По дате публикации

Эксплуатируемые и новые серьёзные CVE: май 2026 г.

375 записей · 23 KEV. В порядке публикации.

В списке: записи из каталога CISA KEV, с боевым эксплойтом, с EPSS от 10%, с публичным PoC и датой публикации в последние 3 года, а также записи с CVSS от 7, опубликованные за последние 90 дней. Остальные записи доступны через поиск и страницы производителей.

Границы месяца считаются по UTC, как и дата публикации на странице записи.

Страница 4 из 4

Записи CVE
Срочность	CVE	Уязвимость	Критичность	KEV	EPSS	Опубликовано
75На этой неделе	CVE-2026-45247Готовый эксплойт	Mirasvit Cache Warmer for Magento < 1.11.12 PHP Object Injectionmirasvit · full page cache warmer · CWE-502 RCE без входа Десериализация	Критическая9,3	KEV	26,1 %	26 мая 2026 г.
36Наблюдать	CVE-2026-46368Proof of concept	luci-app-https-dns-proxy Authenticated Command Injection via setInitActionmossdef-org · luci-app-https-dns-proxy · CWE-77 RCE Инъекция команд	Высокая8,7	—	6,5 %	26 мая 2026 г.
40В плане	CVE-2026-4480Proof of concept	Samba: samba: remote code execution in printing subsystem via unescaped job descriptionsamba · samba · CWE-78 RCE без входа Инъекция команд	Критическая9,0	—	13,9 %	26 мая 2026 г.
26Наблюдать	CVE-2026-40564Proof of concept	Apache Flink Kubernetes Operator: Server-Side Request Forgery and local file access in Kubernetes Operatorapache · flink kubernetes operator · CWE-552 SSRF	Средняя6,5	—	0,6 %	26 мая 2026 г.
27Наблюдать	CVE-2026-30894Эксплойта нет	Joomla! Core - [20260503] - XSS in com_contenthistoryjoomla · joomla\! · CWE-79 XSS	Средняя6,9	—	0,1 %	26 мая 2026 г.
38Наблюдать	CVE-2026-35223Proof of concept	Joomla! Core - [20260508] - Improper access check in com_config webservice endpointsjoomla · joomla\! · CWE-284 Нарушение контроля доступа (IDOR)	Высокая8,6	—	12,7 %	26 мая 2026 г.
34Наблюдать	CVE-2026-40383Эксплойта нет	Joomla! Core - [20260509] - LFI in HTMLView layout parameterjoomla · joomla\! · CWE-22 Обход пути	Высокая7,5	—	12,5 %	26 мая 2026 г.
30Наблюдать	CVE-2026-44680Proof of concept	MikroORM: SQL injection via runtime-controlled identifiers and JSON-path keysmikro-orm · mikro-orm · CWE-89 SQL-инъекция	Высокая7,6	—	1,4 %	26 мая 2026 г.
34Наблюдать	CVE-2026-44706Proof of concept	Chatwoot: SQL Injection in Conversation/Contact Filter API via Custom Attribute Valueschatwoot · chatwoot · CWE-89 RCE SQL-инъекция	Высокая8,5	—	0,2 %	26 мая 2026 г.
27Наблюдать	CVE-2026-44707Эксплойта нет	Chatwoot: Pre-Account Takeover via OAuth on Unconfirmed Accountschatwoot · chatwoot · CWE-283 Без аутентификации	Средняя6,8	—	0,3 %	26 мая 2026 г.
37Наблюдать	CVE-2026-9560Proof of concept	Privilege escalation via background service of OpenVPN Connect 3.5.1 through 3.8.1 on macOS allows attackers to execute arbitrary commands wopenvpn · connect · CWE-78 RCE Локальное повышение привилегий Инъекция команд	Критическая9,4	—	0,5 %	26 мая 2026 г.
17Наблюдать	CVE-2026-36239Proof of concept	PbootCMS v.3.2.11 contains a code injection vulnerability in its site configuration functionalityCWE-79 RCE XSS	Средняя4,3	—	0,2 %	26 мая 2026 г.
26Наблюдать	CVE-2026-44788Proof of concept	SharpCompress: Directory traversal via directory entries in WriteToDirectory (zip slip variant)adamhathcock · sharpcompress · CWE-22 Без аутентификации Обход пути	Средняя6,5	—	0,3 %	26 мая 2026 г.
34Наблюдать	CVE-2026-45298Proof of concept	Dozzle: Pre-auth SSRF with response-body reflection via POST /api/notifications/test-webhook (default no-auth deploy)amirraminfar · dozzle · CWE-918 Без аутентификации Обход аутентификации SSRF	Высокая8,6	—	1,4 %	26 мая 2026 г.
77На этой неделе	CVE-2026-48710Готовый эксплойт	Starlette has missing Host header validation that poisons request.url.path, bypassing path-based security checksencode · starlette · CWE-444 Без аутентификации	Средняя6,5	KEV	70,2 %	26 мая 2026 г.
29Наблюдать	CVE-2026-48962Proof of concept	IO::Compress versions before 2.220 for Perl can execute arbitrary code in File::GlobMapper via an attacker-controlled output globpmqs · io::compress · CWE-95 RCE без входа	Высокая7,3	—	0,4 %	27 мая 2026 г.
24Наблюдать	CVE-2026-3001Proof of concept	Gutenverse <= 3.4.6 - Reflected Cross-Site Scripting via 's' Parameterjegstudio · gutenverse – wordpress blocks, page builder & site editor · CWE-79 Без аутентификации XSS	Средняя6,1	—	0,5 %	27 мая 2026 г.
36Наблюдать	CVE-2026-8832Proof of concept	WPCode <= 2.3.5 - Authenticated (Author+) Remote Code Execution via CPT Capability Bypass via XML-RPC wp.newPostsmub · wpcode – insert headers and footers + custom code snippets – wordpress code manager · CWE-94 RCE	Высокая8,8	—	1,8 %	27 мая 2026 г.
40В плане	CVE-2026-8054Proof of concept	Unauthenticated SQL Injection in dotCMS Publish Audit APIdotcms · dotcms core · CWE-89 Без аутентификации SQL-инъекция	Критическая10,0	—	1,5 %	27 мая 2026 г.
29Наблюдать	CVE-2026-36539Proof of concept	Netis AC1200 Router NC21 V4.0.1.4296 exposes a CGI endpoint /cgi-bin/skk_get.cgi that returns the entire router configuration as a JSON respCWE-200 Без аутентификации Утечка информации	Высокая7,3	—	0,3 %	27 мая 2026 г.
29Наблюдать	CVE-2026-38422Proof of concept	Buffer Overflow vulnerability in arendst Tasmota v.15.3.0.3 and before allows a remote attacker to execute arbitrary code via the tasmota/taCWE-121 RCE без входа Ошибки памяти	Высокая7,3	—	0,8 %	27 мая 2026 г.
39Наблюдать	CVE-2026-42758Proof of concept	WordPress WebinarIgnition plugin < 4.08.253 - Privilege Escalation vulnerabilitysaleswonder team: tobias · webinarignition · CWE-266 Без аутентификации	Критическая9,8	—	0,3 %	27 мая 2026 г.
25Наблюдать	CVE-2026-30498Proof of concept	A Cross-Site Request Forgery (CSRF) vulnerability was discovered in the delete.php endpoint of Jason2605 AdminPanel 4.0.CWE-352 Без аутентификации CSRF	Средняя6,3	—	0,0 %	27 мая 2026 г.
29Наблюдать	CVE-2026-31266Proof of concept	Craft CMS 5.9.5 and earlier contains a Missing Authorization vulnerability in the migrate endpoint (/actions/app/migrate).CWE-862 Без аутентификации Нарушение контроля доступа (IDOR)	Высокая7,3	—	0,2 %	27 мая 2026 г.
21Наблюдать	CVE-2026-49053Эксплойта нет	WordPress ElementsKit Elementor addons Lite plugin <= 3.9.6 - Broken Access Control vulnerabilitywpmet · elementskit elementor addons lite · CWE-862 Без аутентификации Нарушение контроля доступа (IDOR)	Средняя5,3	—	0,1 %	27 мая 2026 г.
31Наблюдать	CVE-2026-38945Proof of concept	Command injection in Raynet rvia version 12.6 Update 8 and previous versions allows adversaries to execute arbitrary code via a crafted pathCWE-77 RCE Инъекция команд	Высокая7,8	—	0,7 %	27 мая 2026 г.
30Наблюдать	CVE-2026-45061Эксплойта нет	Budibase: SSRF via trivial `.tar.gz` substring bypass in Plugin URL upload (`/api/plugin`)budibase · budibase · CWE-918 SSRF	Высокая7,7	—	0,2 %	27 мая 2026 г.
21Наблюдать	CVE-2026-4390Proof of concept	TeamSpeak 3 Server Connection State Management process_resend_queue use after freeCWE-119 Ошибки памяти	Средняя5,3	—	0,2 %	27 мая 2026 г.
29Наблюдать	CVE-2026-38426Proof of concept	Buffer Overflow vulnerability in arendst Tasmota v.15.3.0.3 and before allows a remote attacker to execute arbitrary code via the xdrv_10_scCWE-120 RCE без входа Ошибки памяти	Высокая7,3	—	0,6 %	27 мая 2026 г.
29Наблюдать	CVE-2026-38427Proof of concept	An issue in fetch_jpg() in xdrv_10_scripter.ino in Tasmota through 15.3.0.3 allows a remote attacker to cause heap buffer overflow.CWE-122 Без аутентификации Ошибки памяти	Высокая7,3	—	0,4 %	27 мая 2026 г.
37Наблюдать	CVE-2026-44315Эксплойта нет	free5GC: NEF 3gpp-pfd-management API is unauthenticated; forged bearer tokens can create, read, and delete PFD transactionsfree5gc · free5gc · CWE-862 Без аутентификации Нарушение контроля доступа (IDOR)	Критическая9,4	—	0,3 %	27 мая 2026 г.
68На этой неделе	CVE-2026-48027Готовый эксплойт	Compromised Nx Console version 18.95.0nx · nx console · CWE-506 Без аутентификации	Критическая9,3	KEV	1,8 %	27 мая 2026 г.
31Наблюдать	CVE-2025-69600Proof of concept	Command injection in Raynet rvia RayVentory Scan Engine 12.6 Update 8 and previous versions allows adversaries to execute commands via getcoCWE-77 RCE Инъекция команд	Высокая7,8	—	0,8 %	27 мая 2026 г.
60На этой неделе	CVE-2026-45087Готовый эксплойт	Dalfox: Unauthenticated Remote Code Execution via `found-action` in Dalfox Server Modehahwul · dalfox · CWE-15 RCE без входа Десериализация XSS	Критическая10,0	—	8,7 %	27 мая 2026 г.
21Наблюдать	CVE-2026-42878Proof of concept	FacturaScripts: Unauthenticated phpinfo() Disclosure via Installer Endpoint in FacturaScriptsneorazorx · facturascripts · CWE-200 Без аутентификации Утечка информации	Средняя5,3	—	0,9 %	27 мая 2026 г.
25Наблюдать	CVE-2026-42879Proof of concept	FacturaScripts: Authenticated Remote Code Execution (RCE) via GIF Image Upload in Product Imagesneorazorx · facturascripts · CWE-94 RCE Загрузка файлов	Средняя6,3	—	0,2 %	27 мая 2026 г.
37Наблюдать	CVE-2026-44590Proof of concept	Sherlock: Command Injection via pull_request_target in validate_modified_targets.ymlsherlock-project · sherlock · CWE-78 RCE без входа Инъекция команд	Критическая9,3	—	1,1 %	27 мая 2026 г.
12Наблюдать	CVE-2026-49009Proof of concept	Northern.tech Mender Server v4.1.0, v4.0.1 and below, and fixed in v4.1.1 and v4.0.2 allows Directory Traversal.CWE-22 Обход пути	Низкая3,1	—	0,5 %	27 мая 2026 г.
34Наблюдать	CVE-2026-9789Proof of concept	NitroSense V3: Security Vulnerability Informationacer · nitrorsense v3 · CWE-22 Обход пути Локальное повышение привилегий	Высокая8,5	—	0,1 %	28 мая 2026 г.
17Наблюдать	CVE-2026-9618Proof of concept	PeachPay <= 1.120.46 - Cross-Site Request Forgery to Stripe Unlinkpeachpay · peachpay — payments & express checkout for woocommerce (supports stripe, paypal, square, authorize.net, nmi) · CWE-352 Без аутентификации CSRF	Средняя4,3	—	0,1 %	28 мая 2026 г.
29Наблюдать	CVE-2026-32996Proof of concept	This vulnerability in Veeam Agent for Microsoft Windows allows for Local Privilege Escalation.veeam · backup and replication · CWE-532 Локальное повышение привилегий Утечка информации	Высокая7,3	—	0,1 %	28 мая 2026 г.
21Наблюдать	CVE-2026-9794Proof of concept	Keycloak: keycloak: information disclosure via saml ecp endpointredhat · build of keycloak · CWE-209 Без аутентификации Утечка информации	Средняя5,3	—	0,4 %	28 мая 2026 г.
31Наблюдать	CVE-2026-46215Proof of concept	drm: Set old handle to NULL before prime swap in change_handlelinux · linux kernel · CWE-416 Ошибки памяти Состояние гонки	Высокая7,8	—	0,2 %	28 мая 2026 г.
25Наблюдать	CVE-2026-9806Proof of concept	Stored Cross-Site Scripting (XSS) in CTI Transmute Notification Panel via Malicious Convert Namesmisp · cti-transmute · CWE-79 Без аутентификации XSS	Средняя6,3	—	0,2 %	28 мая 2026 г.
40В плане	CVE-2026-4408Proof of concept	Samba: remote code execution in samrsamba · samba · CWE-78 RCE без входа Инъекция команд	Критическая9,8	—	2,5 %	28 мая 2026 г.
36Наблюдать	CVE-2026-9090Proof of concept	Casdoor versions 2.362.0 and earlier contain a vulnerability that allows an attacker to bypass authentication by supplying an arbitrary signcasdoor · casdoor · CWE-347 Без аутентификации Обход аутентификации Слабая криптография	Критическая9,1	—	0,2 %	28 мая 2026 г.
21Наблюдать	CVE-2026-47761Proof of concept	TinyMCE Cross-Site Scripting (XSS) vulnerability using media plugin `data-mce-object` injectiontiny · tinymce · CWE-79 XSS	Средняя5,4	—	0,2 %	28 мая 2026 г.
73На этой неделе	CVE-2026-46817Готовый эксплойт	Vulnerability in the Oracle Payments product of Oracle E-Business Suite (component: File Transmission).oracle · e-business suite · CWE-269 Без аутентификации	Критическая9,8	KEV	12,3 %	28 мая 2026 г.
34Наблюдать	CVE-2026-8697Proof of concept	Improper Authentication Rate Limiting on TP-Link's Archer C64tp-link · archer c64 firmware · CWE-288 Без аутентификации Обход аутентификации	Высокая8,7	—	0,5 %	28 мая 2026 г.
39Наблюдать	CVE-2026-9645Proof of concept	ScadaBR Authenticated Remote Code Executionscadabr · scadabr · CWE-78 RCE Инъекция команд	Критическая9,9	—	0,4 %	28 мая 2026 г.
37Наблюдать	CVE-2026-44848Proof of concept	Portainer: Missing authorization on Docker plugin endpoints allows host RCEportainer · portainer · CWE-862 RCE Нарушение контроля доступа (IDOR)	Критическая9,4	—	0,4 %	28 мая 2026 г.
34Наблюдать	CVE-2026-44881Proof of concept	Portainer: Arbitrary File Read via Git Symlink Injection in Stack Auto-Updateportainer · portainer · CWE-59	Высокая8,5	—	0,5 %	28 мая 2026 г.
30Наблюдать	CVE-2026-44883Эксплойта нет	Portainer: JWT accepted in URL query leaks tokens to logs and referersportainer · portainer · CWE-598 Без аутентификации	Высокая7,7	—	0,2 %	28 мая 2026 г.
30Наблюдать	CVE-2026-45332Proof of concept	Automad Broken Access Control: unauthenticated exposure of administrator bcrypt password hashes and TOTP secrets via public API endpointmarcantondahmen · automad · CWE-200 Без аутентификации Нарушение контроля доступа (IDOR) Утечка информации	Высокая7,5	—	1,4 %	28 мая 2026 г.
39Наблюдать	CVE-2026-8809Proof of concept	Advanced Custom Fields: Extended <= 0.9.2.5 - Unauthenticated Privilege Escalation via Validation Bypass to '_acf_post_id' Parameterhwk-fr · advanced custom fields: extended · CWE-269 Без аутентификации	Критическая9,8	—	0,8 %	28 мая 2026 г.
35Наблюдать	CVE-2026-9973Proof of concept	Out of bounds write in V8 in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code inside a sandbox via google · chrome · CWE-787 RCE без входа Ошибки памяти	Высокая8,8	—	0,3 %	28 мая 2026 г.
33Наблюдать	CVE-2026-9997Proof of concept	Use after free in Input in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potengoogle · chrome · CWE-416 Без аутентификации Ошибки памяти	Высокая8,3	—	0,1 %	28 мая 2026 г.
33Наблюдать	CVE-2026-9998Proof of concept	Integer overflow in Skia in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potegoogle · chrome · CWE-472 Без аутентификации	Высокая8,3	—	0,1 %	28 мая 2026 г.
35Наблюдать	CVE-2026-9999Proof of concept	Inappropriate implementation in ANGLE in Google Chrome on Mac prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code ingoogle · chrome · CWE-269 RCE без входа	Высокая8,8	—	0,2 %	28 мая 2026 г.
45В плане	CVE-2026-8732Proof of concept	WP Maps Pro <= 6.1.0 - Unauthenticated Privilege Escalation via Administrator Account Creation to wpgmp_temp_access_ajax AJAX Actionflippercode · wp maps pro · CWE-306 Без аутентификации Обход аутентификации	Критическая9,8	—	20,3 %	29 мая 2026 г.
28Наблюдать	CVE-2025-11262Proof of concept	Link Whisper Free <= 0.9.0 - Unauthenticated Stored Cross-Site Scriptinglinkwhspr · link whisper free · CWE-79 Без аутентификации XSS	Высокая7,2	—	0,2 %	29 мая 2026 г.
39Наблюдать	CVE-2026-9558Proof of concept	A Server-Side Template Injection (SSTI) vulnerability exists in Mautic's theme engine.CWE-1336 RCE SSTI	Критическая9,9	—	0,5 %	29 мая 2026 г.
30Наблюдать	CVE-2026-9809Proof of concept	A stored Cross-Site Scripting (XSS) vulnerability exists in the Projects component of Mautic 7.CWE-79 XSS	Высокая7,6	—	0,2 %	29 мая 2026 г.
21Наблюдать	CVE-2026-9811Proof of concept	A stored Cross-Site Scripting (XSS) vulnerability exists in the project selector component of Mautic 7.CWE-79 XSS	Средняя5,4	—	0,1 %	29 мая 2026 г.
37Наблюдать	CVE-2026-46376Proof of concept	FreePBX: Unauthenticated Use of Hard-Coded Credentials Vulnerability in FreePBX UCP Interfacesangoma · freepbx · CWE-798 Без аутентификации Зашитые учётные данные	Критическая9,3	—	0,4 %	29 мая 2026 г.
29Наблюдать	CVE-2026-39292Proof of concept	Falco Solutions PHPPageBuilder v0.31.0 contains an unrestricted file upload vulnerability in the pagemanager/pagebuilder module that allows CWE-434 RCE без входа Загрузка файлов	Высокая7,3	—	0,4 %	29 мая 2026 г.
30Наблюдать	CVE-2026-44648Proof of concept	SillyTavern: Existing sessions are not invalidated after password change, allowing session reuse and account takeoversillytavern · sillytavern · CWE-613 Без аутентификации	Высокая7,5	—	0,3 %	29 мая 2026 г.
34Наблюдать	CVE-2026-46372Proof of concept	SillyTavern: SSRF in SearXNG Search Proxy via Unvalidated baseUrlsillytavern · sillytavern · CWE-918 SSRF	Высокая8,5	—	0,8 %	29 мая 2026 г.
42В плане	CVE-2026-49373Эксплойта нет	In JetBrains TeamCity before 2026.1 remote code execution was possible via Perforce connection settingsjetbrains · teamcity · CWE-88 RCE	Высокая8,8	—	24,9 %	29 мая 2026 г.
22Наблюдать	CVE-2026-10110Proof of concept	code-projects Student Details Management System index.php sql injectioncode-projects · student details management system · CWE-74 Без аутентификации SQL-инъекция	Средняя5,5	—	0,3 %	30 мая 2026 г.
30Наблюдать	CVE-2026-7459Proof of concept	Simple History – Track, Log, and Audit WordPress Changes <= 5.26.0 - Authenticated (Subscriber+) Account Takeover via Missing Authorization on Event Reaction Eneskapism · simple history – track, log, and audit wordpress changes · CWE-640	Высокая7,5	—	0,5 %	30 мая 2026 г.
35Наблюдать	CVE-2026-7465Proof of concept	Spectra Gutenberg Blocks <= 2.19.25 - Authenticated (Contributor+) Remote Code Execution via Arbitrary PHP Function Call via Block Attributesbrainstormforce · spectra gutenberg blocks – website builder for the block editor · CWE-269 RCE	Высокая8,8	—	1,1 %	30 мая 2026 г.
32Наблюдать	CVE-2026-46242Proof of concept	eventpoll: fix ep_remove struct eventpoll / struct file UAFlinux · linux kernel · CWE-416 Ошибки памяти	Высокая7,8	—	4,3 %	30 мая 2026 г.
8Наблюдать	CVE-2026-10170Proof of concept	code-projects Visitor Management System phone_0.php sql injectioncode-projects · visitor management system · CWE-74 SQL-инъекция	Низкая2,1	—	0,2 %	31 мая 2026 г.
37Наблюдать	CVE-2026-10187Proof of concept	Totolink N300RH Web Management wireless.so setWiFiBasicConfig stack-based overflowtotolink · n300rh · CWE-119 Без аутентификации Ошибки памяти	Высокая8,9	—	7,3 %	31 мая 2026 г.

CVE-2026-45247
75На этой неделе
Mirasvit Cache Warmer for Magento < 1.11.12 PHP Object Injection
КритическаяCVSS 9,3KEVГотовый эксплойтEPSS 26 %
- RCE без входа
- Десериализация
mirasvit · full page cache warmer26 мая 2026 г.
CVE-2026-46368
36Наблюдать
luci-app-https-dns-proxy Authenticated Command Injection via setInitAction
ВысокаяCVSS 8,7Proof of conceptEPSS 6 %
- RCE
- Инъекция команд
mossdef-org · luci-app-https-dns-proxy26 мая 2026 г.
CVE-2026-4480
40В плане
Samba: samba: remote code execution in printing subsystem via unescaped job description
КритическаяCVSS 9,0Proof of conceptEPSS 13 %
- RCE без входа
- Инъекция команд
samba · samba26 мая 2026 г.
CVE-2026-40564
26Наблюдать
Apache Flink Kubernetes Operator: Server-Side Request Forgery and local file access in Kubernetes Operator
СредняяCVSS 6,5Proof of conceptEPSS 0 %
- SSRF
apache · flink kubernetes operator26 мая 2026 г.
CVE-2026-30894
27Наблюдать
Joomla! Core - [20260503] - XSS in com_contenthistory
СредняяCVSS 6,9Эксплойта нетEPSS 0 %
- XSS
joomla · joomla\!26 мая 2026 г.
CVE-2026-35223
38Наблюдать
Joomla! Core - [20260508] - Improper access check in com_config webservice endpoints
ВысокаяCVSS 8,6Proof of conceptEPSS 12 %
- Нарушение контроля доступа (IDOR)
joomla · joomla\!26 мая 2026 г.
CVE-2026-40383
34Наблюдать
Joomla! Core - [20260509] - LFI in HTMLView layout parameter
ВысокаяCVSS 7,5Эксплойта нетEPSS 12 %
- Обход пути
joomla · joomla\!26 мая 2026 г.
CVE-2026-44680
30Наблюдать
MikroORM: SQL injection via runtime-controlled identifiers and JSON-path keys
ВысокаяCVSS 7,6Proof of conceptEPSS 1 %
- SQL-инъекция
mikro-orm · mikro-orm26 мая 2026 г.
CVE-2026-44706
34Наблюдать
Chatwoot: SQL Injection in Conversation/Contact Filter API via Custom Attribute Values
ВысокаяCVSS 8,5Proof of conceptEPSS 0 %
- RCE
- SQL-инъекция
chatwoot · chatwoot26 мая 2026 г.
CVE-2026-44707
27Наблюдать
Chatwoot: Pre-Account Takeover via OAuth on Unconfirmed Accounts
СредняяCVSS 6,8Эксплойта нетEPSS 0 %
- Без аутентификации
chatwoot · chatwoot26 мая 2026 г.
CVE-2026-9560
37Наблюдать
Privilege escalation via background service of OpenVPN Connect 3.5.1 through 3.8.1 on macOS allows attackers to execute arbitrary commands w
КритическаяCVSS 9,4Proof of conceptEPSS 0 %
- RCE
- Локальное повышение привилегий
- Инъекция команд
openvpn · connect26 мая 2026 г.
CVE-2026-36239
17Наблюдать
PbootCMS v.3.2.11 contains a code injection vulnerability in its site configuration functionality
СредняяCVSS 4,3Proof of conceptEPSS 0 %
- RCE
- XSS
26 мая 2026 г.
CVE-2026-44788
26Наблюдать
SharpCompress: Directory traversal via directory entries in WriteToDirectory (zip slip variant)
СредняяCVSS 6,5Proof of conceptEPSS 0 %
- Без аутентификации
- Обход пути
adamhathcock · sharpcompress26 мая 2026 г.
CVE-2026-45298
34Наблюдать
Dozzle: Pre-auth SSRF with response-body reflection via POST /api/notifications/test-webhook (default no-auth deploy)
ВысокаяCVSS 8,6Proof of conceptEPSS 1 %
- Без аутентификации
- Обход аутентификации
- SSRF
amirraminfar · dozzle26 мая 2026 г.
CVE-2026-48710
77На этой неделе
Starlette has missing Host header validation that poisons request.url.path, bypassing path-based security checks
СредняяCVSS 6,5KEVГотовый эксплойтEPSS 70 %
- Без аутентификации
encode · starlette26 мая 2026 г.
CVE-2026-48962
29Наблюдать
IO::Compress versions before 2.220 for Perl can execute arbitrary code in File::GlobMapper via an attacker-controlled output glob
ВысокаяCVSS 7,3Proof of conceptEPSS 0 %
- RCE без входа
pmqs · io::compress27 мая 2026 г.
CVE-2026-3001
24Наблюдать
Gutenverse <= 3.4.6 - Reflected Cross-Site Scripting via 's' Parameter
СредняяCVSS 6,1Proof of conceptEPSS 0 %
- Без аутентификации
- XSS
jegstudio · gutenverse – wordpress blocks, page builder & site editor27 мая 2026 г.
CVE-2026-8832
36Наблюдать
WPCode <= 2.3.5 - Authenticated (Author+) Remote Code Execution via CPT Capability Bypass via XML-RPC wp.newPost
ВысокаяCVSS 8,8Proof of conceptEPSS 1 %
- RCE
smub · wpcode – insert headers and footers + custom code snippets – wordpress code manager27 мая 2026 г.
CVE-2026-8054
40В плане
Unauthenticated SQL Injection in dotCMS Publish Audit API
КритическаяCVSS 10,0Proof of conceptEPSS 1 %
- Без аутентификации
- SQL-инъекция
dotcms · dotcms core27 мая 2026 г.
CVE-2026-36539
29Наблюдать
Netis AC1200 Router NC21 V4.0.1.4296 exposes a CGI endpoint /cgi-bin/skk_get.cgi that returns the entire router configuration as a JSON resp
ВысокаяCVSS 7,3Proof of conceptEPSS 0 %
- Без аутентификации
- Утечка информации
27 мая 2026 г.
CVE-2026-38422
29Наблюдать
Buffer Overflow vulnerability in arendst Tasmota v.15.3.0.3 and before allows a remote attacker to execute arbitrary code via the tasmota/ta
ВысокаяCVSS 7,3Proof of conceptEPSS 0 %
- RCE без входа
- Ошибки памяти
27 мая 2026 г.
CVE-2026-42758
39Наблюдать
WordPress WebinarIgnition plugin < 4.08.253 - Privilege Escalation vulnerability
КритическаяCVSS 9,8Proof of conceptEPSS 0 %
- Без аутентификации
saleswonder team: tobias · webinarignition27 мая 2026 г.
CVE-2026-30498
25Наблюдать
A Cross-Site Request Forgery (CSRF) vulnerability was discovered in the delete.php endpoint of Jason2605 AdminPanel 4.0.
СредняяCVSS 6,3Proof of conceptEPSS 0 %
- Без аутентификации
- CSRF
27 мая 2026 г.
CVE-2026-31266
29Наблюдать
Craft CMS 5.9.5 and earlier contains a Missing Authorization vulnerability in the migrate endpoint (/actions/app/migrate).
ВысокаяCVSS 7,3Proof of conceptEPSS 0 %
- Без аутентификации
- Нарушение контроля доступа (IDOR)
27 мая 2026 г.
CVE-2026-49053
21Наблюдать
WordPress ElementsKit Elementor addons Lite plugin <= 3.9.6 - Broken Access Control vulnerability
СредняяCVSS 5,3Эксплойта нетEPSS 0 %
- Без аутентификации
- Нарушение контроля доступа (IDOR)
wpmet · elementskit elementor addons lite27 мая 2026 г.
CVE-2026-38945
31Наблюдать
Command injection in Raynet rvia version 12.6 Update 8 and previous versions allows adversaries to execute arbitrary code via a crafted path
ВысокаяCVSS 7,8Proof of conceptEPSS 0 %
- RCE
- Инъекция команд
27 мая 2026 г.
CVE-2026-45061
30Наблюдать
Budibase: SSRF via trivial `.tar.gz` substring bypass in Plugin URL upload (`/api/plugin`)
ВысокаяCVSS 7,7Эксплойта нетEPSS 0 %
- SSRF
budibase · budibase27 мая 2026 г.
CVE-2026-4390
21Наблюдать
TeamSpeak 3 Server Connection State Management process_resend_queue use after free
СредняяCVSS 5,3Proof of conceptEPSS 0 %
- Ошибки памяти
27 мая 2026 г.
CVE-2026-38426
29Наблюдать
Buffer Overflow vulnerability in arendst Tasmota v.15.3.0.3 and before allows a remote attacker to execute arbitrary code via the xdrv_10_sc
ВысокаяCVSS 7,3Proof of conceptEPSS 0 %
- RCE без входа
- Ошибки памяти
27 мая 2026 г.
CVE-2026-38427
29Наблюдать
An issue in fetch_jpg() in xdrv_10_scripter.ino in Tasmota through 15.3.0.3 allows a remote attacker to cause heap buffer overflow.
ВысокаяCVSS 7,3Proof of conceptEPSS 0 %
- Без аутентификации
- Ошибки памяти
27 мая 2026 г.
CVE-2026-44315
37Наблюдать
free5GC: NEF 3gpp-pfd-management API is unauthenticated; forged bearer tokens can create, read, and delete PFD transactions
КритическаяCVSS 9,4Эксплойта нетEPSS 0 %
- Без аутентификации
- Нарушение контроля доступа (IDOR)
free5gc · free5gc27 мая 2026 г.
CVE-2026-48027
68На этой неделе
Compromised Nx Console version 18.95.0
КритическаяCVSS 9,3KEVГотовый эксплойтEPSS 1 %
- Без аутентификации
nx · nx console27 мая 2026 г.
CVE-2025-69600
31Наблюдать
Command injection in Raynet rvia RayVentory Scan Engine 12.6 Update 8 and previous versions allows adversaries to execute commands via getco
ВысокаяCVSS 7,8Proof of conceptEPSS 0 %
- RCE
- Инъекция команд
27 мая 2026 г.
CVE-2026-45087
60На этой неделе
Dalfox: Unauthenticated Remote Code Execution via `found-action` in Dalfox Server Mode
КритическаяCVSS 10,0Готовый эксплойтEPSS 8 %
- RCE без входа
- Десериализация
- XSS
hahwul · dalfox27 мая 2026 г.
CVE-2026-42878
21Наблюдать
FacturaScripts: Unauthenticated phpinfo() Disclosure via Installer Endpoint in FacturaScripts
СредняяCVSS 5,3Proof of conceptEPSS 0 %
- Без аутентификации
- Утечка информации
neorazorx · facturascripts27 мая 2026 г.
CVE-2026-42879
25Наблюдать
FacturaScripts: Authenticated Remote Code Execution (RCE) via GIF Image Upload in Product Images
СредняяCVSS 6,3Proof of conceptEPSS 0 %
- RCE
- Загрузка файлов
neorazorx · facturascripts27 мая 2026 г.
CVE-2026-44590
37Наблюдать
Sherlock: Command Injection via pull_request_target in validate_modified_targets.yml
КритическаяCVSS 9,3Proof of conceptEPSS 1 %
- RCE без входа
- Инъекция команд
sherlock-project · sherlock27 мая 2026 г.
CVE-2026-49009
12Наблюдать
Northern.tech Mender Server v4.1.0, v4.0.1 and below, and fixed in v4.1.1 and v4.0.2 allows Directory Traversal.
НизкаяCVSS 3,1Proof of conceptEPSS 0 %
- Обход пути
27 мая 2026 г.
CVE-2026-9789
34Наблюдать
NitroSense V3: Security Vulnerability Information
ВысокаяCVSS 8,5Proof of conceptEPSS 0 %
- Обход пути
- Локальное повышение привилегий
acer · nitrorsense v328 мая 2026 г.
CVE-2026-9618
17Наблюдать
PeachPay <= 1.120.46 - Cross-Site Request Forgery to Stripe Unlink
СредняяCVSS 4,3Proof of conceptEPSS 0 %
- Без аутентификации
- CSRF
peachpay · peachpay — payments & express checkout for woocommerce (supports stripe, paypal, square, authorize.net, nmi)28 мая 2026 г.
CVE-2026-32996
29Наблюдать
This vulnerability in Veeam Agent for Microsoft Windows allows for Local Privilege Escalation.
ВысокаяCVSS 7,3Proof of conceptEPSS 0 %
- Локальное повышение привилегий
- Утечка информации
veeam · backup and replication28 мая 2026 г.
CVE-2026-9794
21Наблюдать
Keycloak: keycloak: information disclosure via saml ecp endpoint
СредняяCVSS 5,3Proof of conceptEPSS 0 %
- Без аутентификации
- Утечка информации
redhat · build of keycloak28 мая 2026 г.
CVE-2026-46215
31Наблюдать
drm: Set old handle to NULL before prime swap in change_handle
ВысокаяCVSS 7,8Proof of conceptEPSS 0 %
- Ошибки памяти
- Состояние гонки
linux · linux kernel28 мая 2026 г.
CVE-2026-9806
25Наблюдать
Stored Cross-Site Scripting (XSS) in CTI Transmute Notification Panel via Malicious Convert Names
СредняяCVSS 6,3Proof of conceptEPSS 0 %
- Без аутентификации
- XSS
misp · cti-transmute28 мая 2026 г.
CVE-2026-4408
40В плане
Samba: remote code execution in samr
КритическаяCVSS 9,8Proof of conceptEPSS 2 %
- RCE без входа
- Инъекция команд
samba · samba28 мая 2026 г.
CVE-2026-9090
36Наблюдать
Casdoor versions 2.362.0 and earlier contain a vulnerability that allows an attacker to bypass authentication by supplying an arbitrary sign
КритическаяCVSS 9,1Proof of conceptEPSS 0 %
- Без аутентификации
- Обход аутентификации
- Слабая криптография
casdoor · casdoor28 мая 2026 г.
CVE-2026-47761
21Наблюдать
TinyMCE Cross-Site Scripting (XSS) vulnerability using media plugin `data-mce-object` injection
СредняяCVSS 5,4Proof of conceptEPSS 0 %
- XSS
tiny · tinymce28 мая 2026 г.
CVE-2026-46817
73На этой неделе
Vulnerability in the Oracle Payments product of Oracle E-Business Suite (component: File Transmission).
КритическаяCVSS 9,8KEVГотовый эксплойтEPSS 12 %
- Без аутентификации
oracle · e-business suite28 мая 2026 г.
CVE-2026-8697
34Наблюдать
Improper Authentication Rate Limiting on TP-Link's Archer C64
ВысокаяCVSS 8,7Proof of conceptEPSS 0 %
- Без аутентификации
- Обход аутентификации
tp-link · archer c64 firmware28 мая 2026 г.
CVE-2026-9645
39Наблюдать
ScadaBR Authenticated Remote Code Execution
КритическаяCVSS 9,9Proof of conceptEPSS 0 %
- RCE
- Инъекция команд
scadabr · scadabr28 мая 2026 г.
CVE-2026-44848
37Наблюдать
Portainer: Missing authorization on Docker plugin endpoints allows host RCE
КритическаяCVSS 9,4Proof of conceptEPSS 0 %
- RCE
- Нарушение контроля доступа (IDOR)
portainer · portainer28 мая 2026 г.
CVE-2026-44881
34Наблюдать
Portainer: Arbitrary File Read via Git Symlink Injection in Stack Auto-Update
ВысокаяCVSS 8,5Proof of conceptEPSS 0 %
portainer · portainer28 мая 2026 г.
CVE-2026-44883
30Наблюдать
Portainer: JWT accepted in URL query leaks tokens to logs and referers
ВысокаяCVSS 7,7Эксплойта нетEPSS 0 %
- Без аутентификации
portainer · portainer28 мая 2026 г.
CVE-2026-45332
30Наблюдать
Automad Broken Access Control: unauthenticated exposure of administrator bcrypt password hashes and TOTP secrets via public API endpoint
ВысокаяCVSS 7,5Proof of conceptEPSS 1 %
- Без аутентификации
- Нарушение контроля доступа (IDOR)
- Утечка информации
marcantondahmen · automad28 мая 2026 г.
CVE-2026-8809
39Наблюдать
Advanced Custom Fields: Extended <= 0.9.2.5 - Unauthenticated Privilege Escalation via Validation Bypass to '_acf_post_id' Parameter
КритическаяCVSS 9,8Proof of conceptEPSS 0 %
- Без аутентификации
hwk-fr · advanced custom fields: extended28 мая 2026 г.
CVE-2026-9973
35Наблюдать
Out of bounds write in V8 in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code inside a sandbox via
ВысокаяCVSS 8,8Proof of conceptEPSS 0 %
- RCE без входа
- Ошибки памяти
google · chrome28 мая 2026 г.
CVE-2026-9997
33Наблюдать
Use after free in Input in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to poten
ВысокаяCVSS 8,3Proof of conceptEPSS 0 %
- Без аутентификации
- Ошибки памяти
google · chrome28 мая 2026 г.
CVE-2026-9998
33Наблюдать
Integer overflow in Skia in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to pote
ВысокаяCVSS 8,3Proof of conceptEPSS 0 %
- Без аутентификации
google · chrome28 мая 2026 г.
CVE-2026-9999
35Наблюдать
Inappropriate implementation in ANGLE in Google Chrome on Mac prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code in
ВысокаяCVSS 8,8Proof of conceptEPSS 0 %
- RCE без входа
google · chrome28 мая 2026 г.
CVE-2026-8732
45В плане
WP Maps Pro <= 6.1.0 - Unauthenticated Privilege Escalation via Administrator Account Creation to wpgmp_temp_access_ajax AJAX Action
КритическаяCVSS 9,8Proof of conceptEPSS 20 %
- Без аутентификации
- Обход аутентификации
flippercode · wp maps pro29 мая 2026 г.
CVE-2025-11262
28Наблюдать
Link Whisper Free <= 0.9.0 - Unauthenticated Stored Cross-Site Scripting
ВысокаяCVSS 7,2Proof of conceptEPSS 0 %
- Без аутентификации
- XSS
linkwhspr · link whisper free29 мая 2026 г.
CVE-2026-9558
39Наблюдать
A Server-Side Template Injection (SSTI) vulnerability exists in Mautic's theme engine.
КритическаяCVSS 9,9Proof of conceptEPSS 0 %
- RCE
- SSTI
29 мая 2026 г.
CVE-2026-9809
30Наблюдать
A stored Cross-Site Scripting (XSS) vulnerability exists in the Projects component of Mautic 7.
ВысокаяCVSS 7,6Proof of conceptEPSS 0 %
- XSS
29 мая 2026 г.
CVE-2026-9811
21Наблюдать
A stored Cross-Site Scripting (XSS) vulnerability exists in the project selector component of Mautic 7.
СредняяCVSS 5,4Proof of conceptEPSS 0 %
- XSS
29 мая 2026 г.
CVE-2026-46376
37Наблюдать
FreePBX: Unauthenticated Use of Hard-Coded Credentials Vulnerability in FreePBX UCP Interface
КритическаяCVSS 9,3Proof of conceptEPSS 0 %
- Без аутентификации
- Зашитые учётные данные
sangoma · freepbx29 мая 2026 г.
CVE-2026-39292
29Наблюдать
Falco Solutions PHPPageBuilder v0.31.0 contains an unrestricted file upload vulnerability in the pagemanager/pagebuilder module that allows
ВысокаяCVSS 7,3Proof of conceptEPSS 0 %
- RCE без входа
- Загрузка файлов
29 мая 2026 г.
CVE-2026-44648
30Наблюдать
SillyTavern: Existing sessions are not invalidated after password change, allowing session reuse and account takeover
ВысокаяCVSS 7,5Proof of conceptEPSS 0 %
- Без аутентификации
sillytavern · sillytavern29 мая 2026 г.
CVE-2026-46372
34Наблюдать
SillyTavern: SSRF in SearXNG Search Proxy via Unvalidated baseUrl
ВысокаяCVSS 8,5Proof of conceptEPSS 0 %
- SSRF
sillytavern · sillytavern29 мая 2026 г.
CVE-2026-49373
42В плане
In JetBrains TeamCity before 2026.1 remote code execution was possible via Perforce connection settings
ВысокаяCVSS 8,8Эксплойта нетEPSS 24 %
- RCE
jetbrains · teamcity29 мая 2026 г.
CVE-2026-10110
22Наблюдать
code-projects Student Details Management System index.php sql injection
СредняяCVSS 5,5Proof of conceptEPSS 0 %
- Без аутентификации
- SQL-инъекция
code-projects · student details management system30 мая 2026 г.
CVE-2026-7459
30Наблюдать
Simple History – Track, Log, and Audit WordPress Changes <= 5.26.0 - Authenticated (Subscriber+) Account Takeover via Missing Authorization on Event Reaction En
ВысокаяCVSS 7,5Proof of conceptEPSS 0 %
eskapism · simple history – track, log, and audit wordpress changes30 мая 2026 г.
CVE-2026-7465
35Наблюдать
Spectra Gutenberg Blocks <= 2.19.25 - Authenticated (Contributor+) Remote Code Execution via Arbitrary PHP Function Call via Block Attributes
ВысокаяCVSS 8,8Proof of conceptEPSS 1 %
- RCE
brainstormforce · spectra gutenberg blocks – website builder for the block editor30 мая 2026 г.
CVE-2026-46242
32Наблюдать
eventpoll: fix ep_remove struct eventpoll / struct file UAF
ВысокаяCVSS 7,8Proof of conceptEPSS 4 %
- Ошибки памяти
linux · linux kernel30 мая 2026 г.
CVE-2026-10170
8Наблюдать
code-projects Visitor Management System phone_0.php sql injection
НизкаяCVSS 2,1Proof of conceptEPSS 0 %
- SQL-инъекция
code-projects · visitor management system31 мая 2026 г.
CVE-2026-10187
37Наблюдать
Totolink N300RH Web Management wireless.so setWiFiBasicConfig stack-based overflow
ВысокаяCVSS 8,9Proof of conceptEPSS 7 %
- Без аутентификации
- Ошибки памяти
totolink · n300rh31 мая 2026 г.