Эксплуатируемые и новые серьёзные CVE: август 2026 г.

FormGent <= 1.9.2- Missing Authorization to Unauthenticated Arbitrary File Deletion via 'file_token' Parameter

• Без аутентификации
• Обход пути
• Нарушение контроля доступа (IDOR)

wpwax · formgent – next-gen ai form builder for wordpress with multi-step, quizzes, payments & more1 авг. 2026 г.

Theme Demo Import <= 1.1.3 - Admin+ Arbitrary File Upload

• Загрузка файлов

unknown · theme demo import1 авг. 2026 г.

Everest Toolkit <= 1.2.3 - Admin+ Arbitrary File Upload

• Загрузка файлов

unknown · everest toolkit1 авг. 2026 г.

Participants Database < 2.7.8.4 - Unauthenticated SQL Injection via List Search

• Без аутентификации
• SQL-инъекция

unknown · participants database1 авг. 2026 г.

Dynamic Pricing With Discount Rules for WooCommerce < 5.0.0 - Reflected XSS via wdpAjax

• Без аутентификации
• XSS

unknown · dynamic pricing with discount rules for woocommerce1 авг. 2026 г.

Chat On Desk < 1.0.9 - Unauthenticated Account Takeover via Password Reset OTP Bypass

• Без аутентификации
• Обход аутентификации

unknown · chat on desk order notifications1 авг. 2026 г.

DynamicKit for Elementor < 1.0.3 - Unauthenticated Account Takeover via Password Reset Link Host Injection

• Без аутентификации
• Обход аутентификации

unknown · dynamickit for elementor1 авг. 2026 г.

Login/Signup Popup < 3.2.5 - Unauthenticated Account Takeover via Password Reset Rate Limit Bypass

• Без аутентификации
• Обход аутентификации

unknown · login & register forms1 авг. 2026 г.

Mapster WP Maps < 1.24.0 - Unauthenticated Private and Draft Post Content Disclosure

• Без аутентификации
• Утечка информации

unknown · mapster wp maps1 авг. 2026 г.

YOP Poll < 7.0.6 - Unauthenticated Vote Restriction Bypass via IP Header Spoofing

• Без аутентификации
• Обход аутентификации

unknown · yop poll1 авг. 2026 г.

HUSKY - Products Filter Professional for WooCommerce < 1.4.1 - Shop Manager+ Local File Inclusion via meta_filter search_view

• Обход пути

unknown · husky1 авг. 2026 г.

Profile Builder < 3.16.4 - Unauthenticated Account Takeover via Auto-Login After Registration

• Без аутентификации

unknown · user profile builder1 авг. 2026 г.

AI Engine <= 3.6.5 - Cross-Site Request Forgery to Privilege Escalation via REQUEST_URI Substring Match

• Без аутентификации
• Обход аутентификации
• CSRF

tigroumeow · ai engine – the chatbot, ai framework & mcp for wordpress1 авг. 2026 г.

MailChimp Subscribe Form, Optin Builder, PopUp Builder, Form Builder <= 4.3.3 - Unauthenticated Stored Cross-Site Scripting via Form Field Values

• Без аутентификации
• XSS

umarbajwa · mailchimp subscribe form, optin builder, popup builder, form builder1 авг. 2026 г.

NEX-Forms <= 9.2.3 - Authenticated (Admin+) Arbitrary File Deletion via Path Traversal via 'location' Parameter

• Обход пути

webaways · nex-forms – ultimate forms plugin for wordpress1 авг. 2026 г.

Single Sign On For TNG <= 2.0.0 - Unauthenticated Privilege Escalation via Unverified Password Change

• Без аутентификации
• Обход аутентификации

britcoder · single sign on for tng1 авг. 2026 г.

Kali Forms <= 2.4.20 - Unauthenticated Remote Code Execution via 'thisPermalink' Field Parameter

• RCE без входа

wpchill · kali forms — contact form & drag-and-drop builder1 авг. 2026 г.

Pronamic Pay <= 10.1.0 - Authenticated (Subscriber+) Privilege Escalation via Gravity Forms 'Update user role' Field

pronamic · pronamic pay1 авг. 2026 г.

Data::Entropy versions before 0.010 for Perl read remote entropy sources over plain HTTP

• Без аутентификации
• Слабая криптография

rrwo · data\1 авг. 2026 г.

FreeRDP before 3.29.0 Denial of Service via smartcard cache

• Без аутентификации
• Ошибки памяти

freerdp · freerdp1 авг. 2026 г.

FreeRDP before 3.29.0 Heap Out-of-Bounds Read via GLYPH_FRAGMENT_ADD

• Без аутентификации
• Ошибки памяти

freerdp · freerdp1 авг. 2026 г.

FreeRDP before 3.29.0 WebSocket Ping Buffer Over-disclosure

• Без аутентификации

freerdp · freerdp1 авг. 2026 г.

FreeRDP before 3.29.0 TLS Certificate EKU Bypass

• Без аутентификации
• Слабая криптография

freerdp · freerdp1 авг. 2026 г.

FreeRDP before 3.29.0 Denial of Service via RDPEI PDU

• Без аутентификации

freerdp · freerdp1 авг. 2026 г.

FreeRDP before 3.29.0 Resource Exhaustion via chunked HTTP response

• Без аутентификации
• Отказ в обслуживании

freerdp · freerdp1 авг. 2026 г.

FreeRDP 3.28.0 Heap Buffer Overflow via RAIL orderLength Underflow

• Без аутентификации
• Ошибки памяти

freerdp · freerdp1 авг. 2026 г.

FreeRDP before 3.29.0 Use-After-Free via WindowIcon async message

• Без аутентификации
• Ошибки памяти

freerdp · freerdp1 авг. 2026 г.

FreeRDP before 3.29.0 Use-After-Free via async message proxy

• Без аутентификации
• Ошибки памяти

freerdp · freerdp1 авг. 2026 г.

FreeRDP before 3.29.0 Out-of-bounds Read via Polygon async message-proxy

• Без аутентификации
• Ошибки памяти

freerdp · freerdp1 авг. 2026 г.

FreeRDP before 3.29.0 NULL Dereference via smartcard cleanup

• Без аутентификации
• Ошибки памяти

freerdp · freerdp1 авг. 2026 г.

FreeRDP Windows Client before 3.29.0 Heap Buffer Overflow via Cliprdr

• RCE без входа
• Ошибки памяти

freerdp · freerdp1 авг. 2026 г.

Wazuh before 5.0.0-beta3 Cluster Attribution Spoofing via Inventory Sync

wazuh · wazuh1 авг. 2026 г.

Wazuh GitHub Actions Shell Injection via Fork Pull Request

• RCE без входа
• Инъекция команд

wazuh · wazuh1 авг. 2026 г.

Budibase before 3.38.1 SSRF Blacklist Bypass via HTTP Redirect

• SSRF

budibase · budibase1 авг. 2026 г.

axios before 0.33.0 Prototype Pollution via Node HTTP adapter

• Без аутентификации
• Prototype pollution
• Утечка информации

axios · axios1 авг. 2026 г.

GitPython before 3.1.52 Environment Variable Exfiltration via clone_from

• Без аутентификации
• Утечка информации

gitpython project · gitpython1 авг. 2026 г.

GitPython before 3.1.51 Command Injection via unguarded Git options

• RCE
• Инъекция команд

gitpython project · gitpython1 авг. 2026 г.

GitPython 3.1.50 Authentication Bypass via Joined Short Options

• RCE без входа
• Обход аутентификации
• Инъекция команд

gitpython project · gitpython1 авг. 2026 г.

GitPython before 3.1.51 Command Injection via option prefix abbreviation

• RCE
• Инъекция команд

gitpython project · gitpython1 авг. 2026 г.

GitPython before 3.1.50 Newline Injection via config_writer section

• RCE

gitpython project · gitpython1 авг. 2026 г.

better-auth before 1.6.22 Account Takeover via Magic-Link Email-OTP

• Без аутентификации
• Обход аутентификации

better-auth · better-auth1 авг. 2026 г.

better-auth before 1.6.11 Insecure Cryptographic Defaults via oidcProvider

• Без аутентификации
• Слабая криптография

better-auth · better-auth1 авг. 2026 г.

better-auth before 1.4.9 Two-Factor Authentication Bypass via session.cookieCache

• Обход аутентификации

better-auth · better-auth1 авг. 2026 г.

ArcadeDB before 26.7.2 Remote Code Execution via Trigger Scripts

• RCE

arcadedata · arcadedb1 авг. 2026 г.

ArcadeDB before 26.7.2 Authorization Bypass via SQL DEFINE FUNCTION

• RCE без входа
• Нарушение контроля доступа (IDOR)

arcadedata · arcadedb1 авг. 2026 г.

ArcadeDB before 26.7.2 Authorization Bypass via Database Handlers

• Без аутентификации
• Нарушение контроля доступа (IDOR)

arcadedata · arcadedb1 авг. 2026 г.

ArcadeDB before 26.7.2 Cluster Token Disclosure via GET /api/v1/server

• Утечка информации

arcadedata · arcadedb1 авг. 2026 г.

ArcadeDB before 26.7.2 Authentication Bypass via ALTER TYPE

• Обход аутентификации
• Нарушение контроля доступа (IDOR)

arcadedata · arcadedb1 авг. 2026 г.

Verification cache poisoning allows forged Nostr events to bypass signature validation

• Без аутентификации

crates.io · nostr-relay-pool1 авг. 2026 г.

Wallet event parsers accept unauthenticated events

• Без аутентификации

crates.io · nostr1 авг. 2026 г.

NIP-44 v2 decryption permits resource exhaustion

• Без аутентификации
• Отказ в обслуживании

crates.io · nostr1 авг. 2026 г.

NIP-98 authorization parsing permits resource exhaustion

• Без аутентификации
• Отказ в обслуживании

crates.io · nostr1 авг. 2026 г.

Empty NIP-50 search filters can panic

• Без аутентификации
• Отказ в обслуживании

crates.io · nostr1 авг. 2026 г.

Relay authentication challenges can exhaust memory

• Без аутентификации
• Отказ в обслуживании

crates.io · nostr-relay-pool1 авг. 2026 г.

Processing of unverified relay events

• Без аутентификации

crates.io · nostr-relay-pool1 авг. 2026 г.

better-auth before 1.1.20 Open Redirect via trustedOrigins Bypass

• Без аутентификации
• Открытый редирект

better-auth · better-auth1 авг. 2026 г.

FreeRDP before 3.29.0 TLS Certificate Identity Validation Bypass

• Без аутентификации
• Слабая криптография

freerdp · freerdp1 авг. 2026 г.

FreeRDP before 3.29.0 HTTP Proxy Request Injection via Redirection

• Без аутентификации

freerdp · freerdp1 авг. 2026 г.

FreeRDP before 3.29.0 Heap Out-of-Bounds Read via TSMF

• Без аутентификации
• Ошибки памяти

freerdp · freerdp1 авг. 2026 г.

FreeRDP before 3.29.0 Improper Certificate Hostname Validation

• Без аутентификации
• Слабая криптография

freerdp · freerdp1 авг. 2026 г.

Traefik v3.7.0 Path Traversal via RewriteTarget Authentication Bypass

• Без аутентификации
• Обход аутентификации
• Обход пути

traefik · traefik1 авг. 2026 г.

@better-auth/sso before 1.6.21 Account Takeover via SSO

• Обход аутентификации
• XSS

better-auth · sso1 авг. 2026 г.

@better-auth/stripe before 1.6.21 Authorization Bypass via Organization Subscription

• Нарушение контроля доступа (IDOR)

better-auth · stripe1 авг. 2026 г.

better-auth SCIM 1.4.0-beta.27 through 1.6.21 Account Takeover via Provider-ID Collision

better-auth · scim1 авг. 2026 г.

better-auth SCIM 1.5.0 before 1.7.0-beta.4 Authorization Bypass

• Нарушение контроля доступа (IDOR)

better-auth · scim1 авг. 2026 г.

guzzlehttp/guzzle before 7.15.1 URI Fragment Disclosure via Referer

• Без аутентификации

guzzle · guzzle1 авг. 2026 г.

guzzlehttp/guzzle before 7.15.1 Host-only Cookie Scope

• Без аутентификации

guzzle · guzzle1 авг. 2026 г.

Guardian.revoke/3 acts on unverified token claims, allowing forged-token session revocation

• Без аутентификации
• Слабая криптография

ueberauth · guardian1 авг. 2026 г.

Duplicate Advisory: Axios: Fetch adapter `ReadableStream` uploads bypass `maxBodyLength`

• Без аутентификации
• Отказ в обслуживании

npm · axios1 авг. 2026 г.

Duplicate Advisory: Axios: NO_PROXY bypass for 0.0.0.0 local addresses in axios

• Без аутентификации

npm · axios1 авг. 2026 г.

Duplicate Advisory: Kubernetes Ingress NGINX RewriteTarget Path Traversal Allows Route-Level Authentication Bypass

• Без аутентификации
• Обход аутентификации
• Обход пути

Go · github.com/traefik/traefik/v31 авг. 2026 г.

Duplicate Advisory: Axios: Excessive recursion in formDataToJSON can cause denial of service

• Без аутентификации
• Отказ в обслуживании

npm · axios1 авг. 2026 г.

Duplicate Advisory: Axios form serializer maxDepth bypass via {} metatoken

• Без аутентификации
• Отказ в обслуживании

npm · axios1 авг. 2026 г.

Duplicate Advisory: GitPython: command injection via unguarded Git options in `Repo.archive()`, `git.ls_remote()`, and arbitrary file overwr

• RCE
• Инъекция команд

PyPI · gitpython1 авг. 2026 г.

Duplicate Advisory: Axios Node HTTP adapter can use an inherited proxy after interceptor config cloning

• Без аутентификации
• Утечка информации

npm · axios1 авг. 2026 г.

Duplicate Advisory: GitPython: Command Injection via git long-option prefix abbreviation bypass of CVE-2026-42215 blocklist

• RCE
• Инъекция команд

PyPI · gitpython1 авг. 2026 г.

Duplicate Advisory: GitPython unsafe clone option gate bypass through joined short options

• RCE без входа
• Инъекция команд

PyPI · gitpython1 авг. 2026 г.

Duplicate Advisory: GitPython: Environment-variable exfiltration via os.path.expandvars() on Repo.clone_from() URL

• Без аутентификации
• Утечка информации

PyPI · gitpython1 авг. 2026 г.

Unauthenticated administrative account takeover

• Без аутентификации
• Обход аутентификации

n-able · n-central1 авг. 2026 г.

CubeWP Framework <= 1.1.30 - Unauthenticated Arbitrary File Read via prev_icon/next_icon Parameter

• Без аутентификации
• Обход пути

cubewp1211 · cubewp framework1 авг. 2026 г.

User Access Manager <= 2.3.15 - Unauthenticated Arbitrary File Read via 'uamgetfile' Parameter

• Без аутентификации
• Обход пути

gm_alex · user access manager1 авг. 2026 г.

WooCommerce - Social Login <= 2.8.7 - Unauthenticated Authentication Bypass via Forged Apple 'id_token' JWT

• Без аутентификации
• Обход аутентификации

wpweb · woocommerce - social login1 авг. 2026 г.

Improper Handling of HDF5 ExternalLinks in keras-team/keras

• Без аутентификации
• Обход пути

keras-team · keras-team/keras2 авг. 2026 г.

Lenxel WP <= 1.0.31 - Unauthenticated Account Takeover via Arbitrary Password Reset

• Без аутентификации
• Обход аутентификации
• CSRF

unknown · lenxel wp2 авг. 2026 г.

AcyMailing < 10.11.1 - Unauthenticated SQL Injection via subscription[] Parameter

• Без аутентификации
• SQL-инъекция

unknown · acymailing2 авг. 2026 г.

Five Star Restaurant Reservations < 2.7.23 - Booking Manager+ Missing Authorization via rtb_reset_notifications

• Без аутентификации
• Нарушение контроля доступа (IDOR)

unknown · five star restaurant reservations2 авг. 2026 г.

SMS Alert Order Notifications – WooCommerce < 3.9.8 - Unauthenticated Account Takeover via Unbound OTP Verification in Signup-with-Mobile

• Без аутентификации
• Обход аутентификации

unknown · sms alert2 авг. 2026 г.

Gallery for Google Photos < 1.2.1 - Unauthenticated Google OAuth Token Disclosure

• Без аутентификации
• Утечка информации

unknown · gallery for google photos2 авг. 2026 г.

ChatBot for eCommerce – WoowBot < 4.8.4 - Unauthenticated Gemini API Key Abuse via qcld_gemini_response

• Без аутентификации
• Нарушение контроля доступа (IDOR)

unknown · ai chatbot for woocommerce2 авг. 2026 г.

Pouco Import Users <= 1.0.0 - Unauthenticated Privilege Escalation

• Без аутентификации

unknown · pouco import users2 авг. 2026 г.

Huge IT Login <= 1.0.4 - Unauthenticated Account Takeover

• Без аутентификации
• Обход аутентификации
• Отказ в обслуживании

unknown · login-social2 авг. 2026 г.

WooCommerce Product Attachment < 2.3.3 - Unauthenticated Arbitrary Media Download

• Без аутентификации
• Нарушение контроля доступа (IDOR)

unknown · product attachment for woocommerce2 авг. 2026 г.

Simply Schedule Appointments < 1.6.12.6 - Unauthenticated Appointment Data Disclosure and Mass Deletion via purge Endpoint

• Без аутентификации
• Нарушение контроля доступа (IDOR)

unknown · simply schedule appointments2 авг. 2026 г.

Keycloak-services: keycloak-services: fgap v2 group assignment bypass during user creation

• Нарушение контроля доступа (IDOR)

redhat · build of keycloak2 авг. 2026 г.

ArcadeDB before 26.7.3 Privilege Escalation via JavaScript Trigger

arcadedata · arcadedb2 авг. 2026 г.

ArcadeDB before 26.7.3 Information Disclosure via get_server_settings

• Утечка информации

arcadedata · arcadedb2 авг. 2026 г.

ArcadeDB before 26.7.3 Authentication Bypass via MCP Transport

• RCE
• Обход аутентификации

arcadedata · arcadedb2 авг. 2026 г.

Vikunja 0.22.0 through 2.3.0 Authentication Bypass via Principal ID Collision

• Обход аутентификации
• Нарушение контроля доступа (IDOR)

go-vikunja · vikunja2 авг. 2026 г.

Vikunja 0.24.0 Broken Object Level Authorization via Link-Share Token

• Без аутентификации
• Нарушение контроля доступа (IDOR)

go-vikunja · vikunja2 авг. 2026 г.

PyAthena SQL Injection via DefaultParameterFormatter DELETE/CTAS

• Без аутентификации
• SQL-инъекция

laughingman7743 · pyathena2 авг. 2026 г.