Эксплуатируемые и новые серьёзные CVE: апрель 2026 г.
378 записей · 14 KEV. В порядке публикации.
В списке: записи из каталога CISA KEV, с боевым эксплойтом, с EPSS от 10%, с публичным PoC и датой публикации в последние 3 года, а также записи с CVSS от 7, опубликованные за последние 90 дней. Остальные записи доступны через поиск и страницы производителей.
Границы месяца считаются по UTC, как и дата публикации на странице записи.
Страница 2 из 4
| Срочность | CVE | Уязвимость | Критичность | KEV | EPSS | Опубликовано |
|---|---|---|---|---|---|---|
34Наблюдать | CVE-2026-33229Есть PoC | XWiki Platform affected by remote code execution with script right through unprotected Velocity scripting APIxwiki · xwiki · CWE-862 | Высокая8,6 | — | 0,5 % | 8 апр. 2026 г. |
34Наблюдать | CVE-2026-34724Есть PoC | Zammad has a server-side template injection leading to RCE via AI Agentzammad · zammad · CWE-94 | Высокая8,7 | — | 0,3 % | 8 апр. 2026 г. |
21Наблюдать | CVE-2026-35455Есть PoC | immich has Stored XSS via OCR Text in 360° Panorama Viewerfuto · immich · CWE-79 | Средняя5,4 | — | 0,2 % | 8 апр. 2026 г. |
30Наблюдать | CVE-2026-23869Есть PoC | A denial of service vulnerability exists in React Server Components, affecting the following packages: react-server-dom-parcel, react-servermeta · react-server-dom-turbopack · CWE-400 | Высокая7,5 | — | 1,5 % | 8 апр. 2026 г. |
29Наблюдать | CVE-2026-39883Есть PoC | OpenTelemetry-Go has an incomplete fix for CVE-2026-24051: BSD kenv command not using absolute path enables PATH hijackingopentelemetry · opentelemetry · CWE-426 | Высокая7,3 | — | 0,2 % | 8 апр. 2026 г. |
35Наблюдать | CVE-2026-5865Есть PoC | Type Confusion in V8 in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafgoogle · chrome · CWE-843 | Высокая8,8 | — | 0,5 % | 8 апр. 2026 г. |
34Наблюдать | CVE-2026-5173Есть PoC | Exposed Dangerous Method or Function in GitLabgitlab · gitlab · CWE-749 | Высокая8,5 | — | 0,4 % | 8 апр. 2026 г. |
41В плане | CVE-2026-1830Есть PoC | Quick Playground <= 1.3.1 - Missing Authorization to Unauthenticated Arbitrary File Uploaddavidfcarr · quick playground · CWE-862 | Критическая9,8 | — | 8,0 % | 9 апр. 2026 г. |
40В плане | CVE-2026-5850Эксплойта нет | Totolink A7100RU CGI cstecgi.cgi setVpnPassCfg os command injectiontotolink · a7100ru · CWE-77 | Высокая8,9 | — | 15,3 % | 9 апр. 2026 г. |
39Наблюдать | CVE-2026-5851Эксплойта нет | Totolink A7100RU CGI cstecgi.cgi setUPnPCfg os command injectiontotolink · a7100ru · CWE-77 | Высокая8,9 | — | 13,5 % | 9 апр. 2026 г. |
39Наблюдать | CVE-2026-5852Эксплойта нет | Totolink A7100RU CGI cstecgi.cgi setIptvCfg os command injectiontotolink · a7100ru · CWE-77 | Высокая8,9 | — | 13,7 % | 9 апр. 2026 г. |
39Наблюдать | CVE-2026-5853Эксплойта нет | Totolink A7100RU CGI cstecgi.cgi setIpv6LanCfg os command injectiontotolink · a7100ru · CWE-77 | Высокая8,9 | — | 13,7 % | 9 апр. 2026 г. |
40В плане | CVE-2026-5854Эксплойта нет | Totolink A7100RU CGI cstecgi.cgi setWiFiEasyCfg os command injectiontotolink · a7100ru · CWE-77 | Высокая8,9 | — | 16,8 % | 9 апр. 2026 г. |
33Наблюдать | CVE-2026-35204Есть PoC | Helm has a path traversal in plugin metadata version enables arbitrary file write outside Helm plugin directoryhelm · helm · CWE-22 | Высокая8,4 | — | 0,2 % | 9 апр. 2026 г. |
30Наблюдать | CVE-2026-4660Есть PoC | Go-getter may allow to arbitrary filesystem reads through git operationshashicorp · tooling · CWE-200 | Высокая7,5 | — | 0,5 % | 9 апр. 2026 г. |
40В плане | CVE-2026-39980Готовый эксплойт | OpenCTI affected by RCE via notifier templateciteum · opencti · CWE-1336 | Высокая7,2 | — | 1,3 % | 9 апр. 2026 г. |
97Срочно | CVE-2026-39987Готовый эксплойт | marimo Affected by Pre-Auth Remote Code Execution via Terminal WebSocket Authentication Bypasscoreweave · marimo · CWE-306 | Критическая9,3 | KEV | 99,7 % | 9 апр. 2026 г. |
28Наблюдать | CVE-2026-4112Есть PoC | Improper neutralization of special elements used in an SQL command (“SQL Injection”) in SonicWall SMA1000 series appliances allows a remote sonicwall · sma6210 firmware · CWE-89 | Высокая7,2 | — | 0,6 % | 9 апр. 2026 г. |
28Наблюдать | CVE-2026-4116Эксплойта нет | Improper handling of Unicode encoding in SonicWall SMA1000 series appliances allows a remote authenticated SSLVPN user to bypass Workplace/Csonicwall · sma6210 firmware · CWE-176 | Высокая7,2 | — | 0,4 % | 9 апр. 2026 г. |
31Наблюдать | CVE-2026-29923Есть PoC | The pstrip64.sys driver in EnTech Taiwan PowerStrip <=3.90.736 allows local users to escalate privileges to SYSTEM via a crafted IOCTL requeCWE-269 | Высокая7,8 | — | 0,1 % | 9 апр. 2026 г. |
35Наблюдать | CVE-2026-39983Есть PoC | FTP Command Injection via CRLF in basic-ftppatrickjuchli · basic-ftp · CWE-93 | Высокая8,6 | — | 2,2 % | 9 апр. 2026 г. |
6Наблюдать | CVE-2026-40072Есть PoC | web3.py affected by SSRF via CCIP Read (EIP-3668) OffchainLookup URL handlingapeworx · web3.py · CWE-918 | Низкая1,7 | — | 0,2 % | 9 апр. 2026 г. |
36Наблюдать | CVE-2026-39912Есть PoC | v2board / Xboard Authentication Token Exposure via loginWithMailLinkv2board · v2board · CWE-201 | Критическая9,1 | — | 0,6 % | 9 апр. 2026 г. |
30Наблюдать | CVE-2026-24880Есть PoC | Apache Tomcat: Request smuggling via invalid chunk extensionapache · tomcat · CWE-444 | Высокая7,5 | — | 0,7 % | 9 апр. 2026 г. |
24Наблюдать | CVE-2026-25854Есть PoC | Apache Tomcat: Occasionally open redirectapache · tomcat · CWE-601 | Средняя6,1 | — | 0,5 % | 9 апр. 2026 г. |
36Наблюдать | CVE-2026-29145Есть PoC | Apache Tomcat, Apache Tomcat Native: OCSP checks sometimes soft-fail even when soft-fail is disabledapache · tomcat · CWE-287 | Критическая9,1 | — | 0,7 % | 9 апр. 2026 г. |
33Наблюдать | CVE-2026-29146Есть PoC | Apache Tomcat: EncryptInterceptor vulnerable to padding oracle attack by defaultapache · tomcat · CWE-209 | Высокая7,5 | — | 8,8 % | 9 апр. 2026 г. |
90Срочно | CVE-2026-34486Готовый эксплойт | Apache Tomcat: Fix for CVE-2026-29146 allowed bypass of EncryptInterceptorapache · tomcat · CWE-311 | Высокая7,5 | KEV | 98,5 % | 9 апр. 2026 г. |
21Наблюдать | CVE-2026-40151Есть PoC | PraisonAI Affected by Unauthenticated Information Disclosure of Agent Instructions via /api/agents in AgentOSpraison · praisonai · CWE-200 | Средняя5,3 | — | 0,7 % | 9 апр. 2026 г. |
38Наблюдать | CVE-2026-1115Есть PoC | Stored XSS in parisneo/lollmslollms · lollms · CWE-79 | Критическая9,6 | — | 1,2 % | 10 апр. 2026 г. |
19Наблюдать | CVE-2026-6042Есть PoC | musl libc GB18030 4-byte Decoder iconv.c iconv algorithmic complexitymusl · libc · CWE-404 | Средняя4,8 | — | 0,2 % | 10 апр. 2026 г. |
39Наблюдать | CVE-2026-29861Есть PoC | PHP-MYSQL-User-Login-System v1.0 was discovered to contain a SQL injection vulnerability via the username parameter at login.php.CWE-89 | Критическая9,8 | — | 0,3 % | 10 апр. 2026 г. |
40В плане | CVE-2026-40217Есть PoC | LiteLLM through 2026-04-08 allows remote attackers to execute arbitrary code via bytecode rewriting at the /guardrails/test_custom_code URI.litellm · litellm · CWE-420 | Высокая8,8 | — | 17,0 % | 10 апр. 2026 г. |
20Наблюдать | CVE-2026-40175Есть PoC | Axios has Unrestricted Cloud Metadata Exfiltration via Header Injection Chainaxios · axios · CWE-113 | Средняя4,8 | — | 1,9 % | 10 апр. 2026 г. |
25Наблюдать | CVE-2026-40021Эксплойта нет | Apache Log4net: Silent log event loss in XmlLayout and XmlLayoutSchemaLog4J due to unescaped XML 1.0 forbidden charactersapache · log4net · CWE-116 | Средняя6,3 | — | 0,8 % | 10 апр. 2026 г. |
25Наблюдать | CVE-2026-5724Есть PoC | Missing Authentication on Streaming gRPC Replication Endpointtemporal technologies, inc. · temporal · CWE-306 | Средняя6,3 | — | 0,6 % | 10 апр. 2026 г. |
28Наблюдать | CVE-2026-5053Есть PoC | NoMachine External Control of File Path Arbitrary File Deletion Vulnerabilitynomachine · nomachine · CWE-73 | Высокая7,1 | — | 0,1 % | 10 апр. 2026 г. |
31Наблюдать | CVE-2026-5054Есть PoC | NoMachine External Control of File Path Local Privilege Escalation Vulnerabilitynomachine · nomachine · CWE-73 | Высокая7,8 | — | 0,2 % | 10 апр. 2026 г. |
40В плане | CVE-2026-5059Есть PoC | aws-mcp-server AWS CLI Command Injection Remote Code Execution Vulnerabilityaws-mcp-server · aws-mcp-server · CWE-78 | Критическая9,8 | — | 1,8 % | 10 апр. 2026 г. |
26Наблюдать | CVE-2026-40242Есть PoC | Arcane Unauthenticated SSRF with Conditional Response Reflection in Template Fetch Endpointgetarcane · arcane · CWE-918 | Средняя6,5 | — | 0,6 % | 10 апр. 2026 г. |
66На этой неделе | CVE-2026-34621Готовый эксплойт | Acrobat Reader | Improperly Controlled Modification of Object Prototype Attributes ('Prototype Pollution') (CWE-1321)adobe · acrobat dc · CWE-1321 | Высокая8,6 | KEV | 7,3 % | 11 апр. 2026 г. |
31Наблюдать | CVE-2026-31413Есть PoC | bpf: Fix unsound scalar forking in maybe_fork_scalars() for BPF_ORlinux · linux kernel · CWE-125 | Высокая7,8 | — | 0,2 % | 12 апр. 2026 г. |
8Наблюдать | CVE-2026-6111Есть PoC | FoundationAgents MetaGPT common.py decode_image server-side request forgerydeepwisdom · metagpt · CWE-918 | Низкая2,1 | — | 0,2 % | 12 апр. 2026 г. |
9Наблюдать | CVE-2026-6118Есть PoC | AstrBotDevs AstrBot MCP Endpoint tools.py add_mcp_server command injectionastrbotdevs · astrbot · CWE-74 | Низкая2,1 | — | 2,5 % | 12 апр. 2026 г. |
20Наблюдать | CVE-2026-21003Есть PoC | Improper input validation in data related to network restrictions prior to SMR Apr-2026 Release 1 allows physical attackers to bypass the resamsung · android · CWE-20 | Средняя5,2 | — | 0,1 % | 13 апр. 2026 г. |
18Наблюдать | CVE-2026-21006Есть PoC | Improper access control in Samsung DeX prior to SMR Apr-2026 Release 1 allows physical attackers to access to hidden notification contents.samsung · android · CWE-284 | Средняя4,7 | — | 0,1 % | 13 апр. 2026 г. |
17Наблюдать | CVE-2026-21007Есть PoC | Improper check for exceptional conditions in Device Care prior to SMR Apr-2026 Release 1 allows physical attackers to bypass Knox Guard.samsung · android · CWE-754 | Средняя4,4 | — | 0,1 % | 13 апр. 2026 г. |
20Наблюдать | CVE-2026-21008Есть PoC | Exposure of sensitive information in S Share prior to SMR Apr-2026 Release 1 allows adjacent attacker to access sensitive information.samsung · android · CWE-200 | Средняя5,1 | — | 0,1 % | 13 апр. 2026 г. |
16Наблюдать | CVE-2026-21009Есть PoC | Improper check for exceptional conditions in Recents prior to SMR Apr-2026 Release 1 allows physical attacker to bypass App Pinning.samsung · android · CWE-754 | Средняя4,1 | — | 0,2 % | 13 апр. 2026 г. |
31Наблюдать | CVE-2026-21010Есть PoC | Improper input validation in Retail Mode prior to SMR Apr-2026 Release 1 allows local attackers to trigger privileged functions.samsung · android · CWE-20 | Высокая7,8 | — | 0,1 % | 13 апр. 2026 г. |
21Наблюдать | CVE-2026-21011Есть PoC | Incorrect privilege assignment in Bluetooth in Maintenance mode prior to SMR Apr-2026 Release 1 allows physical attackers to bypass Extend Usamsung · android · CWE-732 | Средняя5,4 | — | 0,1 % | 13 апр. 2026 г. |
27Наблюдать | CVE-2026-21012Есть PoC | External control of file name in AODManager prior to SMR Apr-2026 Release 1 allows privileged local attacker to create file with system privsamsung · android · CWE-73 | Средняя6,8 | — | 0,0 % | 13 апр. 2026 г. |
27Наблюдать | CVE-2026-21013Есть PoC | Incorrect default permission in Galaxy Wearable prior to version 2.2.68.26 allows local attackers to access sensitive information.samsung · galaxy wearable · CWE-276 | Средняя6,9 | — | 0,0 % | 13 апр. 2026 г. |
20Наблюдать | CVE-2026-21014Есть PoC | Improper access control in Samsung Camera prior to version 16.5.00.28 allows local attacker to access location data.samsung · camera · CWE-284 | Средняя5,1 | — | 0,0 % | 13 апр. 2026 г. |
38Наблюдать | CVE-2026-4810Есть PoC | Remote Code Execution in Google Agent Development Kit (ADK)google cloud · agent development kit (adk) · CWE-306 | Критическая9,3 | — | 2,1 % | 13 апр. 2026 г. |
24Наблюдать | CVE-2026-29628Есть PoC | A stack overflow in the experimental/tinyobj_loader_opt.h file of tinyobjloader commit d56555b allows attackers to cause a Denial of ServiceCWE-121 | Средняя6,2 | — | 0,1 % | 13 апр. 2026 г. |
32Наблюдать | CVE-2026-31281Есть PoC | Totara LMS v19.1.5 and before is vulnerable to HTML Injection.CWE-79 | Высокая8,0 | — | 0,3 % | 13 апр. 2026 г. |
39Наблюдать | CVE-2026-31282Есть PoC | Totara LMS v19.1.5 and before is vulnerable to Incorrect Access Control.CWE-284 | Критическая9,8 | — | 0,3 % | 13 апр. 2026 г. |
39Наблюдать | CVE-2026-31283Есть PoC | In Totara LMS v19.1.5 and before, the forgot password API does not implement rate limiting for the target email address.CWE-770 | Критическая9,8 | — | 0,4 % | 13 апр. 2026 г. |
22Наблюдать | CVE-2026-6182Есть PoC | code-projects Simple Content Management System login.php sql injectioncode-projects · simple content management system · CWE-74 | Средняя5,5 | — | 0,3 % | 13 апр. 2026 г. |
22Наблюдать | CVE-2026-6183Есть PoC | code-projects Simple Content Management System index.php sql injectioncode-projects · simple content management system · CWE-74 | Средняя5,5 | — | 0,3 % | 13 апр. 2026 г. |
39Наблюдать | CVE-2026-31048Есть PoC | An issue in the <code>pickle</code> protocol of Pyro v3.x allows attackers to execute arbitrary code via supplying a crafted pickled string CWE-94 | Критическая9,8 | — | 0,5 % | 13 апр. 2026 г. |
18Наблюдать | CVE-2026-33534Есть PoC | EspoCRM has authenticated SSRF via internal-host validation bypass using alternative IPv4 notationespocrm · espocrm · CWE-918 | Средняя4,3 | — | 1,9 % | 13 апр. 2026 г. |
21Наблюдать | CVE-2026-33657Есть PoC | EspoCRM: Stored HTML injection in email notifications about stream notes via unescaped post fieldespocrm · espocrm · CWE-80 | Средняя5,4 | — | 0,1 % | 13 апр. 2026 г. |
7Наблюдать | CVE-2026-6184Есть PoC | code-projects Simple Content Management System welcome.php cross site scriptingcode-projects · simple content management system · CWE-79 | Низкая1,9 | — | 0,3 % | 13 апр. 2026 г. |
26Наблюдать | CVE-2026-31280Есть PoC | An issue in the Bluetooth RFCOMM service of Parani M10 Motorcycle Intercom v2.1.3 allows unauthorized attackers to cause a Denial of ServiceCWE-120 | Средняя6,5 | — | 0,4 % | 13 апр. 2026 г. |
23Наблюдать | CVE-2026-33555Есть PoC | An issue was discovered in HAProxy before 3.3.6.haproxy · haproxy · CWE-130 | Средняя5,8 | — | 0,3 % | 13 апр. 2026 г. |
39Наблюдать | CVE-2026-6195Эксплойта нет | Totolink A7100RU CGI cstecgi.cgi setPasswordCfg os command injectiontotolink · a7100ru · CWE-77 | Высокая8,9 | — | 13,7 % | 13 апр. 2026 г. |
24Наблюдать | CVE-2026-6203Есть PoC | User Registration & Membership <= 5.1.4 - Unauthenticated Open Redirect via 'redirect_to_on_logout' Parameterwpeverest · user registration & membership – free & paid memberships, subscriptions, content restriction, user profile, custom user registration & login builder · CWE-601 | Средняя6,1 | — | 0,6 % | 13 апр. 2026 г. |
36Наблюдать | CVE-2026-29955Есть PoC | The `/registercrd` endpoint in KubePlus 4.14 in the kubeconfiggenerator component is vulnerable to command injection.cloudark · kubeplus · CWE-94 | Высокая8,8 | — | 2,2 % | 13 апр. 2026 г. |
8Наблюдать | CVE-2026-6201Есть PoC | CodeAstro Online Job Portal Delete Job Posting job-delete.php access controlcodeastro · online job portal · CWE-266 | Низкая2,1 | — | 0,3 % | 13 апр. 2026 г. |
30Наблюдать | CVE-2026-4352Эксплойта нет | JetEngine <= 3.8.6.1 - Unauthenticated SQL Injection via '_cct_search' Parametercrocoblock · jetengine · CWE-89 | Высокая7,5 | — | 0,3 % | 13 апр. 2026 г. |
28Наблюдать | CVE-2026-4786Эксплойта нет | Incomplete mitigation of CVE-2026-4519, %action expansion for command injection to webbrowser.open()python software foundation · cpython · CWE-77 | Высокая7,0 | — | 0,2 % | 13 апр. 2026 г. |
28Наблюдать | CVE-2026-6227Есть PoC | BackWPup <= 5.6.6 - Authenticated (Administrator+) Local File Inclusion via 'block_name' Parameterwp_media · backwpup – wordpress backup & restore plugin · CWE-22 | Высокая7,2 | — | 1,3 % | 13 апр. 2026 г. |
36Наблюдать | CVE-2026-31908Есть PoC | Apache APISIX: forward auth plugin allows header injectionapache · apisix · CWE-75 | Критическая9,1 | — | 0,5 % | 14 апр. 2026 г. |
36Наблюдать | CVE-2026-2332Есть PoC | HTTP Request Smuggling via Chunked Extension Quoted-String Parsingeclipse · jetty · CWE-444 | Критическая9,1 | — | 1,3 % | 14 апр. 2026 г. |
40В плане | CVE-2026-38526Есть PoC | An authenticated arbitrary file upload vulnerability in the /admin/tinymce/upload endpoint of Webkul Krayin CRM v2.2.x allows attackers to eCWE-434 | Критическая9,9 | — | 4,1 % | 14 апр. 2026 г. |
27Наблюдать | CVE-2026-32223Есть PoC | Windows USB Printing Stack (usbprint.sys) Elevation of Privilege Vulnerabilitymicrosoft · windows 11 24h2 · CWE-122 | Средняя6,8 | — | 0,5 % | 14 апр. 2026 г. |
92Срочно | CVE-2026-33824Готовый эксплойт | Windows Internet Key Exchange (IKE) Service Extensions Remote Code Execution Vulnerabilitymicrosoft · windows 10 1607 · CWE-415 | Критическая9,8 | KEV | 77,3 % | 14 апр. 2026 г. |
63На этой неделе | CVE-2026-33825Готовый эксплойт | Microsoft Defender Elevation of Privilege Vulnerabilitymicrosoft · defender antimalware platform · CWE-1220 | Высокая7,8 | KEV | 6,8 % | 14 апр. 2026 г. |
32Наблюдать | CVE-2026-33826Есть PoC | Windows Active Directory Remote Code Execution Vulnerabilitymicrosoft · windows server 2012 · CWE-20 | Высокая8,0 | — | 0,5 % | 14 апр. 2026 г. |
24Наблюдать | CVE-2025-69993Есть PoC | Leaflet versions up to and including 1.9.4 are vulnerable to Cross-Site Scripting (XSS) via the bindPopup() method.leafletjs · leaflet · CWE-79 | Средняя6,1 | — | 0,1 % | 14 апр. 2026 г. |
26Наблюдать | CVE-2026-30480Есть PoC | A Local File Inclusion (LFI) vulnerability in the NFSen module (nfsen.inc.php) of LibreNMS 22.11.0-23-gd091788f2 allows authenticated attackCWE-98 | Средняя6,5 | — | 0,2 % | 14 апр. 2026 г. |
56В плане | CVE-2025-61624Готовый эксплойт | An Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') [CWE-22] vulnerability in Fortinet FortiOS 7.6.0 through 7fortinet · fortios · CWE-22 | Средняя6,5 | KEV | 1,3 % | 14 апр. 2026 г. |
32Наблюдать | CVE-2026-38532Эксплойта нет | A Broken Object-Level Authorization (BOLA) in the /Contact/Persons/PersonController.php endpoint of Webkul Krayin CRM v2.2.x allows authentiwebkul · krayin crm · CWE-639 | Высокая8,1 | — | 0,3 % | 14 апр. 2026 г. |
97Срочно | CVE-2026-39808Готовый эксплойт | A improper neutralization of special elements used in an os command ('os command injection') vulnerability in Fortinet FortiSandbox 4.4.0 thfortinet · fortisandbox · CWE-78 | Критическая9,8 | KEV | 93,1 % | 14 апр. 2026 г. |
46В плане | CVE-2026-39813Есть PoC | A path traversal: '../filedir' vulnerability in Fortinet FortiSandbox 5.0.0 through 5.0.5, FortiSandbox 4.4.0 through 4.4.8 may allow attackfortinet · fortisandbox · CWE-24 | Критическая9,8 | — | 22,5 % | 14 апр. 2026 г. |
28Наблюдать | CVE-2026-33715Есть PoC | Chamilo LMS has Unauthenticated SSRF and Open Email Relay via install.ajax.php test_mailer actionchamilo · chamilo lms · CWE-306 | Высокая7,2 | — | 0,2 % | 14 апр. 2026 г. |
34Наблюдать | CVE-2026-34160Есть PoC | Chamilo LMS: Unauthenticated SSRF via PENS Plugin allows attacker to probe internal network and reach cloud metadata serviceschamilo · chamilo lms · CWE-306 | Высокая8,6 | — | 0,3 % | 14 апр. 2026 г. |
27Наблюдать | CVE-2026-22692Есть PoC | October CMS: Twig Sandbox Bypass via Collection Methodsoctobercms · october · CWE-284 | Средняя6,8 | — | 0,4 % | 14 апр. 2026 г. |
42В плане | CVE-2026-27305Эксплойта нет | ColdFusion | Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') (CWE-22)adobe · coldfusion · CWE-22 | Высокая8,6 | — | 26,6 % | 14 апр. 2026 г. |
17Наблюдать | CVE-2026-33146Есть PoC | Docmost's Public Share Search Exposes Metadata of Restricted Childrendocmost · docmost · CWE-285 | Средняя4,3 | — | 0,2 % | 14 апр. 2026 г. |
18Наблюдать | CVE-2026-33193Эксплойта нет | Docmost vulnerable to stored XSS via MIME type spoofingdocmost · docmost · CWE-79 | Средняя4,6 | — | 0,1 % | 14 апр. 2026 г. |
21Наблюдать | CVE-2026-34212Есть PoC | Docmost page content has stored XSS via unsanitized attachment URLsdocmost · docmost · CWE-79 | Средняя5,4 | — | 0,2 % | 14 апр. 2026 г. |
21Наблюдать | CVE-2026-34213Есть PoC | Docmost has cross-page attachment overwrite via flawed attachmentId overwrite validationdocmost · docmost · CWE-639 | Средняя5,4 | — | 0,2 % | 14 апр. 2026 г. |
36Наблюдать | CVE-2026-35196Есть PoC | Chamilo LMS has OS Command Injection via export_all_certificates actionchamilo · chamilo lms · CWE-78 | Высокая8,8 | — | 1,7 % | 14 апр. 2026 г. |
27Наблюдать | CVE-2026-20945Эксплойта нет | Microsoft SharePoint Server Spoofing Vulnerabilitymicrosoft · sharepoint server · CWE-79 | Средняя5,4 | — | 19,7 % | 14 апр. 2026 г. |
31Наблюдать | CVE-2026-26179Есть PoC | Windows Kernel Elevation of Privilege Vulnerabilitymicrosoft · windows 11 23h2 · CWE-415 | Высокая7,8 | — | 0,4 % | 14 апр. 2026 г. |
32Наблюдать | CVE-2026-27912Есть PoC | Windows Kerberos Elevation of Privilege Vulnerabilitymicrosoft · windows server 2012 · CWE-285 | Высокая8,0 | — | 0,5 % | 14 апр. 2026 г. |
69На этой неделе | CVE-2026-32201Готовый эксплойт | Microsoft SharePoint Server Spoofing Vulnerabilitymicrosoft · sharepoint server · CWE-20 | Средняя6,5 | KEV | 43,9 % | 14 апр. 2026 г. |
- CVE-2026-3322934Наблюдать
XWiki Platform affected by remote code execution with script right through unprotected Velocity scripting API
ВысокаяCVSS 8,6Есть PoCEPSS 0 %xwiki · xwiki8 апр. 2026 г.
- CVE-2026-3472434Наблюдать
Zammad has a server-side template injection leading to RCE via AI Agent
ВысокаяCVSS 8,7Есть PoCEPSS 0 %zammad · zammad8 апр. 2026 г.
- CVE-2026-3545521Наблюдать
immich has Stored XSS via OCR Text in 360° Panorama Viewer
СредняяCVSS 5,4Есть PoCEPSS 0 %futo · immich8 апр. 2026 г.
- CVE-2026-2386930Наблюдать
A denial of service vulnerability exists in React Server Components, affecting the following packages: react-server-dom-parcel, react-server
ВысокаяCVSS 7,5Есть PoCEPSS 1 %meta · react-server-dom-turbopack8 апр. 2026 г.
- CVE-2026-3988329Наблюдать
OpenTelemetry-Go has an incomplete fix for CVE-2026-24051: BSD kenv command not using absolute path enables PATH hijacking
ВысокаяCVSS 7,3Есть PoCEPSS 0 %opentelemetry · opentelemetry8 апр. 2026 г.
- CVE-2026-586535Наблюдать
Type Confusion in V8 in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to execute arbitrary code inside a sandbox via a craf
ВысокаяCVSS 8,8Есть PoCEPSS 0 %google · chrome8 апр. 2026 г.
- CVE-2026-517334Наблюдать
Exposed Dangerous Method or Function in GitLab
ВысокаяCVSS 8,5Есть PoCEPSS 0 %gitlab · gitlab8 апр. 2026 г.
- CVE-2026-183041В плане
Quick Playground <= 1.3.1 - Missing Authorization to Unauthenticated Arbitrary File Upload
КритическаяCVSS 9,8Есть PoCEPSS 8 %davidfcarr · quick playground9 апр. 2026 г.
- CVE-2026-585040В плане
Totolink A7100RU CGI cstecgi.cgi setVpnPassCfg os command injection
ВысокаяCVSS 8,9Эксплойта нетEPSS 15 %totolink · a7100ru9 апр. 2026 г.
- CVE-2026-585139Наблюдать
Totolink A7100RU CGI cstecgi.cgi setUPnPCfg os command injection
ВысокаяCVSS 8,9Эксплойта нетEPSS 13 %totolink · a7100ru9 апр. 2026 г.
- CVE-2026-585239Наблюдать
Totolink A7100RU CGI cstecgi.cgi setIptvCfg os command injection
ВысокаяCVSS 8,9Эксплойта нетEPSS 13 %totolink · a7100ru9 апр. 2026 г.
- CVE-2026-585339Наблюдать
Totolink A7100RU CGI cstecgi.cgi setIpv6LanCfg os command injection
ВысокаяCVSS 8,9Эксплойта нетEPSS 13 %totolink · a7100ru9 апр. 2026 г.
- CVE-2026-585440В плане
Totolink A7100RU CGI cstecgi.cgi setWiFiEasyCfg os command injection
ВысокаяCVSS 8,9Эксплойта нетEPSS 16 %totolink · a7100ru9 апр. 2026 г.
- CVE-2026-3520433Наблюдать
Helm has a path traversal in plugin metadata version enables arbitrary file write outside Helm plugin directory
ВысокаяCVSS 8,4Есть PoCEPSS 0 %helm · helm9 апр. 2026 г.
- CVE-2026-466030Наблюдать
Go-getter may allow to arbitrary filesystem reads through git operations
ВысокаяCVSS 7,5Есть PoCEPSS 0 %hashicorp · tooling9 апр. 2026 г.
- CVE-2026-3998040В плане
OpenCTI affected by RCE via notifier template
ВысокаяCVSS 7,2Готовый эксплойтEPSS 1 %citeum · opencti9 апр. 2026 г.
- CVE-2026-3998797Срочно
marimo Affected by Pre-Auth Remote Code Execution via Terminal WebSocket Authentication Bypass
КритическаяCVSS 9,3KEVГотовый эксплойтEPSS 99 %coreweave · marimo9 апр. 2026 г.
- CVE-2026-411228Наблюдать
Improper neutralization of special elements used in an SQL command (“SQL Injection”) in SonicWall SMA1000 series appliances allows a remote
ВысокаяCVSS 7,2Есть PoCEPSS 0 %sonicwall · sma6210 firmware9 апр. 2026 г.
- CVE-2026-411628Наблюдать
Improper handling of Unicode encoding in SonicWall SMA1000 series appliances allows a remote authenticated SSLVPN user to bypass Workplace/C
ВысокаяCVSS 7,2Эксплойта нетEPSS 0 %sonicwall · sma6210 firmware9 апр. 2026 г.
- CVE-2026-2992331Наблюдать
The pstrip64.sys driver in EnTech Taiwan PowerStrip <=3.90.736 allows local users to escalate privileges to SYSTEM via a crafted IOCTL reque
ВысокаяCVSS 7,8Есть PoCEPSS 0 %9 апр. 2026 г.
- CVE-2026-3998335Наблюдать
FTP Command Injection via CRLF in basic-ftp
ВысокаяCVSS 8,6Есть PoCEPSS 2 %patrickjuchli · basic-ftp9 апр. 2026 г.
- CVE-2026-400726Наблюдать
web3.py affected by SSRF via CCIP Read (EIP-3668) OffchainLookup URL handling
НизкаяCVSS 1,7Есть PoCEPSS 0 %apeworx · web3.py9 апр. 2026 г.
- CVE-2026-3991236Наблюдать
v2board / Xboard Authentication Token Exposure via loginWithMailLink
КритическаяCVSS 9,1Есть PoCEPSS 0 %v2board · v2board9 апр. 2026 г.
- CVE-2026-2488030Наблюдать
Apache Tomcat: Request smuggling via invalid chunk extension
ВысокаяCVSS 7,5Есть PoCEPSS 0 %apache · tomcat9 апр. 2026 г.
- CVE-2026-2585424Наблюдать
Apache Tomcat: Occasionally open redirect
СредняяCVSS 6,1Есть PoCEPSS 0 %apache · tomcat9 апр. 2026 г.
- CVE-2026-2914536Наблюдать
Apache Tomcat, Apache Tomcat Native: OCSP checks sometimes soft-fail even when soft-fail is disabled
КритическаяCVSS 9,1Есть PoCEPSS 0 %apache · tomcat9 апр. 2026 г.
- CVE-2026-2914633Наблюдать
Apache Tomcat: EncryptInterceptor vulnerable to padding oracle attack by default
ВысокаяCVSS 7,5Есть PoCEPSS 8 %apache · tomcat9 апр. 2026 г.
- CVE-2026-3448690Срочно
Apache Tomcat: Fix for CVE-2026-29146 allowed bypass of EncryptInterceptor
ВысокаяCVSS 7,5KEVГотовый эксплойтEPSS 98 %apache · tomcat9 апр. 2026 г.
- CVE-2026-4015121Наблюдать
PraisonAI Affected by Unauthenticated Information Disclosure of Agent Instructions via /api/agents in AgentOS
СредняяCVSS 5,3Есть PoCEPSS 0 %praison · praisonai9 апр. 2026 г.
- CVE-2026-111538Наблюдать
Stored XSS in parisneo/lollms
КритическаяCVSS 9,6Есть PoCEPSS 1 %lollms · lollms10 апр. 2026 г.
- CVE-2026-604219Наблюдать
musl libc GB18030 4-byte Decoder iconv.c iconv algorithmic complexity
СредняяCVSS 4,8Есть PoCEPSS 0 %musl · libc10 апр. 2026 г.
- CVE-2026-2986139Наблюдать
PHP-MYSQL-User-Login-System v1.0 was discovered to contain a SQL injection vulnerability via the username parameter at login.php.
КритическаяCVSS 9,8Есть PoCEPSS 0 %10 апр. 2026 г.
- CVE-2026-4021740В плане
LiteLLM through 2026-04-08 allows remote attackers to execute arbitrary code via bytecode rewriting at the /guardrails/test_custom_code URI.
ВысокаяCVSS 8,8Есть PoCEPSS 17 %litellm · litellm10 апр. 2026 г.
- CVE-2026-4017520Наблюдать
Axios has Unrestricted Cloud Metadata Exfiltration via Header Injection Chain
СредняяCVSS 4,8Есть PoCEPSS 1 %axios · axios10 апр. 2026 г.
- CVE-2026-4002125Наблюдать
Apache Log4net: Silent log event loss in XmlLayout and XmlLayoutSchemaLog4J due to unescaped XML 1.0 forbidden characters
СредняяCVSS 6,3Эксплойта нетEPSS 0 %apache · log4net10 апр. 2026 г.
- CVE-2026-572425Наблюдать
Missing Authentication on Streaming gRPC Replication Endpoint
СредняяCVSS 6,3Есть PoCEPSS 0 %temporal technologies, inc. · temporal10 апр. 2026 г.
- CVE-2026-505328Наблюдать
NoMachine External Control of File Path Arbitrary File Deletion Vulnerability
ВысокаяCVSS 7,1Есть PoCEPSS 0 %nomachine · nomachine10 апр. 2026 г.
- CVE-2026-505431Наблюдать
NoMachine External Control of File Path Local Privilege Escalation Vulnerability
ВысокаяCVSS 7,8Есть PoCEPSS 0 %nomachine · nomachine10 апр. 2026 г.
- CVE-2026-505940В плане
aws-mcp-server AWS CLI Command Injection Remote Code Execution Vulnerability
КритическаяCVSS 9,8Есть PoCEPSS 1 %aws-mcp-server · aws-mcp-server10 апр. 2026 г.
- CVE-2026-4024226Наблюдать
Arcane Unauthenticated SSRF with Conditional Response Reflection in Template Fetch Endpoint
СредняяCVSS 6,5Есть PoCEPSS 0 %getarcane · arcane10 апр. 2026 г.
- CVE-2026-3462166На этой неделе
Acrobat Reader | Improperly Controlled Modification of Object Prototype Attributes ('Prototype Pollution') (CWE-1321)
ВысокаяCVSS 8,6KEVГотовый эксплойтEPSS 7 %adobe · acrobat dc11 апр. 2026 г.
- CVE-2026-3141331Наблюдать
bpf: Fix unsound scalar forking in maybe_fork_scalars() for BPF_OR
ВысокаяCVSS 7,8Есть PoCEPSS 0 %linux · linux kernel12 апр. 2026 г.
- CVE-2026-61118Наблюдать
FoundationAgents MetaGPT common.py decode_image server-side request forgery
НизкаяCVSS 2,1Есть PoCEPSS 0 %deepwisdom · metagpt12 апр. 2026 г.
- CVE-2026-61189Наблюдать
AstrBotDevs AstrBot MCP Endpoint tools.py add_mcp_server command injection
НизкаяCVSS 2,1Есть PoCEPSS 2 %astrbotdevs · astrbot12 апр. 2026 г.
- CVE-2026-2100320Наблюдать
Improper input validation in data related to network restrictions prior to SMR Apr-2026 Release 1 allows physical attackers to bypass the re
СредняяCVSS 5,2Есть PoCEPSS 0 %samsung · android13 апр. 2026 г.
- CVE-2026-2100618Наблюдать
Improper access control in Samsung DeX prior to SMR Apr-2026 Release 1 allows physical attackers to access to hidden notification contents.
СредняяCVSS 4,7Есть PoCEPSS 0 %samsung · android13 апр. 2026 г.
- CVE-2026-2100717Наблюдать
Improper check for exceptional conditions in Device Care prior to SMR Apr-2026 Release 1 allows physical attackers to bypass Knox Guard.
СредняяCVSS 4,4Есть PoCEPSS 0 %samsung · android13 апр. 2026 г.
- CVE-2026-2100820Наблюдать
Exposure of sensitive information in S Share prior to SMR Apr-2026 Release 1 allows adjacent attacker to access sensitive information.
СредняяCVSS 5,1Есть PoCEPSS 0 %samsung · android13 апр. 2026 г.
- CVE-2026-2100916Наблюдать
Improper check for exceptional conditions in Recents prior to SMR Apr-2026 Release 1 allows physical attacker to bypass App Pinning.
СредняяCVSS 4,1Есть PoCEPSS 0 %samsung · android13 апр. 2026 г.
- CVE-2026-2101031Наблюдать
Improper input validation in Retail Mode prior to SMR Apr-2026 Release 1 allows local attackers to trigger privileged functions.
ВысокаяCVSS 7,8Есть PoCEPSS 0 %samsung · android13 апр. 2026 г.
- CVE-2026-2101121Наблюдать
Incorrect privilege assignment in Bluetooth in Maintenance mode prior to SMR Apr-2026 Release 1 allows physical attackers to bypass Extend U
СредняяCVSS 5,4Есть PoCEPSS 0 %samsung · android13 апр. 2026 г.
- CVE-2026-2101227Наблюдать
External control of file name in AODManager prior to SMR Apr-2026 Release 1 allows privileged local attacker to create file with system priv
СредняяCVSS 6,8Есть PoCEPSS 0 %samsung · android13 апр. 2026 г.
- CVE-2026-2101327Наблюдать
Incorrect default permission in Galaxy Wearable prior to version 2.2.68.26 allows local attackers to access sensitive information.
СредняяCVSS 6,9Есть PoCEPSS 0 %samsung · galaxy wearable13 апр. 2026 г.
- CVE-2026-2101420Наблюдать
Improper access control in Samsung Camera prior to version 16.5.00.28 allows local attacker to access location data.
СредняяCVSS 5,1Есть PoCEPSS 0 %samsung · camera13 апр. 2026 г.
- CVE-2026-481038Наблюдать
Remote Code Execution in Google Agent Development Kit (ADK)
КритическаяCVSS 9,3Есть PoCEPSS 2 %google cloud · agent development kit (adk)13 апр. 2026 г.
- CVE-2026-2962824Наблюдать
A stack overflow in the experimental/tinyobj_loader_opt.h file of tinyobjloader commit d56555b allows attackers to cause a Denial of Service
СредняяCVSS 6,2Есть PoCEPSS 0 %13 апр. 2026 г.
- CVE-2026-3128132Наблюдать
Totara LMS v19.1.5 and before is vulnerable to HTML Injection.
ВысокаяCVSS 8,0Есть PoCEPSS 0 %13 апр. 2026 г.
- CVE-2026-3128239Наблюдать
Totara LMS v19.1.5 and before is vulnerable to Incorrect Access Control.
КритическаяCVSS 9,8Есть PoCEPSS 0 %13 апр. 2026 г.
- CVE-2026-3128339Наблюдать
In Totara LMS v19.1.5 and before, the forgot password API does not implement rate limiting for the target email address.
КритическаяCVSS 9,8Есть PoCEPSS 0 %13 апр. 2026 г.
- CVE-2026-618222Наблюдать
code-projects Simple Content Management System login.php sql injection
СредняяCVSS 5,5Есть PoCEPSS 0 %code-projects · simple content management system13 апр. 2026 г.
- CVE-2026-618322Наблюдать
code-projects Simple Content Management System index.php sql injection
СредняяCVSS 5,5Есть PoCEPSS 0 %code-projects · simple content management system13 апр. 2026 г.
- CVE-2026-3104839Наблюдать
An issue in the <code>pickle</code> protocol of Pyro v3.x allows attackers to execute arbitrary code via supplying a crafted pickled string
КритическаяCVSS 9,8Есть PoCEPSS 0 %13 апр. 2026 г.
- CVE-2026-3353418Наблюдать
EspoCRM has authenticated SSRF via internal-host validation bypass using alternative IPv4 notation
СредняяCVSS 4,3Есть PoCEPSS 1 %espocrm · espocrm13 апр. 2026 г.
- CVE-2026-3365721Наблюдать
EspoCRM: Stored HTML injection in email notifications about stream notes via unescaped post field
СредняяCVSS 5,4Есть PoCEPSS 0 %espocrm · espocrm13 апр. 2026 г.
- CVE-2026-61847Наблюдать
code-projects Simple Content Management System welcome.php cross site scripting
НизкаяCVSS 1,9Есть PoCEPSS 0 %code-projects · simple content management system13 апр. 2026 г.
- CVE-2026-3128026Наблюдать
An issue in the Bluetooth RFCOMM service of Parani M10 Motorcycle Intercom v2.1.3 allows unauthorized attackers to cause a Denial of Service
СредняяCVSS 6,5Есть PoCEPSS 0 %13 апр. 2026 г.
- CVE-2026-3355523Наблюдать
An issue was discovered in HAProxy before 3.3.6.
СредняяCVSS 5,8Есть PoCEPSS 0 %haproxy · haproxy13 апр. 2026 г.
- CVE-2026-619539Наблюдать
Totolink A7100RU CGI cstecgi.cgi setPasswordCfg os command injection
ВысокаяCVSS 8,9Эксплойта нетEPSS 13 %totolink · a7100ru13 апр. 2026 г.
- CVE-2026-620324Наблюдать
User Registration & Membership <= 5.1.4 - Unauthenticated Open Redirect via 'redirect_to_on_logout' Parameter
СредняяCVSS 6,1Есть PoCEPSS 0 %wpeverest · user registration & membership – free & paid memberships, subscriptions, content restriction, user profile, custom user registration & login builder13 апр. 2026 г.
- CVE-2026-2995536Наблюдать
The `/registercrd` endpoint in KubePlus 4.14 in the kubeconfiggenerator component is vulnerable to command injection.
ВысокаяCVSS 8,8Есть PoCEPSS 2 %cloudark · kubeplus13 апр. 2026 г.
- CVE-2026-62018Наблюдать
CodeAstro Online Job Portal Delete Job Posting job-delete.php access control
НизкаяCVSS 2,1Есть PoCEPSS 0 %codeastro · online job portal13 апр. 2026 г.
- CVE-2026-435230Наблюдать
JetEngine <= 3.8.6.1 - Unauthenticated SQL Injection via '_cct_search' Parameter
ВысокаяCVSS 7,5Эксплойта нетEPSS 0 %crocoblock · jetengine13 апр. 2026 г.
- CVE-2026-478628Наблюдать
Incomplete mitigation of CVE-2026-4519, %action expansion for command injection to webbrowser.open()
ВысокаяCVSS 7,0Эксплойта нетEPSS 0 %python software foundation · cpython13 апр. 2026 г.
- CVE-2026-622728Наблюдать
BackWPup <= 5.6.6 - Authenticated (Administrator+) Local File Inclusion via 'block_name' Parameter
ВысокаяCVSS 7,2Есть PoCEPSS 1 %wp_media · backwpup – wordpress backup & restore plugin13 апр. 2026 г.
- CVE-2026-3190836Наблюдать
Apache APISIX: forward auth plugin allows header injection
КритическаяCVSS 9,1Есть PoCEPSS 0 %apache · apisix14 апр. 2026 г.
- CVE-2026-233236Наблюдать
HTTP Request Smuggling via Chunked Extension Quoted-String Parsing
КритическаяCVSS 9,1Есть PoCEPSS 1 %eclipse · jetty14 апр. 2026 г.
- CVE-2026-3852640В плане
An authenticated arbitrary file upload vulnerability in the /admin/tinymce/upload endpoint of Webkul Krayin CRM v2.2.x allows attackers to e
КритическаяCVSS 9,9Есть PoCEPSS 4 %14 апр. 2026 г.
- CVE-2026-3222327Наблюдать
Windows USB Printing Stack (usbprint.sys) Elevation of Privilege Vulnerability
СредняяCVSS 6,8Есть PoCEPSS 0 %microsoft · windows 11 24h214 апр. 2026 г.
- CVE-2026-3382492Срочно
Windows Internet Key Exchange (IKE) Service Extensions Remote Code Execution Vulnerability
КритическаяCVSS 9,8KEVГотовый эксплойтEPSS 77 %microsoft · windows 10 160714 апр. 2026 г.
- CVE-2026-3382563На этой неделе
Microsoft Defender Elevation of Privilege Vulnerability
ВысокаяCVSS 7,8KEVГотовый эксплойтEPSS 6 %microsoft · defender antimalware platform14 апр. 2026 г.
- CVE-2026-3382632Наблюдать
Windows Active Directory Remote Code Execution Vulnerability
ВысокаяCVSS 8,0Есть PoCEPSS 0 %microsoft · windows server 201214 апр. 2026 г.
- CVE-2025-6999324Наблюдать
Leaflet versions up to and including 1.9.4 are vulnerable to Cross-Site Scripting (XSS) via the bindPopup() method.
СредняяCVSS 6,1Есть PoCEPSS 0 %leafletjs · leaflet14 апр. 2026 г.
- CVE-2026-3048026Наблюдать
A Local File Inclusion (LFI) vulnerability in the NFSen module (nfsen.inc.php) of LibreNMS 22.11.0-23-gd091788f2 allows authenticated attack
СредняяCVSS 6,5Есть PoCEPSS 0 %14 апр. 2026 г.
- CVE-2025-6162456В плане
An Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') [CWE-22] vulnerability in Fortinet FortiOS 7.6.0 through 7
СредняяCVSS 6,5KEVГотовый эксплойтEPSS 1 %fortinet · fortios14 апр. 2026 г.
- CVE-2026-3853232Наблюдать
A Broken Object-Level Authorization (BOLA) in the /Contact/Persons/PersonController.php endpoint of Webkul Krayin CRM v2.2.x allows authenti
ВысокаяCVSS 8,1Эксплойта нетEPSS 0 %webkul · krayin crm14 апр. 2026 г.
- CVE-2026-3980897Срочно
A improper neutralization of special elements used in an os command ('os command injection') vulnerability in Fortinet FortiSandbox 4.4.0 th
КритическаяCVSS 9,8KEVГотовый эксплойтEPSS 93 %fortinet · fortisandbox14 апр. 2026 г.
- CVE-2026-3981346В плане
A path traversal: '../filedir' vulnerability in Fortinet FortiSandbox 5.0.0 through 5.0.5, FortiSandbox 4.4.0 through 4.4.8 may allow attack
КритическаяCVSS 9,8Есть PoCEPSS 22 %fortinet · fortisandbox14 апр. 2026 г.
- CVE-2026-3371528Наблюдать
Chamilo LMS has Unauthenticated SSRF and Open Email Relay via install.ajax.php test_mailer action
ВысокаяCVSS 7,2Есть PoCEPSS 0 %chamilo · chamilo lms14 апр. 2026 г.
- CVE-2026-3416034Наблюдать
Chamilo LMS: Unauthenticated SSRF via PENS Plugin allows attacker to probe internal network and reach cloud metadata services
ВысокаяCVSS 8,6Есть PoCEPSS 0 %chamilo · chamilo lms14 апр. 2026 г.
- CVE-2026-2269227Наблюдать
October CMS: Twig Sandbox Bypass via Collection Methods
СредняяCVSS 6,8Есть PoCEPSS 0 %octobercms · october14 апр. 2026 г.
- CVE-2026-2730542В плане
ColdFusion | Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') (CWE-22)
ВысокаяCVSS 8,6Эксплойта нетEPSS 26 %adobe · coldfusion14 апр. 2026 г.
- CVE-2026-3314617Наблюдать
Docmost's Public Share Search Exposes Metadata of Restricted Children
СредняяCVSS 4,3Есть PoCEPSS 0 %docmost · docmost14 апр. 2026 г.
- CVE-2026-3319318Наблюдать
Docmost vulnerable to stored XSS via MIME type spoofing
СредняяCVSS 4,6Эксплойта нетEPSS 0 %docmost · docmost14 апр. 2026 г.
- CVE-2026-3421221Наблюдать
Docmost page content has stored XSS via unsanitized attachment URLs
СредняяCVSS 5,4Есть PoCEPSS 0 %docmost · docmost14 апр. 2026 г.
- CVE-2026-3421321Наблюдать
Docmost has cross-page attachment overwrite via flawed attachmentId overwrite validation
СредняяCVSS 5,4Есть PoCEPSS 0 %docmost · docmost14 апр. 2026 г.
- CVE-2026-3519636Наблюдать
Chamilo LMS has OS Command Injection via export_all_certificates action
ВысокаяCVSS 8,8Есть PoCEPSS 1 %chamilo · chamilo lms14 апр. 2026 г.
- CVE-2026-2094527Наблюдать
Microsoft SharePoint Server Spoofing Vulnerability
СредняяCVSS 5,4Эксплойта нетEPSS 19 %microsoft · sharepoint server14 апр. 2026 г.
- CVE-2026-2617931Наблюдать
Windows Kernel Elevation of Privilege Vulnerability
ВысокаяCVSS 7,8Есть PoCEPSS 0 %microsoft · windows 11 23h214 апр. 2026 г.
- CVE-2026-2791232Наблюдать
Windows Kerberos Elevation of Privilege Vulnerability
ВысокаяCVSS 8,0Есть PoCEPSS 0 %microsoft · windows server 201214 апр. 2026 г.
- CVE-2026-3220169На этой неделе
Microsoft SharePoint Server Spoofing Vulnerability
СредняяCVSS 6,5KEVГотовый эксплойтEPSS 43 %microsoft · sharepoint server14 апр. 2026 г.