Эксплуатируемые и новые серьёзные CVE: август 2026 г.

Arbitrary URL Loading in WebView Leading to Token Leakage Risk

• Без аутентификации

oppo · oppo health17 авг. 2026 г.

2100 Technology｜Official Document Management System - Arbitrary File Upload

• RCE
• Загрузка файлов

2100 technology · official document management system17 авг. 2026 г.

netfilter: nft_payload: fix mask build for partial field offload

linux · linux17 авг. 2026 г.

SiYuan kernel Path Traversal via database_clean MCP tool

• Обход пути

siyuan-note · siyuan17 авг. 2026 г.

SiYuan before 3.7.4 Unauthenticated Debug Endpoint Information Disclosure

• Без аутентификации
• Обход аутентификации

siyuan-note · siyuan17 авг. 2026 г.

SiYuan before v3.7.4 Stored XSS via assets endpoint

• XSS

siyuan-note · siyuan17 авг. 2026 г.

SiYuan before 3.7.4 Local Privilege Escalation via elevator.exe

• RCE
• Локальное повышение привилегий
• Инъекция команд

siyuan-note · siyuan17 авг. 2026 г.

SiYuan 3.7.3 Cross-Site WebSocket Hijacking via network proxy

• Без аутентификации

siyuan-note · siyuan17 авг. 2026 г.

SiYuan before 3.7.4 Brute-Force Authentication via Publish Service

• Без аутентификации

siyuan-note · siyuan17 авг. 2026 г.

stoatchat before 0.15.0 Missing Authorization via Subscribe

• Нарушение контроля доступа (IDOR)

stoatchat · stoatchat17 авг. 2026 г.

openssl_encrypt before 1.4.8 Hardware Pepper Information Disclosure

• Без аутентификации
• Утечка информации

jahlives · openssl encrypt17 авг. 2026 г.

openssl_encrypt before 1.4.0 Insecure Default Configuration

• Без аутентификации

jahlives · openssl encrypt17 авг. 2026 г.

openssl_encrypt before 1.4.0 Sandbox Bypass via pathlib and io

• Без аутентификации

jahlives · openssl encrypt17 авг. 2026 г.

openssl_encrypt before 1.4.0 Path Traversal via plugin_id

• Без аутентификации
• Обход пути

jahlives · openssl encrypt17 авг. 2026 г.

openssl_encrypt before 1.4.0 Logging Bug and Race Condition

• Без аутентификации
• Состояние гонки

jahlives · openssl encrypt17 авг. 2026 г.

openssl_encrypt before 1.4.0 Plugin Import Guard Bypass

• RCE без входа

jahlives · openssl encrypt17 авг. 2026 г.

openssl_encrypt before 1.4.0 Non-Standard PBKDF2 Key Derivation

• Без аутентификации
• Слабая криптография

jahlives · openssl encrypt17 авг. 2026 г.

openssl_encrypt before 1.4.0 Weak Key Derivation via HKDF

• Без аутентификации
• Слабая криптография

jahlives · openssl encrypt17 авг. 2026 г.

openssl_encrypt before 1.4.0 HMAC Authentication Bypass via Environment Variable

• Без аутентификации
• Обход аутентификации

jahlives · openssl encrypt17 авг. 2026 г.

openssl_encrypt before 1.4.0 Hardcoded Database Credentials

• Без аутентификации
• Зашитые учётные данные

jahlives · openssl encrypt17 авг. 2026 г.

openssl_encrypt before 1.4.0 Hardcoded Secret Key

• Без аутентификации
• Зашитые учётные данные

jahlives · openssl encrypt17 авг. 2026 г.

openssl_encrypt before 1.4.0 JWT Token Forgery via Hardcoded Secrets

• Зашитые учётные данные

jahlives · openssl encrypt17 авг. 2026 г.

openssl_encrypt before 1.4.0 Authentication Bypass via Bearer Token

• Без аутентификации
• Обход аутентификации

jahlives · openssl encrypt17 авг. 2026 г.

openssl_encrypt before 1.4.0 Plugin Sandbox Bypass via Process Isolation

• Без аутентификации

jahlives · openssl encrypt17 авг. 2026 г.

openssl_encrypt before 1.4.0 Sandbox Escape via Dunder Attribute Traversal

• RCE без входа

jahlives · openssl encrypt17 авг. 2026 г.

openssl_encrypt before 1.4.0 Sandbox Escape via Type Hierarchy

• RCE без входа

jahlives · openssl encrypt17 авг. 2026 г.

openssl_encrypt before 1.4.0 Weak Shared Secret via PQC Simulation Mode

• Без аутентификации

jahlives · openssl encrypt17 авг. 2026 г.

openssl_encrypt before 1.4.0 Authentication Bypass via AES-CTR Fallback

• Без аутентификации
• Обход аутентификации
• Слабая криптография

jahlives · openssl encrypt17 авг. 2026 г.

Wavlink WN531P3/WN535M1 Export Pingortrace CGI export_pingortrace.cgi strcpy stack-based overflow

• Без аутентификации
• Ошибки памяти

wavlink · wn531p317 авг. 2026 г.

Sensitive Data Exposure in Innotim Software's Logsign SIEM

• Утечка информации

innotim software telecommunications and consulting trade ltd. co. · logsign siem17 авг. 2026 г.

Broken Access Control in Dolusoft Software's Fortilogger

• Без аутентификации
• Нарушение контроля доступа (IDOR)

dolusoft software technologies · fortilogger17 авг. 2026 г.

Kong Mesh multi-zone: the global control plane attributes KDS-synced resources by an unvalidated in-band zone identifier

kong inc. · kong mesh17 авг. 2026 г.

In Roundcube Webmail before 1.6.18 and 1.7.x before 1.7.3, the cmd_learn driver of the markasjunk plugin is subject to remote code execution

• RCE
• Инъекция команд

roundcube · webmail17 авг. 2026 г.

In Roundcube Webmail before 1.6.18 and 1.7.x before 1.7.3, responses from the CSS (Cascading Style Sheets) proxy were not validated, which m

• Без аутентификации
• XSS

roundcube · webmail17 авг. 2026 г.

In Roundcube Webmail before 1.6.18 and 1.7.x before 1.7.3, mail search and LITERAL+ byte-count desynchronization could lead to information d

• RCE
• Инъекция команд

roundcube · webmail17 авг. 2026 г.

In Roundcube Webmail before 1.6.18 and 1.7.x before 1.7.3, an unclosed url() in a FuncIRI attribute of an SVG image could evade the remote i

• Без аутентификации

roundcube · webmail17 авг. 2026 г.

In Roundcube Webmail before 1.6.18 and 1.7.x before 1.7.3, the LDAP search filter was subject to injection via unescaped %u/%fu/%d substitut

• RCE
• Инъекция команд

roundcube · webmail17 авг. 2026 г.

Path traversal via unsanitized upload filename leads to arbitrary file write in Progress ShareFile Storage Zones Controller

• Обход пути

progress · sharefile storage zones controller17 авг. 2026 г.

Remote code execution via unsafe deserialization in Progress ShareFile Storage Zones Controller's CICO service

• RCE
• Десериализация

progress · sharefile storage zones controller17 авг. 2026 г.

Arbitrary file write via path traversal in Progress ShareFile Storage Zones Controller potentially leading to remote code execution

• RCE
• Обход пути

progress · sharefile storage zones controller17 авг. 2026 г.

Broken Access Control in Dolusoft Software's Sonlogger

• Без аутентификации
• Нарушение контроля доступа (IDOR)

dolusoft software technologies · sonlogger17 авг. 2026 г.

extract-zip arbitrary file write outside the destination directory via a symlink at the final path component

• Без аутентификации
• Обход пути

max-mapper · extract-zip17 авг. 2026 г.

Dell ObjectScale, versions prior to 4.3.0.1, contain(s) an Uncontrolled Search Path Element vulnerability.

• Локальное повышение привилегий

dell · objectscale17 авг. 2026 г.

Dell ObjectScale, versions prior to 4.3.0.1, contain(s) an Improper Neutralization of Special Elements used in an OS Command ('OS Command In

• RCE
• Локальное повышение привилегий
• Инъекция команд

dell · objectscale17 авг. 2026 г.

Dell ObjectScale, versions prior to 4.3.0.1, contain(s) an Improper Neutralization of Special Elements used in an OS Command ('OS Command In

• RCE
• Локальное повышение привилегий
• Инъекция команд

dell · objectscale17 авг. 2026 г.

Dell ObjectScale, versions prior to 4.3.0.1, contain(s) a Path Traversal vulnerability.

• Обход пути
• Локальное повышение привилегий

dell · objectscale17 авг. 2026 г.

Dell ObjectScale, versions prior to 4.3.0.1, contain(s) an Improper Neutralization of Special Elements used in an OS Command ('OS Command In

• RCE
• Локальное повышение привилегий
• Инъекция команд

dell · objectscale17 авг. 2026 г.

openssl_encrypt before 1.4.0 Arbitrary Code Execution via Whirlpool

• RCE без входа

jahlives · openssl encrypt17 авг. 2026 г.

openssl_encrypt before 1.4.0 Password Exposure via CLI Argument

• Без аутентификации

jahlives · openssl encrypt17 авг. 2026 г.

openssl_encrypt before 1.4.0 Weak PRNG Steganography Pixel Selection

• Без аутентификации
• Слабая криптография

jahlives · openssl encrypt17 авг. 2026 г.

openssl_encrypt before 1.4.0 Schema Validation Bypass

• Без аутентификации

jahlives · openssl encrypt17 авг. 2026 г.

openssl_encrypt before 1.4.0 Unverified Key Bundle Encryption

• Без аутентификации
• Слабая криптография

jahlives · openssl encrypt17 авг. 2026 г.

openssl_encrypt before 1.4.0 Missing Ownership Verification via revoke_key

• Нарушение контроля доступа (IDOR)

jahlives · openssl encrypt17 авг. 2026 г.

openssl_encrypt before 1.4.0 TOTP Rate Limiter Bypass

• Без аутентификации
• Отказ в обслуживании

jahlives · openssl encrypt17 авг. 2026 г.

openssl_encrypt before 1.4.0 Information Disclosure via /ready endpoint

• Без аутентификации
• Утечка информации

jahlives · openssl encrypt17 авг. 2026 г.

openssl_encrypt before 1.4.0 Token Leakage via Query Parameters

• Без аутентификации

jahlives · openssl encrypt17 авг. 2026 г.

openssl_encrypt before 1.4.0 CORS Misconfiguration via Wildcard Origins

jahlives · openssl encrypt17 авг. 2026 г.

HTML Injection in OTDS Swagger UI

• Без аутентификации
• XSS

opentext · opentext directory services17 авг. 2026 г.

KubeVirt backend is not authenticated

• Без аутентификации
• Обход аутентификации

openshift-metal3 · fakefish17 авг. 2026 г.

User-controlled variables inserted unescaped into shell scripts and Kubernetes manifests

• RCE
• Инъекция команд

openshift-metal3 · fakefish17 авг. 2026 г.

Memory corruption vulnerability in Endpoint Privilege Management (Windows deployments)

• Локальное повышение привилегий
• Ошибки памяти

beyondtrust · endpoint privilege management (windows deployments)17 авг. 2026 г.

Discourse: Cache poisoning/XSS via color scheme cookies

• Без аутентификации
• XSS

discourse · discourse17 авг. 2026 г.

New API: User List API Leaks Root User Access Token Leading to Privilege Escalation

• Утечка информации

quantumnous · new-api17 авг. 2026 г.

New API: Unauthenticated payment webhooks allow memory and disk DoS via unbounded body reads and full-body logging

• Без аутентификации
• Отказ в обслуживании

quantumnous · new-api17 авг. 2026 г.

New API: Integer overflow in quota billing yields negative charges (self-crediting)

• Без аутентификации
• Ошибки памяти

quantumnous · new-api17 авг. 2026 г.

PostCSS: Path Traversal in Previous Source Map Auto-Loading (sourceMappingURL) leads to Arbitrary .map File Disclosure

• Без аутентификации
• Обход пути

postcss · postcss17 авг. 2026 г.

In JetBrains YouTrack before 2025.3.156085, 2026.1.13914, 2026.2.18095 missing authorisation allowed an authenticated user to delete arbit

• Нарушение контроля доступа (IDOR)

jetbrains · youtrack17 авг. 2026 г.

In JetBrains YouTrack before 2025.3.156085, 2026.1.13913, 2026.2.18112 an unauthenticated attacker could download database backups via sha

• Без аутентификации
• Обход аутентификации

jetbrains · youtrack17 авг. 2026 г.

In JetBrains YouTrack before 2026.2.18068 stored XSS via the fenced code-block language label was possible

• Без аутентификации
• XSS

jetbrains · youtrack17 авг. 2026 г.

In JetBrains YouTrack before 2026.2.17917 unauthorised project transfer between organisations was possible

• Нарушение контроля доступа (IDOR)

jetbrains · youtrack17 авг. 2026 г.

In JetBrains IntelliJ IDEA before 2026.2.1 rCE via Markdown export tool was possible

• RCE
• Инъекция команд

jetbrains · intellij idea17 авг. 2026 г.

In JetBrains PyCharm before 2026.2.1 code execution was possible via unauthenticated Jupyter MCP tools

• Обход аутентификации

jetbrains · pycharm17 авг. 2026 г.

Control protections bypass in BeyondTrust Endpoint Privilege Management (Windows deployment) support utility

• Локальное повышение привилегий

beyondtrust · endpoint privilege management (windows deployment)17 авг. 2026 г.

websocket-driver: Denial of service via malformed Host header

• Без аутентификации

faye · websocket-driver-ruby17 авг. 2026 г.

Glances: Command injection bypass of action-template sanitizer via cross-field shell-operator reconstruction

• RCE
• Инъекция команд

nicolargo · glances17 авг. 2026 г.

Missing device-pointer validation in flash_copy() syscall allows userspace privilege escalation

• Локальное повышение привилегий

zephyrproject · zephyr17 авг. 2026 г.

Stirling PDF: Stored XSS in Info Summary

• Без аутентификации
• XSS

stirling-tools · stirling-pdf17 авг. 2026 г.

compliance-trestle - jinja has an Arbitrary File Write via Path Traversal

• Обход пути

oscal-compass · compliance-trestle17 авг. 2026 г.

File Upload vulnerability in T-Systems International GmbH ImageMaster Version: 9.14.2.8.1 allows a remote attacker to execute arbitrary code

• RCE без входа
• Загрузка файлов

17 авг. 2026 г.

The CRM+ application before and including version 2025.6 from Brainformatik is vulnerable to SQL Injection (time-based) vulnerability.

• RCE без входа
• SQL-инъекция

17 авг. 2026 г.

An issue in Squirro Cognitive Search before v.3.14.2 allows a remote attacker to escalate privileges via a crafted request.

• Без аутентификации

17 авг. 2026 г.

An issue in Squirro Cognitive Search < 3.14.2 allows a remote attacker to execute arbitrary code via a crafted payload to the password reset

• RCE без входа

17 авг. 2026 г.

SQL Injection vulnerability in StudIP 6.0.x before 6.0.3 and 5.4.x before 5.4.12 allows a remote attacker to execute arbitrary code and obta

• RCE без входа
• SQL-инъекция

17 авг. 2026 г.

sqlparse: TokenList.__init__ materializes O(subtree) value per group, causing CPU DoS before depth/token caps trigger

• Без аутентификации

andialbrecht · sqlparse17 авг. 2026 г.

sqlparse: Inefficient Regex Handling of Dollar-Quoted SQL Literals Leads to ReDoS (Denial of Service)

• Без аутентификации
• Отказ в обслуживании

andialbrecht · sqlparse17 авг. 2026 г.

Netty: Memory Exhaustion in SctpMessageCompletionHandler

• Без аутентификации
• Отказ в обслуживании

netty · netty17 авг. 2026 г.

Netty: Cache Poisoning and Information Disclosure via CORS Vary Header Overwrite

• Без аутентификации

netty · netty17 авг. 2026 г.

Glances: Incomplete fix of CVE-2026-32608: action-template sanitizer is bypassed by nested stat values (process 'cmdline') → OS command injection

• RCE
• Инъекция команд

nicolargo · glances17 авг. 2026 г.

Glances: `--disable-config-exec` does not cover on-alert action commands (incomplete fix of CVE-2026-53925)

• RCE
• Инъекция команд

nicolargo · glances17 авг. 2026 г.

sqlparse: Quadratic O(n²) DoS in group_comments

• Без аутентификации
• Отказ в обслуживании

andialbrecht · sqlparse17 авг. 2026 г.

INDI indiserver 2.2.4.2 Stack Buffer Overflow via XML Tag Parsing

• Без аутентификации
• Ошибки памяти

indilib · indi17 авг. 2026 г.

Belledonne Communications bcg729 1.1.2 Out-of-Bounds Read via decodeSIDframe()

• Без аутентификации
• Ошибки памяти

belledonnecommunications · bcg72917 авг. 2026 г.

COVESA Open1722 0.9.2 Stack Buffer Overflow via avtp_to_can() in acf-can-listener

• RCE без входа
• Ошибки памяти

covesa · open172217 авг. 2026 г.

COVESA Open1722 0.9.2 Stack Memory Disclosure via acf-can-listener.c Integer Truncation

• Без аутентификации

covesa · open172217 авг. 2026 г.

Joomla Extension - regularlabs.com - Unauthenticated RCE through unverified reflected user input in Sourcerer < 16.0.0

• RCE без входа

regularlabs.com · sourcerer extension for joomla17 авг. 2026 г.

Joomla Extension - joomlack.fr - SQL injection in Page Builder CK < 3.6.5

• Без аутентификации
• SQL-инъекция

joomlack.fr · page builder ck extension for joomla17 авг. 2026 г.

Models-as-a-service: red hat openshift ai: maas-api and maas-controller serviceaccounts with excessive permissions lead to privilege escalation

• RCE

red hat · red hat openshift ai 3.417 авг. 2026 г.

HP Web Jetadmin (WJA) - Potential Arbitrary File Read/Write

• Без аутентификации
• Ошибки памяти

hp inc. · web jetadmin17 авг. 2026 г.

Netatalk has Integer Underflow → Stack Buffer Overflow in deletedir()

• Ошибки памяти

netatalk · netatalk17 авг. 2026 г.

An issue in CGM Germany - CompuGroup Medical CGM ISIS MED 2510.1.0.20 allows a remote attacker to execute arbtirary code via a crafted .dll

17 авг. 2026 г.