2026 г.
21Наблюдать	CVE-2026-34523Эксплойта нет	SillyTavern: Path traversal allows file existence oraclesillytavern · sillytavern · CWE-22 Без аутентификации Обход пути	Средняя5,3	—	0,4 %	2 апр. 2026 г.
28Наблюдать	CVE-2026-34828Proof of concept	listmonk: Active sessions remain valid after password reset and password changenadh · listmonk · CWE-613	Высокая7,1	—	0,3 %	2 апр. 2026 г.
26Наблюдать	CVE-2026-34835Proof of concept	Rack: `Rack::Request` accepts invalid Host characters, enabling host allowlist bypass.rack · rack · CWE-1286 Без аутентификации	Средняя6,5	—	0,2 %	2 апр. 2026 г.
32Наблюдать	CVE-2026-35414Proof of concept	OpenSSH before 10.3 mishandles the authorized_keys principals option in uncommon scenarios involving a principals list in conjunction with aopenbsd · openssh · CWE-670 Без аутентификации	Высокая8,1	—	0,2 %	2 апр. 2026 г.
39Наблюдать	CVE-2026-34838Proof of concept	Group-Office: Authenticated Remote Code Execution via PHP Insecure Deserialization in `AbstractSettingsCollection`intermesh · group-office · CWE-502 RCE Десериализация	Критическая9,9	—	0,9 %	2 апр. 2026 г.
24Наблюдать	CVE-2026-34847Proof of concept	hoppscotch: Open redirect via `/enter?redirect=`hoppscotch · hoppscotch · CWE-601 Без аутентификации Открытый редирект	Средняя6,1	—	0,4 %	2 апр. 2026 г.
24Наблюдать	CVE-2026-30251Proof of concept	A reflected cross-site scripting (XSS) vulnerability in the login_newpwd.php endpoint of Interzen Consulting S.r.l ZenShare Suite v17.0 allointerzen · zenshare suite · CWE-79 RCE без входа XSS	Средняя6,1	—	0,2 %	2 апр. 2026 г.
24Наблюдать	CVE-2026-30252Proof of concept	Multiple reflected cross-site scripting (XSS) vulnerabilities in the login.php endpoint of Interzen Consulting S.r.l ZenShare Suite v17.0 alinterzen · zencrm · CWE-79 RCE без входа XSS	Средняя6,1	—	0,2 %	2 апр. 2026 г.
31Наблюдать	CVE-2026-35535Эксплойта нет	In Sudo through 1.9.17p2 before 3e474c2, a failure of a setuid, setgid, or setgroups call, during a privilege drop before running the mailersudo project · sudo · CWE-271 Локальное повышение привилегий	Высокая7,8	—	0,1 %	2 апр. 2026 г.
32Наблюдать	CVE-2026-4350Proof of concept	Perfmatters <= 2.5.9.1 - Authenticated (Subscriber+) Arbitrary File Deletion via 'delete' Parameterperfmatters · perfmatters · CWE-22 Обход пути	Высокая8,1	—	0,5 %	3 апр. 2026 г.
40В плане	CVE-2026-0545Proof of concept	Missing Authentication for Critical Function in mlflow/mlflowlfprojects · mlflow · CWE-306 RCE без входа Обход аутентификации	Критическая9,8	—	4,3 %	3 апр. 2026 г.
39Наблюдать	CVE-2026-31402Proof of concept	nfsd: fix heap overflow in NFSv4.0 LOCK replay cachelinux · linux kernel · CWE-787 Без аутентификации Ошибки памяти	Критическая9,8	—	1,1 %	3 апр. 2026 г.
35Наблюдать	CVE-2025-10681Proof of concept	Gardyn Mobile Application and Device Firmware Use Hard-coded Credentialsgardyn · mobile application · CWE-798 Без аутентификации Зашитые учётные данные	Высокая8,8	—	0,3 %	3 апр. 2026 г.
37Наблюдать	CVE-2026-25197Proof of concept	Gardyn Cloud API Authorization Bypass Through User-Controlled Keymygardyn · cloud api · CWE-639 Без аутентификации Нарушение контроля доступа (IDOR)	Критическая9,3	—	0,2 %	3 апр. 2026 г.
36Наблюдать	CVE-2026-28766Proof of concept	Gardyn Cloud API Missing Authentication for Critical Functionmygardyn · cloud api · CWE-306 Без аутентификации Обход аутентификации	Критическая9,2	—	0,6 %	3 апр. 2026 г.
27Наблюдать	CVE-2026-28767Proof of concept	Gardyn Cloud API Missing Authentication for Critical Functionmygardyn · cloud api · CWE-306 Без аутентификации Обход аутентификации	Средняя6,9	—	0,5 %	3 апр. 2026 г.
34Наблюдать	CVE-2026-32646Proof of concept	Gardyn Cloud API Missing Authentication for Critical Functionmygardyn · cloud api · CWE-306 Без аутентификации Обход аутентификации	Высокая8,7	—	0,6 %	3 апр. 2026 г.
27Наблюдать	CVE-2026-32662Proof of concept	Gardyn Cloud API Active Debug Codemygardyn · cloud api · CWE-489 Без аутентификации	Средняя6,9	—	0,4 %	3 апр. 2026 г.
31Наблюдать	CVE-2026-27833Proof of concept	Piwigo: Unauthenticated Information Disclosure via pwg.history.search APIpiwigo · piwigo · CWE-862 Без аутентификации Нарушение контроля доступа (IDOR)	Высокая7,5	—	1,7 %	3 апр. 2026 г.
34Наблюдать	CVE-2026-28797Proof of concept	RAGFlow: Server-Side Template Injection (SSTI) leading to Remote Code Execution (RCE) in Agent "Text Processing" Componentinfiniflow · ragflow · CWE-20 RCE SSTI	Высокая8,7	—	0,5 %	3 апр. 2026 г.
24Наблюдать	CVE-2026-34980Proof of concept	OpenPrinting CUPS: Shared PostScript queue lets anonymous Print-Job requests reach `lp` code execution over the networkopenprinting · cups · CWE-20 Без аутентификации Обход аутентификации	Средняя6,1	—	0,3 %	3 апр. 2026 г.
20Наблюдать	CVE-2026-34990Proof of concept	OpenPrinting CUPS: Local print admin token disclosure using temporary printersopenprinting · cups · CWE-287 RCE Обход аутентификации Локальное повышение привилегий	Средняя5,0	—	0,1 %	3 апр. 2026 г.
72На этой неделе	CVE-2026-35616Готовый эксплойт	A improper access control vulnerability in Fortinet FortiClientEMS 7.4.5 through 7.4.6 may allow an unauthenticated attacker to execute unaufortinet · forticlientems · CWE-284 Без аутентификации Нарушение контроля доступа (IDOR)	Критическая9,8	KEV	9,0 %	3 апр. 2026 г.
25Наблюдать	CVE-2026-2600Proof of concept	ElementsKit Elementor Addons and Templates <= 3.7.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via Simple Tab Widgetroxnor · elementskit elementor addons – advanced widgets & templates addons for elementor · CWE-79 XSS	Средняя6,4	—	0,2 %	4 апр. 2026 г.
21Наблюдать	CVE-2026-5530Proof of concept	Ollama Model Pull API download.go server-side request forgeryCWE-918 SSRF	Средняя5,3	—	0,3 %	4 апр. 2026 г.
22Наблюдать	CVE-2026-5555Proof of concept	code-projects Concert Ticket Reservation System Parameter login.php sql injectioncode-projects · concert ticket reservation system · CWE-74 Без аутентификации SQL-инъекция	Средняя5,5	—	0,4 %	5 апр. 2026 г.
8Наблюдать	CVE-2026-5556Proof of concept	badlogic pi-mono loader.ts discoverAndLoadExtensions code injectionbadlogic · pi-mono · CWE-74 RCE	Низкая2,1	—	0,3 %	5 апр. 2026 г.
23Наблюдать	CVE-2026-5562Proof of concept	provectus kafka-ui Endpoint testexecutions validateAccess code injectionprovectus · ui · CWE-74 RCE без входа	Средняя5,5	—	3,3 %	5 апр. 2026 г.
8Наблюдать	CVE-2026-5615Proof of concept	givanz Vvvebjs File Upload Endpoint upload.php cross site scriptinggivanz · vvvebjs · CWE-79 Без аутентификации XSS	Низкая2,1	—	1,0 %	6 апр. 2026 г.
28Наблюдать	CVE-2026-26026Proof of concept	GLPI has a Server-Side Template Injection via Double-Compilationglpi-project · glpi · CWE-94 RCE SSTI	Высокая7,2	—	0,5 %	6 апр. 2026 г.
34Наблюдать	CVE-2026-34885Proof of concept	WordPress Media LIbrary Assistant plugin <= 3.34 - SQL Injection vulnerabilitydavid lingren · media library assistant · CWE-89 SQL-инъекция	Высокая8,5	—	1,1 %	6 апр. 2026 г.
26Наблюдать	CVE-2026-34897Эксплойта нет	WordPress Media LIbrary Assistant plugin <= 3.34 - Cross Site Scripting (XSS) vulnerabilitydavid lingren · media library assistant · CWE-79 XSS	Средняя6,5	—	0,2 %	6 апр. 2026 г.
34Наблюдать	CVE-2026-33752Proof of concept	Redirect-based SSRF leading to internal network access in curl_cffi (with TLS impersonation bypass)lexiforest · curl cffi · CWE-918 Без аутентификации SSRF	Высокая8,6	—	0,4 %	6 апр. 2026 г.
31Наблюдать	CVE-2026-34444Proof of concept	Lupa has a Sandbox escape and RCE due to incomplete attribute_filter enforcement in getattr / setattrscoder · lupa · CWE-284 RCE без входа Нарушение контроля доступа (IDOR)	Высокая7,9	—	0,8 %	6 апр. 2026 г.
34Наблюдать	CVE-2026-34588Эксплойта нет	OpenEXR has a signed 32-bit Overflow in PIZ Decoder Leads to OOB Read/Writeopenexr · openexr · CWE-125 Ошибки памяти	Высокая8,6	—	0,5 %	6 апр. 2026 г.
21Наблюдать	CVE-2026-34753Proof of concept	vLLM affected by Server-Side Request Forgery (SSRF) in `download_bytes_from_url `vllm · vllm · CWE-918 SSRF	Средняя5,4	—	0,3 %	6 апр. 2026 г.
35Наблюдать	CVE-2026-34940Proof of concept	KubeAI has an OS Command Injection via Model URL in Ollama Engine startup probe allows arbitrary command execution in model podskubeai · kubeai · CWE-78 RCE Инъекция команд	Высокая8,8	—	0,5 %	6 апр. 2026 г.
17Наблюдать	CVE-2026-34975Proof of concept	Plunk has a CRLF Email Header Injection in raw MIME message construction allows authenticated API user to inject arbitrary email headersuseplunk · plunk · CWE-93	Средняя4,3	—	0,3 %	6 апр. 2026 г.
40В плане	CVE-2026-34976Proof of concept	Dgraph Affected by Pre-Auth Database Overwrite + SSRF + File Read via restoreTenant Missing Authorizationdgraph · dgraph · CWE-862 Без аутентификации SSRF Нарушение контроля доступа (IDOR)	Критическая10,0	—	1,6 %	6 апр. 2026 г.
35Наблюдать	CVE-2026-35029Proof of concept	LiteLLM affected by privilege escalation via unrestricted proxy configuration endpointlitellm · litellm · CWE-863 RCE Нарушение контроля доступа (IDOR)	Высокая8,7	—	3,9 %	6 апр. 2026 г.
37Наблюдать	CVE-2026-35030Proof of concept	LiteLLM has an authentication bypass via OIDC userinfo cache key collisionlitellm · litellm · CWE-287 Без аутентификации Обход аутентификации	Критическая9,4	—	0,8 %	6 апр. 2026 г.
28Наблюдать	CVE-2026-35037Proof of concept	Ech0 affected by unauthenticated SSRF in GetWebsiteTitle allows access to internal services and cloud metadataech0 · ech0 · CWE-918 Без аутентификации SSRF	Высокая7,2	—	0,7 %	6 апр. 2026 г.
32Наблюдать	CVE-2026-35045Proof of concept	Tandoor Recipes Affected by Private Recipe Exposure and Unauthorized Modificationtandoor · recipes · CWE-639 Нарушение контроля доступа (IDOR)	Высокая8,1	—	0,3 %	6 апр. 2026 г.
24Наблюдать	CVE-2026-0049Proof of concept	In onHeaderDecoded of LocalImageResolver.java, there is a possible persistent denial of service due to resource exhaustion.google · android · CWE-400 Локальное повышение привилегий Отказ в обслуживании	Средняя6,2	—	0,1 %	6 апр. 2026 г.
40В плане	CVE-2025-54328Proof of concept	An issue was discovered in SMS in Samsung Mobile Processor, Wearable Processor, and Modem Exynos 980, 990, 850, 1080, 2100, 1280, 2200, 1330samsung · exynos 980 firmware · CWE-121 Без аутентификации Ошибки памяти	Критическая10,0	—	0,5 %	6 апр. 2026 г.
11Наблюдать	CVE-2026-5682Proof of concept	Meesho Online Shopping App com.meesho.supply endpoint risky encryptionmeesho · online shopping app · CWE-310 Без аутентификации	Низкая2,9	—	0,2 %	6 апр. 2026 г.
58В плане	CVE-2026-0740Proof of concept	Ninja Forms - File Upload <= 3.3.26 - Unauthenticated Arbitrary File Uploadsaturdaydrive · ninja forms - file uploads · CWE-434 RCE без входа Загрузка файлов	Критическая9,8	—	62,9 %	7 апр. 2026 г.
35Наблюдать	CVE-2026-5465Proof of concept	Amelia <= 2.1.3 - Insecure Direct Object Reference to Authenticated (Employee+) Privilege Escalation via 'externalId' Parameterameliabooking · booking for appointments and events calendar – amelia · CWE-639 Нарушение контроля доступа (IDOR)	Высокая8,8	—	0,5 %	7 апр. 2026 г.
70На этой неделе	CVE-2026-34197Готовый эксплойт	Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ: Authenticated users could perform RCE via Jolokia MBeansapache · activemq · CWE-20 RCE	Высокая8,8	KEV	15,4 %	7 апр. 2026 г.
39Наблюдать	CVE-2026-22666Proof of concept	Dolibarr ERP/CRM < 23.0.2 Authenticated RCE via dol_eval_standard()dolibarr · dolibarr erp\/crm · CWE-95 RCE	Высокая8,6	—	15,5 %	7 апр. 2026 г.
43В плане	CVE-2026-22679Proof of concept	Weaver E-cology 10.0 Unauthenticated RCE via dubboApi Debug Endpointweaver · e-cology · CWE-306 RCE без входа Обход аутентификации	Критическая9,3	—	20,3 %	7 апр. 2026 г.
21Наблюдать	CVE-2026-33866Эксплойта нет	Authorization Bypass in MLflow AJAX Endpointlfprojects · mlflow · CWE-862 Нарушение контроля доступа (IDOR)	Средняя5,3	—	0,3 %	7 апр. 2026 г.
26Наблюдать	CVE-2026-33033Proof of concept	Potential denial-of-service vulnerability in MultiPartParser via base64-encoded file uploaddjangoproject · django · CWE-407 Отказ в обслуживании	Средняя6,5	—	0,8 %	7 апр. 2026 г.
40В плане	CVE-2024-36057Proof of concept	Koha Library before 23.05.10 fails to sanitize user-controllable filenames prior to unzipping, leading to remote code execution.CWE-94 RCE без входа Инъекция команд	Критическая9,8	—	1,8 %	7 апр. 2026 г.
26Наблюдать	CVE-2026-35492Proof of concept	Kedro-Datasets has a path traversal vulnerability in PartitionedDataset allows arbitrary file writekedro-org · kedro-plugins · CWE-22 Обход пути	Средняя6,5	—	0,4 %	7 апр. 2026 г.
35Наблюдать	CVE-2026-35517Proof of concept	Pi-hole FTL affected by Remote Code Execution (RCE) via dns.upstreams Newline Injectionpi-hole · ftldns · CWE-78 RCE Инъекция команд	Высокая8,8	—	1,0 %	7 апр. 2026 г.
39Наблюдать	CVE-2024-36058Proof of concept	The Send Basket functionality in Koha Library before 23.05.10 is susceptible to Time-Based SQL Injection because it fails to sanitize the POCWE-89 Без аутентификации SQL-инъекция	Критическая9,8	—	0,4 %	7 апр. 2026 г.
35Наблюдать	CVE-2026-22683Proof of concept	Windmill < 1.615.0 Operator Role Missing Authorization Checks RCEwindmill · windmill · CWE-862 RCE Нарушение контроля доступа (IDOR)	Высокая8,7	—	2,6 %	7 апр. 2026 г.
41В плане	CVE-2026-23696Proof of concept	Windmill < 1.603.3 File Ownership Handling SQLi RCEwindmill labs · windmill ce (community edition) · CWE-89 RCE SQL-инъекция	Критическая9,4	—	13,5 %	7 апр. 2026 г.
36Наблюдать	CVE-2026-35580Proof of concept	Emissary has GitHub Actions Shell Injection via Workflow Inputsnsa · emissary · CWE-77 RCE Инъекция команд	Критическая9,1	—	0,6 %	7 апр. 2026 г.
27Наблюдать	CVE-2026-35584Proof of concept	FreeScout has an Unauthenticated IDOR in Open Tracking Endpoint Allows Cross-Conversation Thread Manipulation and Enumerationfreescout · freescout · CWE-306 Без аутентификации Обход аутентификации Нарушение контроля доступа (IDOR)	Средняя6,9	—	0,3 %	7 апр. 2026 г.
31Наблюдать	CVE-2026-35585Proof of concept	File Browser has a Command Injection via Hook Runnerfilebrowser · filebrowser · CWE-78 RCE Инъекция команд	Высокая7,5	—	2,3 %	7 апр. 2026 г.
37Наблюдать	CVE-2026-39324Proof of concept	Rack::Session::Cookie secrets: decrypt failure fallback enables secretless session forgery and Marshal deserializationrack · rack-session · CWE-287 Без аутентификации Обход аутентификации Десериализация	Критическая9,3	—	0,2 %	7 апр. 2026 г.
37Наблюдать	CVE-2026-39339Proof of concept	ChurchCRM has an API Authentication Bypasschurchcrm · churchcrm · CWE-284 Без аутентификации Обход аутентификации Нарушение контроля доступа (IDOR)	Критическая9,1	—	1,8 %	7 апр. 2026 г.
21Наблюдать	CVE-2025-14857Proof of concept	Semtech LR11xx Memory Write Access Control Bypasssemtech · lr1110 · CWE-123 RCE	Средняя5,4	—	0,2 %	7 апр. 2026 г.
30Наблюдать	CVE-2025-56015Proof of concept	In GenieACS 1.2.13, an unauthenticated access vulnerability exists in the NBI API endpoint.genieacs · genieacs · CWE-284 Без аутентификации Обход аутентификации Нарушение контроля доступа (IDOR)	Высокая7,5	—	0,4 %	7 апр. 2026 г.
36Наблюдать	CVE-2025-69515Proof of concept	An issue in JXL 9 Inch Car Android Double Din Player Android v12.0 allows attackers to force the infotainment system into accepting falsifieCWE-941 Без аутентификации	Критическая9,1	—	0,4 %	7 апр. 2026 г.
33Наблюдать	CVE-2026-39363Proof of concept	Vite Affected by Arbitrary File Read via Vite Dev Server WebSocketvitejs · vite · CWE-200 Без аутентификации Утечка информации	Высокая8,2	—	2,6 %	7 апр. 2026 г.
32Наблюдать	CVE-2026-39364Proof of concept	Vite has a `server.fs.deny` bypass with queriesvitejs · vite · CWE-180 Без аутентификации	Высокая8,2	—	1,5 %	7 апр. 2026 г.
25Наблюдать	CVE-2026-39365Proof of concept	Vite has a Path Traversal in Optimized Deps `.map` Handlingvitejs · vite · CWE-22 Без аутентификации Обход пути	Средняя6,3	—	0,9 %	7 апр. 2026 г.
32Наблюдать	CVE-2026-39371Proof of concept	RedwoodSDK has a CSRF vulnerability in server function dispatch via GET requestsredwoodjs · redwoodsdk · CWE-352 Без аутентификации CSRF	Высокая8,1	—	0,1 %	7 апр. 2026 г.
30Наблюдать	CVE-2026-39376Proof of concept	FastFeedParser has an infinite redirect loop DoS via meta-refresh chainkagi · fastfeedparser · CWE-674 Без аутентификации SSRF Отказ в обслуживании	Высокая7,5	—	0,4 %	7 апр. 2026 г.
37Наблюдать	CVE-2026-39382Proof of concept	dbt has a Command Injection in Reusable Workflow via Unsanitized comment-body Outputdbt-labs · dbt-core · CWE-78 RCE без входа Инъекция команд	Критическая9,3	—	0,4 %	7 апр. 2026 г.
42В плане	CVE-2026-4631Proof of concept	Cockpit: cockpit: unauthenticated remote code execution due to ssh command-line argument injectionred hat · red hat enterprise linux 10 · CWE-78 RCE без входа Инъекция команд	Критическая9,8	—	9,2 %	7 апр. 2026 г.
40В плане	CVE-2026-33439Proof of concept	Pre-Authentication Remote Code Execution via `jato.clientSession` Deserialization in OpenAMopenidentityplatform · openam · CWE-502 RCE без входа Десериализация	Критическая9,3	—	8,4 %	7 апр. 2026 г.
18Наблюдать	CVE-2026-4406Proof of concept	Gravity Forms <= 2.9.30 - Reflected Cross-Site Scripting via 'form_ids' Parametergravity forms · gravity forms · CWE-79 Без аутентификации XSS	Средняя4,7	—	0,3 %	7 апр. 2026 г.
40В плане	CVE-2026-3296Proof of concept	Everest Forms <= 3.4.3 - Unauthenticated PHP Object Injection via Form Entry Metadatawpeverest · everest forms – contact form, payment form, quiz, survey & custom form builder · CWE-502 Без аутентификации Десериализация	Критическая9,8	—	2,9 %	7 апр. 2026 г.
26Наблюдать	CVE-2026-39636Proof of concept	WordPress Livemesh Addons for Elementor plugin <= 9.0 - Cross Site Scripting (XSS) vulnerabilitylivemesh · livemesh addons for elementor · CWE-79 XSS	Средняя6,5	—	0,2 %	8 апр. 2026 г.
21Наблюдать	CVE-2026-39676Proof of concept	WordPress Download Manager plugin <= 3.3.52 - Broken Access Control vulnerabilityshahjada · download manager · CWE-862 Без аутентификации Нарушение контроля доступа (IDOR)	Средняя5,3	—	0,2 %	8 апр. 2026 г.
31Наблюдать	CVE-2026-3396Proof of concept	WCAPF – WooCommerce Ajax Product Filter <= 4.2.3 - Unauthenticated Time-Based SQL Injectionshamimmoeen · wcapf – ajax product filter for woocommerce · CWE-89 Без аутентификации SQL-инъекция	Высокая7,5	—	1,7 %	8 апр. 2026 г.
34Наблюдать	CVE-2026-33229Proof of concept	XWiki Platform affected by remote code execution with script right through unprotected Velocity scripting APIxwiki · xwiki · CWE-862 RCE Нарушение контроля доступа (IDOR)	Высокая8,6	—	1,2 %	8 апр. 2026 г.
39Наблюдать	CVE-2026-2942Proof of concept	ProSolution WP Client <= 1.9.9 - Unauthenticated Arbitrary File Upload via proSol_fileUploadProcessprosolution · prosolution wp client · CWE-434 RCE без входа Загрузка файлов	Критическая9,8	—	1,0 %	8 апр. 2026 г.
34Наблюдать	CVE-2026-34724Proof of concept	Zammad has a server-side template injection leading to RCE via AI Agentzammad · zammad · CWE-94 RCE SSTI	Высокая8,7	—	0,4 %	8 апр. 2026 г.
21Наблюдать	CVE-2026-35455Proof of concept	immich has Stored XSS via OCR Text in 360° Panorama Viewerfuto · immich · CWE-79 RCE XSS	Средняя5,4	—	0,2 %	8 апр. 2026 г.
30Наблюдать	CVE-2026-23869Proof of concept	A denial of service vulnerability exists in React Server Components, affecting the following packages: react-server-dom-parcel, react-servermeta · react-server-dom-turbopack · CWE-400 Без аутентификации Отказ в обслуживании	Высокая7,5	—	1,5 %	8 апр. 2026 г.

CVE-2026-5281
65На этой неделе
Use after free in Dawn in Google Chrome prior to 146.0.7680.178 allowed a remote attacker who had compromised the renderer process to execut
ВысокаяCVSS 8,8KEVГотовый эксплойтEPSS 0 %
- RCE без входа
- Ошибки памяти
google · chrome1 апр. 2026 г.
CVE-2026-29014
38Наблюдать
MetInfo CMS Unauthenticated PHP Code Injection RCE
КритическаяCVSS 9,3Proof of conceptEPSS 4 %
- RCE без входа
metinfo · metinfo1 апр. 2026 г.
CVE-2026-29598
21Наблюдать
Multiple stored cross-site scripting (XSS) vulnerabilities in the submit_add_user.asp endpoint of DDSN Interactive Acora CMS v10.7.1 allow a
СредняяCVSS 5,4Proof of conceptEPSS 0 %
- RCE
- XSS
1 апр. 2026 г.
CVE-2026-34159
39Наблюдать
llama.cpp: Unauthenticated RCE via GRAPH_COMPUTE buffer=0 bypass in llama.cpp RPC backend
КритическаяCVSS 9,8Proof of conceptEPSS 1 %
- RCE без входа
- Десериализация
- Ошибки памяти
ggml · llama.cpp1 апр. 2026 г.
CVE-2026-5032
31Наблюдать
W3 Total Cache <= 2.9.3 - Unauthenticated Security Token Exposure via User-Agent Header
ВысокаяCVSS 7,5Proof of conceptEPSS 2 %
- Без аутентификации
- Утечка информации
boldgrid · w3 total cache2 апр. 2026 г.
CVE-2026-23416
22Наблюдать
mm/mseal: update VMA end correctly on merge
СредняяCVSS 5,5Proof of conceptEPSS 0 %
- Отказ в обслуживании
linux · linux kernel2 апр. 2026 г.
CVE-2026-4282
29Наблюдать
Keycloak: keycloak: privilege escalation via forged authorization codes due to singleuseobjectprovider isolation flaw
ВысокаяCVSS 7,4Proof of conceptEPSS 0 %
- Без аутентификации
redhat · build of keycloak2 апр. 2026 г.
CVE-2026-29782
28Наблюдать
OpenSTAManager: Remote Code Execution via Insecure Deserialization in OAuth2
ВысокаяCVSS 7,2Proof of conceptEPSS 0 %
- RCE
- Десериализация
devcode · openstamanager2 апр. 2026 г.
CVE-2026-2699
40В плане
EAR vulnerability in Progress ShareFile Storage Zones Controller (SZC)
КритическаяCVSS 9,8Proof of conceptEPSS 3 %
- RCE без входа
- Нарушение контроля доступа (IDOR)
progress · sharefile storage zones controller2 апр. 2026 г.
CVE-2026-33641
31Наблюдать
Glances Vulnerable to Command Injection via Dynamic Configuration Values
ВысокаяCVSS 7,8Proof of conceptEPSS 0 %
- RCE
- Локальное повышение привилегий
- Инъекция команд
nicolargo · glances2 апр. 2026 г.
CVE-2026-5339
11Наблюдать
Tenda G103 Setting gpon.lua action_set_net_settings command injection
НизкаяCVSS 2,0Эксплойта нетEPSS 10 %
- RCE
- Инъекция команд
tenda · g103 firmware2 апр. 2026 г.
CVE-2026-23415
31Наблюдать
futex: Fix UaF between futex_key_to_node_opt() and vma_replace_policy()
ВысокаяCVSS 7,8Proof of conceptEPSS 0 %
- Ошибки памяти
linux · linux kernel2 апр. 2026 г.
CVE-2026-30332
30Наблюдать
A Time-of-Check to Time-of-Use (TOCTOU) race condition vulnerability in Balena Etcher for Windows prior to v2.1.4 allows attackers to escala
ВысокаяCVSS 7,5Proof of conceptEPSS 0 %
- RCE
- Локальное повышение привилегий
- Состояние гонки
2 апр. 2026 г.
CVE-2026-33691
30Наблюдать
OWASP CRS: Whitespace padding in filenames bypasses file upload extension checks
ВысокаяCVSS 7,5Proof of conceptEPSS 1 %
- Без аутентификации
owasp · owasp modsecurity core rule set2 апр. 2026 г.
CVE-2026-25212
39Наблюдать
An issue was discovered in Percona PMM before 3.7.
КритическаяCVSS 9,9Proof of conceptEPSS 0 %
percona · monitoring and management2 апр. 2026 г.
CVE-2026-34523
21Наблюдать
SillyTavern: Path traversal allows file existence oracle
СредняяCVSS 5,3Эксплойта нетEPSS 0 %
- Без аутентификации
- Обход пути
sillytavern · sillytavern2 апр. 2026 г.
CVE-2026-34828
28Наблюдать
listmonk: Active sessions remain valid after password reset and password change
ВысокаяCVSS 7,1Proof of conceptEPSS 0 %
nadh · listmonk2 апр. 2026 г.
CVE-2026-34835
26Наблюдать
Rack: `Rack::Request` accepts invalid Host characters, enabling host allowlist bypass.
СредняяCVSS 6,5Proof of conceptEPSS 0 %
- Без аутентификации
rack · rack2 апр. 2026 г.
CVE-2026-35414
32Наблюдать
OpenSSH before 10.3 mishandles the authorized_keys principals option in uncommon scenarios involving a principals list in conjunction with a
ВысокаяCVSS 8,1Proof of conceptEPSS 0 %
- Без аутентификации
openbsd · openssh2 апр. 2026 г.
CVE-2026-34838
39Наблюдать
Group-Office: Authenticated Remote Code Execution via PHP Insecure Deserialization in `AbstractSettingsCollection`
КритическаяCVSS 9,9Proof of conceptEPSS 0 %
- RCE
- Десериализация
intermesh · group-office2 апр. 2026 г.
CVE-2026-34847
24Наблюдать
hoppscotch: Open redirect via `/enter?redirect=`
СредняяCVSS 6,1Proof of conceptEPSS 0 %
- Без аутентификации
- Открытый редирект
hoppscotch · hoppscotch2 апр. 2026 г.
CVE-2026-30251
24Наблюдать
A reflected cross-site scripting (XSS) vulnerability in the login_newpwd.php endpoint of Interzen Consulting S.r.l ZenShare Suite v17.0 allo
СредняяCVSS 6,1Proof of conceptEPSS 0 %
- RCE без входа
- XSS
interzen · zenshare suite2 апр. 2026 г.
CVE-2026-30252
24Наблюдать
Multiple reflected cross-site scripting (XSS) vulnerabilities in the login.php endpoint of Interzen Consulting S.r.l ZenShare Suite v17.0 al
СредняяCVSS 6,1Proof of conceptEPSS 0 %
- RCE без входа
- XSS
interzen · zencrm2 апр. 2026 г.
CVE-2026-35535
31Наблюдать
In Sudo through 1.9.17p2 before 3e474c2, a failure of a setuid, setgid, or setgroups call, during a privilege drop before running the mailer
ВысокаяCVSS 7,8Эксплойта нетEPSS 0 %
- Локальное повышение привилегий
sudo project · sudo2 апр. 2026 г.
CVE-2026-4350
32Наблюдать
Perfmatters <= 2.5.9.1 - Authenticated (Subscriber+) Arbitrary File Deletion via 'delete' Parameter
ВысокаяCVSS 8,1Proof of conceptEPSS 0 %
- Обход пути
perfmatters · perfmatters3 апр. 2026 г.
CVE-2026-0545
40В плане
Missing Authentication for Critical Function in mlflow/mlflow
КритическаяCVSS 9,8Proof of conceptEPSS 4 %
- RCE без входа
- Обход аутентификации
lfprojects · mlflow3 апр. 2026 г.
CVE-2026-31402
39Наблюдать
nfsd: fix heap overflow in NFSv4.0 LOCK replay cache
КритическаяCVSS 9,8Proof of conceptEPSS 1 %
- Без аутентификации
- Ошибки памяти
linux · linux kernel3 апр. 2026 г.
CVE-2025-10681
35Наблюдать
Gardyn Mobile Application and Device Firmware Use Hard-coded Credentials
ВысокаяCVSS 8,8Proof of conceptEPSS 0 %
- Без аутентификации
- Зашитые учётные данные
gardyn · mobile application3 апр. 2026 г.
CVE-2026-25197
37Наблюдать
Gardyn Cloud API Authorization Bypass Through User-Controlled Key
КритическаяCVSS 9,3Proof of conceptEPSS 0 %
- Без аутентификации
- Нарушение контроля доступа (IDOR)
mygardyn · cloud api3 апр. 2026 г.
CVE-2026-28766
36Наблюдать
Gardyn Cloud API Missing Authentication for Critical Function
КритическаяCVSS 9,2Proof of conceptEPSS 0 %
- Без аутентификации
- Обход аутентификации
mygardyn · cloud api3 апр. 2026 г.
CVE-2026-28767
27Наблюдать
Gardyn Cloud API Missing Authentication for Critical Function
СредняяCVSS 6,9Proof of conceptEPSS 0 %
- Без аутентификации
- Обход аутентификации
mygardyn · cloud api3 апр. 2026 г.
CVE-2026-32646
34Наблюдать
Gardyn Cloud API Missing Authentication for Critical Function
ВысокаяCVSS 8,7Proof of conceptEPSS 0 %
- Без аутентификации
- Обход аутентификации
mygardyn · cloud api3 апр. 2026 г.
CVE-2026-32662
27Наблюдать
Gardyn Cloud API Active Debug Code
СредняяCVSS 6,9Proof of conceptEPSS 0 %
- Без аутентификации
mygardyn · cloud api3 апр. 2026 г.
CVE-2026-27833
31Наблюдать
Piwigo: Unauthenticated Information Disclosure via pwg.history.search API
ВысокаяCVSS 7,5Proof of conceptEPSS 1 %
- Без аутентификации
- Нарушение контроля доступа (IDOR)
piwigo · piwigo3 апр. 2026 г.
CVE-2026-28797
34Наблюдать
RAGFlow: Server-Side Template Injection (SSTI) leading to Remote Code Execution (RCE) in Agent "Text Processing" Component
ВысокаяCVSS 8,7Proof of conceptEPSS 0 %
- RCE
- SSTI
infiniflow · ragflow3 апр. 2026 г.
CVE-2026-34980
24Наблюдать
OpenPrinting CUPS: Shared PostScript queue lets anonymous Print-Job requests reach `lp` code execution over the network
СредняяCVSS 6,1Proof of conceptEPSS 0 %
- Без аутентификации
- Обход аутентификации
openprinting · cups3 апр. 2026 г.
CVE-2026-34990
20Наблюдать
OpenPrinting CUPS: Local print admin token disclosure using temporary printers
СредняяCVSS 5,0Proof of conceptEPSS 0 %
- RCE
- Обход аутентификации
- Локальное повышение привилегий
openprinting · cups3 апр. 2026 г.
CVE-2026-35616
72На этой неделе
A improper access control vulnerability in Fortinet FortiClientEMS 7.4.5 through 7.4.6 may allow an unauthenticated attacker to execute unau
КритическаяCVSS 9,8KEVГотовый эксплойтEPSS 9 %
- Без аутентификации
- Нарушение контроля доступа (IDOR)
fortinet · forticlientems3 апр. 2026 г.
CVE-2026-2600
25Наблюдать
ElementsKit Elementor Addons and Templates <= 3.7.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via Simple Tab Widget
СредняяCVSS 6,4Proof of conceptEPSS 0 %
- XSS
roxnor · elementskit elementor addons – advanced widgets & templates addons for elementor4 апр. 2026 г.
CVE-2026-5530
21Наблюдать
Ollama Model Pull API download.go server-side request forgery
СредняяCVSS 5,3Proof of conceptEPSS 0 %
- SSRF
4 апр. 2026 г.
CVE-2026-5555
22Наблюдать
code-projects Concert Ticket Reservation System Parameter login.php sql injection
СредняяCVSS 5,5Proof of conceptEPSS 0 %
- Без аутентификации
- SQL-инъекция
code-projects · concert ticket reservation system5 апр. 2026 г.
CVE-2026-5556
8Наблюдать
badlogic pi-mono loader.ts discoverAndLoadExtensions code injection
НизкаяCVSS 2,1Proof of conceptEPSS 0 %
- RCE
badlogic · pi-mono5 апр. 2026 г.
CVE-2026-5562
23Наблюдать
provectus kafka-ui Endpoint testexecutions validateAccess code injection
СредняяCVSS 5,5Proof of conceptEPSS 3 %
- RCE без входа
provectus · ui5 апр. 2026 г.
CVE-2026-5615
8Наблюдать
givanz Vvvebjs File Upload Endpoint upload.php cross site scripting
НизкаяCVSS 2,1Proof of conceptEPSS 1 %
- Без аутентификации
- XSS
givanz · vvvebjs6 апр. 2026 г.
CVE-2026-26026
28Наблюдать
GLPI has a Server-Side Template Injection via Double-Compilation
ВысокаяCVSS 7,2Proof of conceptEPSS 0 %
- RCE
- SSTI
glpi-project · glpi6 апр. 2026 г.
CVE-2026-34885
34Наблюдать
WordPress Media LIbrary Assistant plugin <= 3.34 - SQL Injection vulnerability
ВысокаяCVSS 8,5Proof of conceptEPSS 1 %
- SQL-инъекция
david lingren · media library assistant6 апр. 2026 г.
CVE-2026-34897
26Наблюдать
WordPress Media LIbrary Assistant plugin <= 3.34 - Cross Site Scripting (XSS) vulnerability
СредняяCVSS 6,5Эксплойта нетEPSS 0 %
- XSS
david lingren · media library assistant6 апр. 2026 г.
CVE-2026-33752
34Наблюдать
Redirect-based SSRF leading to internal network access in curl_cffi (with TLS impersonation bypass)
ВысокаяCVSS 8,6Proof of conceptEPSS 0 %
- Без аутентификации
- SSRF
lexiforest · curl cffi6 апр. 2026 г.
CVE-2026-34444
31Наблюдать
Lupa has a Sandbox escape and RCE due to incomplete attribute_filter enforcement in getattr / setattr
ВысокаяCVSS 7,9Proof of conceptEPSS 0 %
- RCE без входа
- Нарушение контроля доступа (IDOR)
scoder · lupa6 апр. 2026 г.
CVE-2026-34588
34Наблюдать
OpenEXR has a signed 32-bit Overflow in PIZ Decoder Leads to OOB Read/Write
ВысокаяCVSS 8,6Эксплойта нетEPSS 0 %
- Ошибки памяти
openexr · openexr6 апр. 2026 г.
CVE-2026-34753
21Наблюдать
vLLM affected by Server-Side Request Forgery (SSRF) in `download_bytes_from_url `
СредняяCVSS 5,4Proof of conceptEPSS 0 %
- SSRF
vllm · vllm6 апр. 2026 г.
CVE-2026-34940
35Наблюдать
KubeAI has an OS Command Injection via Model URL in Ollama Engine startup probe allows arbitrary command execution in model pods
ВысокаяCVSS 8,8Proof of conceptEPSS 0 %
- RCE
- Инъекция команд
kubeai · kubeai6 апр. 2026 г.
CVE-2026-34975
17Наблюдать
Plunk has a CRLF Email Header Injection in raw MIME message construction allows authenticated API user to inject arbitrary email headers
СредняяCVSS 4,3Proof of conceptEPSS 0 %
useplunk · plunk6 апр. 2026 г.
CVE-2026-34976
40В плане
Dgraph Affected by Pre-Auth Database Overwrite + SSRF + File Read via restoreTenant Missing Authorization
КритическаяCVSS 10,0Proof of conceptEPSS 1 %
- Без аутентификации
- SSRF
- Нарушение контроля доступа (IDOR)
dgraph · dgraph6 апр. 2026 г.
CVE-2026-35029
35Наблюдать
LiteLLM affected by privilege escalation via unrestricted proxy configuration endpoint
ВысокаяCVSS 8,7Proof of conceptEPSS 3 %
- RCE
- Нарушение контроля доступа (IDOR)
litellm · litellm6 апр. 2026 г.
CVE-2026-35030
37Наблюдать
LiteLLM has an authentication bypass via OIDC userinfo cache key collision
КритическаяCVSS 9,4Proof of conceptEPSS 0 %
- Без аутентификации
- Обход аутентификации
litellm · litellm6 апр. 2026 г.
CVE-2026-35037
28Наблюдать
Ech0 affected by unauthenticated SSRF in GetWebsiteTitle allows access to internal services and cloud metadata
ВысокаяCVSS 7,2Proof of conceptEPSS 0 %
- Без аутентификации
- SSRF
ech0 · ech06 апр. 2026 г.
CVE-2026-35045
32Наблюдать
Tandoor Recipes Affected by Private Recipe Exposure and Unauthorized Modification
ВысокаяCVSS 8,1Proof of conceptEPSS 0 %
- Нарушение контроля доступа (IDOR)
tandoor · recipes6 апр. 2026 г.
CVE-2026-0049
24Наблюдать
In onHeaderDecoded of LocalImageResolver.java, there is a possible persistent denial of service due to resource exhaustion.
СредняяCVSS 6,2Proof of conceptEPSS 0 %
- Локальное повышение привилегий
- Отказ в обслуживании
google · android6 апр. 2026 г.
CVE-2025-54328
40В плане
An issue was discovered in SMS in Samsung Mobile Processor, Wearable Processor, and Modem Exynos 980, 990, 850, 1080, 2100, 1280, 2200, 1330
КритическаяCVSS 10,0Proof of conceptEPSS 0 %
- Без аутентификации
- Ошибки памяти
samsung · exynos 980 firmware6 апр. 2026 г.
CVE-2026-5682
11Наблюдать
Meesho Online Shopping App com.meesho.supply endpoint risky encryption
НизкаяCVSS 2,9Proof of conceptEPSS 0 %
- Без аутентификации
meesho · online shopping app6 апр. 2026 г.
CVE-2026-0740
58В плане
Ninja Forms - File Upload <= 3.3.26 - Unauthenticated Arbitrary File Upload
КритическаяCVSS 9,8Proof of conceptEPSS 62 %
- RCE без входа
- Загрузка файлов
saturdaydrive · ninja forms - file uploads7 апр. 2026 г.
CVE-2026-5465
35Наблюдать
Amelia <= 2.1.3 - Insecure Direct Object Reference to Authenticated (Employee+) Privilege Escalation via 'externalId' Parameter
ВысокаяCVSS 8,8Proof of conceptEPSS 0 %
- Нарушение контроля доступа (IDOR)
ameliabooking · booking for appointments and events calendar – amelia7 апр. 2026 г.
CVE-2026-34197
70На этой неделе
Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ: Authenticated users could perform RCE via Jolokia MBeans
ВысокаяCVSS 8,8KEVГотовый эксплойтEPSS 15 %
- RCE
apache · activemq7 апр. 2026 г.
CVE-2026-22666
39Наблюдать
Dolibarr ERP/CRM < 23.0.2 Authenticated RCE via dol_eval_standard()
ВысокаяCVSS 8,6Proof of conceptEPSS 15 %
- RCE
dolibarr · dolibarr erp\/crm7 апр. 2026 г.
CVE-2026-22679
43В плане
Weaver E-cology 10.0 Unauthenticated RCE via dubboApi Debug Endpoint
КритическаяCVSS 9,3Proof of conceptEPSS 20 %
- RCE без входа
- Обход аутентификации
weaver · e-cology7 апр. 2026 г.
CVE-2026-33866
21Наблюдать
Authorization Bypass in MLflow AJAX Endpoint
СредняяCVSS 5,3Эксплойта нетEPSS 0 %
- Нарушение контроля доступа (IDOR)
lfprojects · mlflow7 апр. 2026 г.
CVE-2026-33033
26Наблюдать
Potential denial-of-service vulnerability in MultiPartParser via base64-encoded file upload
СредняяCVSS 6,5Proof of conceptEPSS 0 %
- Отказ в обслуживании
djangoproject · django7 апр. 2026 г.
CVE-2024-36057
40В плане
Koha Library before 23.05.10 fails to sanitize user-controllable filenames prior to unzipping, leading to remote code execution.
КритическаяCVSS 9,8Proof of conceptEPSS 1 %
- RCE без входа
- Инъекция команд
7 апр. 2026 г.
CVE-2026-35492
26Наблюдать
Kedro-Datasets has a path traversal vulnerability in PartitionedDataset allows arbitrary file write
СредняяCVSS 6,5Proof of conceptEPSS 0 %
- Обход пути
kedro-org · kedro-plugins7 апр. 2026 г.
CVE-2026-35517
35Наблюдать
Pi-hole FTL affected by Remote Code Execution (RCE) via dns.upstreams Newline Injection
ВысокаяCVSS 8,8Proof of conceptEPSS 1 %
- RCE
- Инъекция команд
pi-hole · ftldns7 апр. 2026 г.
CVE-2024-36058
39Наблюдать
The Send Basket functionality in Koha Library before 23.05.10 is susceptible to Time-Based SQL Injection because it fails to sanitize the PO
КритическаяCVSS 9,8Proof of conceptEPSS 0 %
- Без аутентификации
- SQL-инъекция
7 апр. 2026 г.
CVE-2026-22683
35Наблюдать
Windmill < 1.615.0 Operator Role Missing Authorization Checks RCE
ВысокаяCVSS 8,7Proof of conceptEPSS 2 %
- RCE
- Нарушение контроля доступа (IDOR)
windmill · windmill7 апр. 2026 г.
CVE-2026-23696
41В плане
Windmill < 1.603.3 File Ownership Handling SQLi RCE
КритическаяCVSS 9,4Proof of conceptEPSS 13 %
- RCE
- SQL-инъекция
windmill labs · windmill ce (community edition)7 апр. 2026 г.
CVE-2026-35580
36Наблюдать
Emissary has GitHub Actions Shell Injection via Workflow Inputs
КритическаяCVSS 9,1Proof of conceptEPSS 0 %
- RCE
- Инъекция команд
nsa · emissary7 апр. 2026 г.
CVE-2026-35584
27Наблюдать
FreeScout has an Unauthenticated IDOR in Open Tracking Endpoint Allows Cross-Conversation Thread Manipulation and Enumeration
СредняяCVSS 6,9Proof of conceptEPSS 0 %
- Без аутентификации
- Обход аутентификации
- Нарушение контроля доступа (IDOR)
freescout · freescout7 апр. 2026 г.
CVE-2026-35585
31Наблюдать
File Browser has a Command Injection via Hook Runner
ВысокаяCVSS 7,5Proof of conceptEPSS 2 %
- RCE
- Инъекция команд
filebrowser · filebrowser7 апр. 2026 г.
CVE-2026-39324
37Наблюдать
Rack::Session::Cookie secrets: decrypt failure fallback enables secretless session forgery and Marshal deserialization
КритическаяCVSS 9,3Proof of conceptEPSS 0 %
- Без аутентификации
- Обход аутентификации
- Десериализация
rack · rack-session7 апр. 2026 г.
CVE-2026-39339
37Наблюдать
ChurchCRM has an API Authentication Bypass
КритическаяCVSS 9,1Proof of conceptEPSS 1 %
- Без аутентификации
- Обход аутентификации
- Нарушение контроля доступа (IDOR)
churchcrm · churchcrm7 апр. 2026 г.
CVE-2025-14857
21Наблюдать
Semtech LR11xx Memory Write Access Control Bypass
СредняяCVSS 5,4Proof of conceptEPSS 0 %
- RCE
semtech · lr11107 апр. 2026 г.
CVE-2025-56015
30Наблюдать
In GenieACS 1.2.13, an unauthenticated access vulnerability exists in the NBI API endpoint.
ВысокаяCVSS 7,5Proof of conceptEPSS 0 %
- Без аутентификации
- Обход аутентификации
- Нарушение контроля доступа (IDOR)
genieacs · genieacs7 апр. 2026 г.
CVE-2025-69515
36Наблюдать
An issue in JXL 9 Inch Car Android Double Din Player Android v12.0 allows attackers to force the infotainment system into accepting falsifie
КритическаяCVSS 9,1Proof of conceptEPSS 0 %
- Без аутентификации
7 апр. 2026 г.
CVE-2026-39363
33Наблюдать
Vite Affected by Arbitrary File Read via Vite Dev Server WebSocket
ВысокаяCVSS 8,2Proof of conceptEPSS 2 %
- Без аутентификации
- Утечка информации
vitejs · vite7 апр. 2026 г.
CVE-2026-39364
32Наблюдать
Vite has a `server.fs.deny` bypass with queries
ВысокаяCVSS 8,2Proof of conceptEPSS 1 %
- Без аутентификации
vitejs · vite7 апр. 2026 г.
CVE-2026-39365
25Наблюдать
Vite has a Path Traversal in Optimized Deps `.map` Handling
СредняяCVSS 6,3Proof of conceptEPSS 0 %
- Без аутентификации
- Обход пути
vitejs · vite7 апр. 2026 г.
CVE-2026-39371
32Наблюдать
RedwoodSDK has a CSRF vulnerability in server function dispatch via GET requests
ВысокаяCVSS 8,1Proof of conceptEPSS 0 %
- Без аутентификации
- CSRF
redwoodjs · redwoodsdk7 апр. 2026 г.
CVE-2026-39376
30Наблюдать
FastFeedParser has an infinite redirect loop DoS via meta-refresh chain
ВысокаяCVSS 7,5Proof of conceptEPSS 0 %
- Без аутентификации
- SSRF
- Отказ в обслуживании
kagi · fastfeedparser7 апр. 2026 г.
CVE-2026-39382
37Наблюдать
dbt has a Command Injection in Reusable Workflow via Unsanitized comment-body Output
КритическаяCVSS 9,3Proof of conceptEPSS 0 %
- RCE без входа
- Инъекция команд
dbt-labs · dbt-core7 апр. 2026 г.
CVE-2026-4631
42В плане
Cockpit: cockpit: unauthenticated remote code execution due to ssh command-line argument injection
КритическаяCVSS 9,8Proof of conceptEPSS 9 %
- RCE без входа
- Инъекция команд
red hat · red hat enterprise linux 107 апр. 2026 г.
CVE-2026-33439
40В плане
Pre-Authentication Remote Code Execution via `jato.clientSession` Deserialization in OpenAM
КритическаяCVSS 9,3Proof of conceptEPSS 8 %
- RCE без входа
- Десериализация
openidentityplatform · openam7 апр. 2026 г.
CVE-2026-4406
18Наблюдать
Gravity Forms <= 2.9.30 - Reflected Cross-Site Scripting via 'form_ids' Parameter
СредняяCVSS 4,7Proof of conceptEPSS 0 %
- Без аутентификации
- XSS
gravity forms · gravity forms7 апр. 2026 г.
CVE-2026-3296
40В плане
Everest Forms <= 3.4.3 - Unauthenticated PHP Object Injection via Form Entry Metadata
КритическаяCVSS 9,8Proof of conceptEPSS 2 %
- Без аутентификации
- Десериализация
wpeverest · everest forms – contact form, payment form, quiz, survey & custom form builder7 апр. 2026 г.
CVE-2026-39636
26Наблюдать
WordPress Livemesh Addons for Elementor plugin <= 9.0 - Cross Site Scripting (XSS) vulnerability
СредняяCVSS 6,5Proof of conceptEPSS 0 %
- XSS
livemesh · livemesh addons for elementor8 апр. 2026 г.
CVE-2026-39676
21Наблюдать
WordPress Download Manager plugin <= 3.3.52 - Broken Access Control vulnerability
СредняяCVSS 5,3Proof of conceptEPSS 0 %
- Без аутентификации
- Нарушение контроля доступа (IDOR)
shahjada · download manager8 апр. 2026 г.
CVE-2026-3396
31Наблюдать
WCAPF – WooCommerce Ajax Product Filter <= 4.2.3 - Unauthenticated Time-Based SQL Injection
ВысокаяCVSS 7,5Proof of conceptEPSS 1 %
- Без аутентификации
- SQL-инъекция
shamimmoeen · wcapf – ajax product filter for woocommerce8 апр. 2026 г.
CVE-2026-33229
34Наблюдать
XWiki Platform affected by remote code execution with script right through unprotected Velocity scripting API
ВысокаяCVSS 8,6Proof of conceptEPSS 1 %
- RCE
- Нарушение контроля доступа (IDOR)
xwiki · xwiki8 апр. 2026 г.
CVE-2026-2942
39Наблюдать
ProSolution WP Client <= 1.9.9 - Unauthenticated Arbitrary File Upload via proSol_fileUploadProcess
КритическаяCVSS 9,8Proof of conceptEPSS 1 %
- RCE без входа
- Загрузка файлов
prosolution · prosolution wp client8 апр. 2026 г.
CVE-2026-34724
34Наблюдать
Zammad has a server-side template injection leading to RCE via AI Agent
ВысокаяCVSS 8,7Proof of conceptEPSS 0 %
- RCE
- SSTI
zammad · zammad8 апр. 2026 г.
CVE-2026-35455
21Наблюдать
immich has Stored XSS via OCR Text in 360° Panorama Viewer
СредняяCVSS 5,4Proof of conceptEPSS 0 %
- RCE
- XSS
futo · immich8 апр. 2026 г.
CVE-2026-23869
30Наблюдать
A denial of service vulnerability exists in React Server Components, affecting the following packages: react-server-dom-parcel, react-server
ВысокаяCVSS 7,5Proof of conceptEPSS 1 %
- Без аутентификации
- Отказ в обслуживании
meta · react-server-dom-turbopack8 апр. 2026 г.