Эксплуатируемые и новые серьёзные CVE: май 2026 г.

A pre-authentication, code injection vulnerability in version 1.0.0 or later of the ChromaDB Python project allows an unauthenticated attack

• RCE без входа

chroma · chromadb18 мая 2026 г.

Dify v1.14.1 Path Traversal via Plugin Daemon Internal API Access

• Без аутентификации
• Обход пути

dify · dify18 мая 2026 г.

lwIP snmpv3 USM snmp_msg.c snmp_parse_inbound_frame stack-based overflow

• Без аутентификации
• Ошибки памяти

18 мая 2026 г.

An issue in Intelbras VIP-1230-D-G4 Version V2.800.00IB00C.0.T allows a remote attacker to obtain sensitive information via password reset f

• Без аутентификации

18 мая 2026 г.

Remote Code Execution via eval() Injection in amazon-redshift-python-driver

• RCE без входа

aws · amazon redshift connector for python18 мая 2026 г.

HSC MailInspector v5.3.3-7 contains a Local File Inclusion (LFI) vulnerability caused by improper control of user-supplied file paths.

• Без аутентификации
• Обход пути

hsclabs · mailinspector18 мая 2026 г.

HSC MailInspector 5.3.3-7 has a Path Traversal vulnerability due to improper validation of user-supplied input in the /tap/dw.php endpoint.

• Без аутентификации
• Обход пути

hsclabs · mailinspector18 мая 2026 г.

AutoGPT has Authenticated Session Hijacking via IDOR

• Нарушение контроля доступа (IDOR)

significant-gravitas · autogpt18 мая 2026 г.

AutoGPT: SendEmailBlock's IP blocklist bypass allows SSRF via user-controlled SMTP server

• SSRF

significant-gravitas · autogpt18 мая 2026 г.

Piotnet Addons for Elementor Pro <= 7.1.70 - Unauthenticated Arbitrary File Upload via Form File Upload

• RCE без входа
• Загрузка файлов

piotnet · piotnet addons for elementor pro19 мая 2026 г.

Remote Code Execution in extension "Content Element Selector" (ceselector)

• RCE без входа
• Десериализация

typo3 · extension "content element selector"19 мая 2026 г.

SQL Injection in extension "News system" (news)

• Без аутентификации
• SQL-инъекция

typo3 · extension "news system"19 мая 2026 г.

Piotnet Forms <= 2.1.40 - Unauthenticated Arbitrary File Upload via Form File Upload

• RCE без входа
• Загрузка файлов

piotnet · piotnet forms19 мая 2026 г.

Broken Access Control in Sparx Pro Cloud Server

• Нарушение контроля доступа (IDOR)

sparxsystems · pro cloud server19 мая 2026 г.

Apache Camel: Camel-CXF Message Header Injection via Missing Inbound Filtering

• Без аутентификации

apache · camel19 мая 2026 г.

An authenticated Remote Code Execution (RCE) vulnerability was identified in GlassFish's Administration Console.

• RCE

eclipse · glassfish19 мая 2026 г.

A critical Remote Code Execution (RCE) vulnerability was identified in the server-side template rendering mechanism used by the Glassfish ga

• RCE без входа

eclipse · glassfish19 мая 2026 г.

Funnel Builder for WooCommerce Checkout < 3.15.0.3 Missing Authorization via AJAX

• Без аутентификации
• Нарушение контроля доступа (IDOR)

funnelkit · funnel builder for woocommerce checkout19 мая 2026 г.

Jaspersoft Library Deserialisation Vulnerability

• RCE
• Десериализация

jaspersoft · jasperreports library community edition19 мая 2026 г.

libheif: Heap-Buffer-Overflow Write in Grid Tile Chroma Compositing

• Без аутентификации
• Ошибки памяти

struktur · libheif19 мая 2026 г.

CtrlPanel: Unauthenticated RCE using installer script

• RCE без входа
• Инъекция команд

ctrlpanel-gg · panel19 мая 2026 г.

Windows BitLocker Security Feature Bypass Vulnerability

• RCE
• Инъекция команд

microsoft · windows 11 24h219 мая 2026 г.

Read More & Accordion <= 3.5.7 - Privilege Escalation via importData

edmonparker · read more & accordion19 мая 2026 г.

NVIDIA Triton Inference Server contains a vulnerability where an attacker could cause an authentication bypass.

• Без аутентификации
• Обход аутентификации

nvidia · triton inference server20 мая 2026 г.

Microsoft Defender Elevation of Privilege Vulnerability

• Локальное повышение привилегий

microsoft · malware protection engine20 мая 2026 г.

Microsoft Defender Denial of Service Vulnerability

• Без аутентификации
• Отказ в обслуживании

microsoft · defender antimalware platform20 мая 2026 г.

Microsoft Defender Remote Code Execution Vulnerability

• RCE без входа
• Ошибки памяти

microsoft · malware protection engine20 мая 2026 г.

Unbounded resend loop in BIND 9 resolver

• Без аутентификации
• Отказ в обслуживании

isc · bind20 мая 2026 г.

Unauthenticated remote code execution via HEEx template injection in phoenix_storybook playground

• RCE без входа
• SSTI

phenixdigital · phoenix_storybook20 мая 2026 г.

Buffer Overflow vulnerability in EPSON L14150 FL27PB allows a remote attacker to execute arbitrary code via the RAW Printing Service (JetDir

• RCE без входа
• Ошибки памяти
• Отказ в обслуживании

20 мая 2026 г.

Cisco Secure Workload Unauthorized API Access Vulnerability

• Без аутентификации
• Обход аутентификации

cisco · secure workload20 мая 2026 г.

Cross-Site Scripting (XSS) vulnerability in @cyntler/react-doc-viewer v1.17.1 allows remote attackers to execute arbitrary JavaScript via a

• RCE без входа
• XSS

20 мая 2026 г.

XWiki Platform: Path traversal via resources parameter in ssx and jsx endpoints when using leading slash

• Без аутентификации
• Обход пути

xwiki · xwiki-commons20 мая 2026 г.

XWiki Platform has an Unauthenticated XAR Import via REST /wikis/{wikiName}

• Без аутентификации
• Нарушение контроля доступа (IDOR)

xwiki · xwiki-platform20 мая 2026 г.

Frappe has an Arbitrary File Read via Path Traversal in render_include

• Без аутентификации
• Обход пути

frappe · frappe20 мая 2026 г.

Arbitrary file read in rabbitmq-aws plugin

aws · rabbitmq aws20 мая 2026 г.

Drupal core - Highly critical - SQL injection - SA-CORE-2026-004

• Без аутентификации
• SQL-инъекция

drupal · drupal20 мая 2026 г.

Avada (Fusion) Builder <= 3.15.2 - Unauthenticated Remote Code Execution via PHP Function Injection via 'render_logics' Shortcode Attribute via Widget AJAX Hand

• RCE без входа

themefusion · avada (fusion) builder21 мая 2026 г.

LiteSpeed User-End cPanel Plugin before 2.4.5 allows privilege escalation (possibly to root), as exploited in the wild in May 2026.

• Без аутентификации

litespeedtech · litespeed cpanel plugin21 мая 2026 г.

Stack buffer overflow via setcred(2)

• RCE
• Локальное повышение привилегий
• Ошибки памяти

freebsd · freebsd21 мая 2026 г.

Divi Form Builder <= 5.1.2 - Unauthenticated Privilege Escalation via 'role'

• Без аутентификации

divi engine · divi form builder21 мая 2026 г.

A directory traversal vulnerability in the Apex One (on-premise) server could allow a pre-authenticated local attacker to modify a key table

• Обход пути

trendmicro · apex one21 мая 2026 г.

net/rds: reset op_nents when zerocopy page pin fails

• Ошибки памяти

linux · linux kernel21 мая 2026 г.

rtmutex: Use waiter::task instead of current in remove_waiter()

• Ошибки памяти

linux · linux kernel21 мая 2026 г.

ipv6: rpl: reserve mac_len headroom when recompressed SRH grows

• Без аутентификации
• Ошибки памяти

linux · linux kernel21 мая 2026 г.

Concrete 9.5.0 and below has file usage disclosure via missing permission check in Usage controller

• Без аутентификации
• Утечка информации

concretecms · concrete cms21 мая 2026 г.

Concrete CMS 9.5.0 and below is vulnerable to RCE due to insecure deserialization occurring in the ExpressEntryList block controller.

• RCE
• Десериализация

concretecms · concrete cms21 мая 2026 г.

BookingPress Pro <= 5.6 - Unauthenticated Arbitrary File Upload via Signature Custom Field

• RCE без входа
• Загрузка файлов

repute infosystems · bookingpress appointment booking pro21 мая 2026 г.

Concrete CMS 9.5.0 and below is vulnerable to IDOR combined with a missing authentication gate for endpoint /ccm/system/dialogs/file/usage/{fID}

• Без аутентификации
• Обход аутентификации
• Нарушение контроля доступа (IDOR)

concretecms · concrete cms21 мая 2026 г.

Concrete CMS 9.5.0 and below is vulnerable to IDOR in the`/ccm/frontend/conversations/message_detail` endpoint

• Без аутентификации
• Нарушение контроля доступа (IDOR)

concretecms · concrete cms21 мая 2026 г.

Concrete CMS 9.5.0 and below is vulnerable to IDOR in '/ccm/frontend/conversations/get_rating'

• Без аутентификации
• Нарушение контроля доступа (IDOR)

concretecms · concrete cms21 мая 2026 г.

Concrete CMS 9.5.0 and below is vulnerable to IDOR in surveys when sites are running concurrent public surveys and private surveys

• Без аутентификации
• Нарушение контроля доступа (IDOR)

concretecms · concrete cms21 мая 2026 г.

LiteLLM < 1.83.14 Privilege Escalation via API Key Generation

• Нарушение контроля доступа (IDOR)

litellm · litellm21 мая 2026 г.

LiteLLM < 1.83.10 Privilege Escalation via User Update

• Нарушение контроля доступа (IDOR)

litellm · litellm21 мая 2026 г.

A malicious actor with access to the network could exploit an Improper Access Control vulnerability found in UniFi OS devices to make unauth

• Без аутентификации
• Нарушение контроля доступа (IDOR)

ui · unifi os server21 мая 2026 г.

A malicious actor with access to the network could exploit a Path Traversal vulnerability found in UniFi OS devices to access files on the u

• Без аутентификации
• Обход пути

ui · unifi os server21 мая 2026 г.

A malicious actor with access to the network could exploit an Improper Input Validation vulnerability found in UniFi OS devices to execute a

• RCE без входа
• Инъекция команд

ui · unifi os server21 мая 2026 г.

Invoking VerifiedPublicKeyCallback permissions skip enforcement in golang.org/x/crypto/ssh

• Без аутентификации
• Нарушение контроля доступа (IDOR)

golang · crypto22 мая 2026 г.

Easy Elements for Elementor – Addons & Website Templates <= 1.4.5 - Unauthenticated Privilege Escalation via 'custom_meta' Parameter

themewant · easy elements for elementor – addons & website templates22 мая 2026 г.

FluentCRM <= 2.9.87 - Unauthenticated Blind Server-Side Request Forgery via 'SubscribeURL' Parameter

• Без аутентификации
• SSRF

techjewel · fluentcrm – email newsletter, automation, email marketing, email campaigns, optins, leads, and crm solution22 мая 2026 г.

AudioIgniter Music Player <= 2.0.2 - Unauthenticated Insecure Direct Object Reference to 'audioigniter_playlist_id' Parameter

• Без аутентификации
• Нарушение контроля доступа (IDOR)

cssigniterteam · audioigniter music player22 мая 2026 г.

shell-quote `quote()` does not validate object-token shapes, allowing command injection via line terminators in `.op`

• RCE без входа
• Инъекция команд

22 мая 2026 г.

Concrete CMS 9.5.0 and below is vulnerable to IDOR + wrong-authorization-level in Express association Reorder dialog

• Нарушение контроля доступа (IDOR)

concretecms · concrete cms22 мая 2026 г.

NGINX ngx_http_rewrite_module vulnerability

• Без аутентификации
• Ошибки памяти

f5 · nginx open source22 мая 2026 г.

Invoking failure to reject ASCII-only Punycode-encoded labels in golang.org/x/net/idna

golang · net22 мая 2026 г.

TypeBot: Unauthenticated SSRF via isolated-vm fetch in preview chat endpoint bypasses SSRF controls

• Без аутентификации
• SSRF
• Нарушение контроля доступа (IDOR)

baptistearno · typebot.io22 мая 2026 г.

TypeBot: SSRF Protection Bypass via DNS-Resolved Hostnames in Webhook / HTTP Request Validation

• SSRF

baptistearno · typebot.io22 мая 2026 г.

Cross Site Scripting vulnerability in Advantech WebAccess/SCADA 8.0-2015.08.16 allows a remote attacker to obtain sensitive information via

• Без аутентификации
• XSS

22 мая 2026 г.

Directory Traversal vulnerability in Easy Chat Server 3.1 allows a remote attacker to obtain sensitive information and execute arbitrary cod

• RCE без входа
• Обход пути

22 мая 2026 г.

Buffer Overflow vulnerability in Easy Chat Server 3.1 allows a remote attacker to obtain sensitive information and execute arbitrary code vi

• RCE без входа
• Ошибки памяти

22 мая 2026 г.

Docker Model Runner container-to-host code execution via unsandboxed trust_remote_code in Python inference backends

• RCE

docker · docker desktop22 мая 2026 г.

Docker Model Runner container-to-host code execution via MLX-LM model_file importlib loading

• RCE

docker · docker desktop22 мая 2026 г.

JupyterHub: Cross-origin form POSTs bypass XSRF

• Без аутентификации
• CSRF

jupyter · jupyterhub22 мая 2026 г.

Microsoft SharePoint Remote Code Execution Vulnerability

• RCE
• Десериализация

microsoft · sharepoint server22 мая 2026 г.

net: skbuff: propagate shared-frag marker through frag-transfer helpers

linux · linux kernel23 мая 2026 г.

net: skbuff: preserve shared-frag marker during coalescing

• Ошибки памяти

linux · linux kernel23 мая 2026 г.

ulisesbocchio jasypt-spring-boot Password Hash SimpleGCMConfig.java getSecretKeySaltGenerator hash predictable salt

• Без аутентификации

ulisesbocchio · jasypt-spring-boot24 мая 2026 г.

Acer Care Center creates a Named Pipe with a weak Security Descriptor

• Локальное повышение привилегий

acer · care center25 мая 2026 г.

Roundcube Webmail 1.6.x before 1.6.16 and 1.7.x before 1.7.1 has Pre-authentication SQL injection in the virtuser_query plugin via a preg_re

• Без аутентификации
• SQL-инъекция

roundcube · webmail25 мая 2026 г.

In Roundcube Webmail 1.6.x before 1.6.16 and 1.7.x before 1.7.1, an unsanitized subject field in the draft restored value could lead to stor

• XSS

roundcube · webmail25 мая 2026 г.

Mirasvit Cache Warmer for Magento < 1.11.12 PHP Object Injection

• RCE без входа
• Десериализация

mirasvit · full page cache warmer26 мая 2026 г.

luci-app-https-dns-proxy Authenticated Command Injection via setInitAction

• RCE
• Инъекция команд

mossdef-org · luci-app-https-dns-proxy26 мая 2026 г.

Samba: samba: remote code execution in printing subsystem via unescaped job description

• RCE без входа
• Инъекция команд

samba · samba26 мая 2026 г.

Apache Flink Kubernetes Operator: Server-Side Request Forgery and local file access in Kubernetes Operator

• SSRF

apache · flink kubernetes operator26 мая 2026 г.

Joomla! Core - [20260503] - XSS in com_contenthistory

• XSS

joomla · joomla\!26 мая 2026 г.

MikroORM: SQL injection via runtime-controlled identifiers and JSON-path keys

• SQL-инъекция

mikro-orm · mikro-orm26 мая 2026 г.

Chatwoot: SQL Injection in Conversation/Contact Filter API via Custom Attribute Values

• RCE
• SQL-инъекция

chatwoot · chatwoot26 мая 2026 г.

Chatwoot: Pre-Account Takeover via OAuth on Unconfirmed Accounts

• Без аутентификации

chatwoot · chatwoot26 мая 2026 г.

Privilege escalation via background service of OpenVPN Connect 3.5.1 through 3.8.1 on macOS allows attackers to execute arbitrary commands w

• RCE
• Локальное повышение привилегий
• Инъекция команд

openvpn · connect26 мая 2026 г.

PbootCMS v.3.2.11 contains a code injection vulnerability in its site configuration functionality

• RCE
• XSS

26 мая 2026 г.

SharpCompress: Directory traversal via directory entries in WriteToDirectory (zip slip variant)

• Без аутентификации
• Обход пути

adamhathcock · sharpcompress26 мая 2026 г.

Dozzle: Pre-auth SSRF with response-body reflection via POST /api/notifications/test-webhook (default no-auth deploy)

• Без аутентификации
• Обход аутентификации
• SSRF

amirraminfar · dozzle26 мая 2026 г.

Starlette has missing Host header validation that poisons request.url.path, bypassing path-based security checks

• Без аутентификации

encode · starlette26 мая 2026 г.

IO::Compress versions before 2.220 for Perl can execute arbitrary code in File::GlobMapper via an attacker-controlled output glob

• RCE без входа

pmqs · io::compress27 мая 2026 г.

Gutenverse <= 3.4.6 - Reflected Cross-Site Scripting via 's' Parameter

• Без аутентификации
• XSS

jegstudio · gutenverse – wordpress blocks, page builder & site editor27 мая 2026 г.

WPCode <= 2.3.5 - Authenticated (Author+) Remote Code Execution via CPT Capability Bypass via XML-RPC wp.newPost

• RCE

smub · wpcode – insert headers and footers + custom code snippets – wordpress code manager27 мая 2026 г.

Unauthenticated SQL Injection in dotCMS Publish Audit API

• Без аутентификации
• SQL-инъекция

dotcms · dotcms core27 мая 2026 г.

WordPress WebinarIgnition plugin < 4.08.253 - Privilege Escalation vulnerability

• Без аутентификации

saleswonder team: tobias · webinarignition27 мая 2026 г.

Netis AC1200 Router NC21 V4.0.1.4296 exposes a CGI endpoint /cgi-bin/skk_get.cgi that returns the entire router configuration as a JSON resp

• Без аутентификации
• Утечка информации

27 мая 2026 г.

Buffer Overflow vulnerability in arendst Tasmota v.15.3.0.3 and before allows a remote attacker to execute arbitrary code via the tasmota/ta

• RCE без входа
• Ошибки памяти

27 мая 2026 г.