Эксплуатируемые и новые серьёзные CVE: август 2026 г.

ClipBucket V5 5.5.1 through 5.5.3-#153 OS Command Injection via Installer php_cli_filepath Parameter

• RCE без входа
• Инъекция команд

macwarrior · clipbucket-v525 авг. 2026 г.

TranslatePress – Multilingual <= 3.3.1 - Unauthenticated Account Takeover via Password Reset Link Disclosure

• Без аутентификации

cozmoslabs · translatepress – translate multilingual sites with ai translation26 авг. 2026 г.

A cleartext transmission of sensitive information vulnerability in the NFC interface of multiple Milesight IoT device models running affecte

• Слабая криптография

milesight · am102/102l v226 авг. 2026 г.

Trestle URLSecurityValidator SSRF allowlist bypass via IPv4-mapped IPv6 and 0.0.0.0

• SSRF

oscal-compass · compliance-trestle26 авг. 2026 г.

On the Trusted Firmware-M (TF-M) 2 through 2.3.0 platform before 00d1b3e, mailbox initialization on PSOC64 and RP2350 accepts a non-secure,

trustedfirmware · trusted firmware-m26 авг. 2026 г.

Trestle SSTI in Jinja2 include tags allows arbitrary code execution (Incomplete fix of CVE-2026-46439)

• RCE
• SSTI

oscal-compass · compliance-trestle26 авг. 2026 г.

Trestle is vulnerable to arbitrary file write via path traversal in author generate commands (Incomplete fix of CVE-2026-46345)

• Обход пути

oscal-compass · compliance-trestle26 авг. 2026 г.

hwpmc fails to detach PMCs during exec credential transitions

• Локальное повышение привилегий

freebsd · freebsd26 авг. 2026 г.

Use-after-free in unix SOCK_STREAM message handling

• Локальное повышение привилегий
• Ошибки памяти

freebsd · freebsd26 авг. 2026 г.

Kernel use-after-free via the SNDCTL_DSP_SYNCSTART ioctl

• Локальное повышение привилегий
• Ошибки памяти

freebsd · freebsd26 авг. 2026 г.

Unauthorized credential switching

• Обход аутентификации

freebsd · freebsd26 авг. 2026 г.

CorvusSKK contains a code injection vulnerability, which may lead to arbitrary code execution on the affected product.

• RCE

sasaki nobuyuki · corvusskk26 авг. 2026 г.

LeafWiki 0.10.0 through 0.12.0 Uncontrolled Resource Consumption via Unbounded ZIP Extraction

perber · leafwiki26 авг. 2026 г.

GROWI before 8.0.2 Missing Authorization on Attachment Retrieval for Unauthenticated Requests

• Без аутентификации
• Нарушение контроля доступа (IDOR)

growi, inc. · growi26 авг. 2026 г.

Kimai before 2.62.0 Authorization Bypass via QuickEntry

• Нарушение контроля доступа (IDOR)

kimai · kimai26 авг. 2026 г.

Kimai before 2.64.0 Missing Authorization via ProjectViewController export

• Утечка информации

kimai · kimai26 авг. 2026 г.

Kimai before 2.63.0 Team Membership Removal via API

kimai · kimai26 авг. 2026 г.

LibreNMS Virtualisation Discovery Module RCE

• RCE
• Инъекция команд

librenms · librenms26 авг. 2026 г.

Debug interfaces are accessible by default in Danfoss iC7 Automation SP, iC7 Marine and iC7 7Hybrid software

• Без аутентификации

danfoss · ic7-automation sp26 авг. 2026 г.

Tutor LMS < 4.0.6 - Unauthenticated SQLi via 'offset' and 'item_per_page' Parameters

• Без аутентификации
• SQL-инъекция

unknown · tutor lms26 авг. 2026 г.

BlogVault, MalCare and WP Remote 5.16 - 6.62 - Unauthenticated Site Takeover via Connection Key Recovery

• Без аутентификации
• Обход аутентификации

unknown · blogvault backup & staging26 авг. 2026 г.

WP Fastest Cache <= 1.5.0 - Unauthenticated Stored Cross-Site Scripting via HTTP Host Header

• Без аутентификации
• XSS

emrevona · wp fastest cache – wordpress cache plugin26 авг. 2026 г.

Kernel use-after-free via tty ioctls

• Локальное повышение привилегий
• Состояние гонки

freebsd · freebsd26 авг. 2026 г.

TOCTOU race in POSIX shared memory large page configuration

• Локальное повышение привилегий
• Состояние гонки

freebsd · freebsd26 авг. 2026 г.

ppp(8): incorrect length calculation in mp_Enddisc()

• RCE
• Ошибки памяти

freebsd · freebsd26 авг. 2026 г.

ppp(8): missing length validation in LcpDecodeConfig()

• RCE

freebsd · freebsd26 авг. 2026 г.

ppp(8): missing length validation in mp_SetEnddisc()

• RCE
• Ошибки памяти

freebsd · freebsd26 авг. 2026 г.

Pods < 3.3.9.1 - Author+ RCE via Shortcode Display Callback

• RCE

unknown · pods26 авг. 2026 г.

WP Project Manager 2.1.0 - 4.0.6 - Unauthenticated Subscriber Account Creation via Trello Import Routes

• Без аутентификации
• Нарушение контроля доступа (IDOR)

unknown · project manager26 авг. 2026 г.

AI Engine 3.3.3 - 3.7.1 - Subscriber+ Arbitrary File Read via 'url' Parameter

• Обход пути

unknown · ai engine26 авг. 2026 г.

Order Tip for WooCommerce < 1.6.0 - Shop Manager+ Arbitrary File Deletion via delete_exported_csv_file_ajax

• Обход пути

unknown · order tip for woocommerce26 авг. 2026 г.

Formidable Forms <= 6.33.1 - Unauthenticated Stored Cross-Site Scripting via 'frm_user_id' Parameter

• Без аутентификации
• XSS

strategy11team · formidable forms – wordpress form builder for contact forms, calculators, quizzes & more26 авг. 2026 г.

Avada <= 7.16 and Fusion Builder <= 3.16 - Unauthenticated Remote Code Execution via Arbitrary File Write

• RCE без входа
• Нарушение контроля доступа (IDOR)

themefusion · avada (fusion) builder26 авг. 2026 г.

WooCommerce Lottery <= 2.2.9 - Unauthenticated Time-Based SQL Injection via 'orderby' and 'order' Parameters

• Без аутентификации
• SQL-инъекция

wpgenie · woocommerce lottery26 авг. 2026 г.

Mang Board WP <= 2.3.7 - Authenticated (Subscriber+) Privilege Escalation to Forged Authentication Cookie

kitae-park · mang board wp26 авг. 2026 г.

Insecure PIN derivation mechanism in Admin By Request (ABR)

• Локальное повышение привилегий
• Нарушение контроля доступа (IDOR)

admin by request (abr) · admin by request (abr)26 авг. 2026 г.

Insufficient input validation in Admin By Request (ABR)

• Локальное повышение привилегий

admin by request (abr) · admin by request (abr)26 авг. 2026 г.

Wrong interpretation of ACL ranges

• Без аутентификации
• Нарушение контроля доступа (IDOR)

nlnetlabs · nsd26 авг. 2026 г.

Remote UDP DoS by sending multiple DNS Cookie options

• Без аутентификации
• Отказ в обслуживании

nlnetlabs · nsd26 авг. 2026 г.

Bypass of BLOCKED ACL items on proxy protocol port over TCP or TLS

• Без аутентификации
• Обход аутентификации

nlnetlabs · nsd26 авг. 2026 г.

A malicious actor with access to the network and low privileges could exploit an Improper Input Validation vulnerability found in UniFi Prot

• RCE
• Инъекция команд

ubiquiti inc · unifi protect application26 авг. 2026 г.

CAYIN Technology｜CAYIN CMS-WS/CMS-SE/SMP - Arbitrary File Upload

• RCE
• Загрузка файлов

cayin technology · cayin cms-ws26 авг. 2026 г.

Thinking Software Technology｜EFence - Arbitrary File Upload

• RCE без входа
• Загрузка файлов

thinking software technology · efence26 авг. 2026 г.

Thinking Software Technology｜Efence - SQL Injection

• Без аутентификации
• SQL-инъекция

thinking software technology · efence26 авг. 2026 г.

Thinking Software Technology｜Efence - Arbitrary File Upload

• RCE
• Загрузка файлов

thinking software technology · efence26 авг. 2026 г.

better-auth SSO before 1.6.27 Domain Ownership Authentication Bypass

• Обход аутентификации
• Состояние гонки

better-auth · sso26 авг. 2026 г.

Kimai before 2.58.0 Authentication Bypass via Password Reset Link

• Без аутентификации
• Обход аутентификации

kimai · kimai26 авг. 2026 г.

Kimai before 2.57.0 Improper Authorization via Favorite Endpoints

• Нарушение контроля доступа (IDOR)

kimai · kimai26 авг. 2026 г.

Kimai before 2.56.0 Information Disclosure via config() Twig Function

• Без аутентификации

kimai · kimai26 авг. 2026 г.

Kimai before 2.56.0 Authorization Bypass via TimesheetVoter

• Без аутентификации
• Нарушение контроля доступа (IDOR)

kimai · kimai26 авг. 2026 г.

Improper Validation of File Paths in TeamViewer Desktop Clients

• Без аутентификации
• Обход пути

teamviewer · full client, host, quicksupport & portable26 авг. 2026 г.

OpenRGB: insufficient input data checks lead to Denial-of-Service, memory overread and overwrite

• Без аутентификации

calcprogrammer1 · openrgb26 авг. 2026 г.

Command Injection in TeamViewer Desktop Client for Linux through Chat Link Handling

• RCE без входа
• Инъекция команд

teamviewer · full client26 авг. 2026 г.

Arbitrary file overwrite and deletion local and remote in OpenRGB

• Без аутентификации
• Обход пути

calcprogrammer1 · openrgb26 авг. 2026 г.

OpenRGB: local and remote system compromise via arbitrary file write using attacker controlled strings

• Без аутентификации
• Обход пути

calcprogrammer1 · openrgb26 авг. 2026 г.

A malicious actor with access to the network and low privileges could exploit an Improper Access Control vulnerability found in certain devi

• Нарушение контроля доступа (IDOR)

ubiquiti inc · unifi os server26 авг. 2026 г.

A malicious actor with access to the network and high privileges could exploit an Improper Input Validation vulnerability found in UniFi Net

• RCE
• Инъекция команд

ubiquiti inc · unifi network application26 авг. 2026 г.

A malicious actor with access to the network and low privileges could exploit an Improper Access Control vulnerability found in certain devi

• Нарушение контроля доступа (IDOR)

ubiquiti inc · unifi os server26 авг. 2026 г.

A malicious actor with access to the network could exploit an Improper Input Validation vulnerability found in UniFi Protect Application to

• RCE без входа
• Инъекция команд

ubiquiti inc · unifi protect application26 авг. 2026 г.

A malicious actor with access to the network could exploit an Improper Access Control vulnerability found in UniFi Connect Application to es

• Без аутентификации
• Нарушение контроля доступа (IDOR)

ubiquiti inc · unifi connect application26 авг. 2026 г.

A malicious actor with access to the network and high privileges could exploit an Improper Input Validation vulnerability found in UniFi OS

• RCE
• Инъекция команд

ubiquiti inc · unifi os server26 авг. 2026 г.

A malicious actor with access to the network and high privileges could exploit an Improper Input Validation vulnerability found in UniFi OS

• RCE
• Инъекция команд

ubiquiti inc · unifi os server26 авг. 2026 г.

A malicious actor with access to the network and high privileges could exploit an Improper Access Control vulnerability found in UniFi Netwo

• Нарушение контроля доступа (IDOR)

ubiquiti inc · unifi network application26 авг. 2026 г.

A malicious actor with access to the network and high privileges could exploit an Improper Input Validation vulnerability found in UID Enter

• RCE
• Инъекция команд

ubiquiti inc · uid enterprise agent26 авг. 2026 г.

A malicious actor with access to the network and low privileges could exploit an Improper Input Validation vulnerability found in UniFi Acce

• RCE
• Инъекция команд

ubiquiti inc · unifi access application26 авг. 2026 г.

A malicious actor with access to the network, low privileges and under certain conditions could exploit an Active Debug Code vulnerability f

ubiquiti inc · unifi os server26 авг. 2026 г.

StarRocks through 4.0.13 Missing Authorization on DROP MATERIALIZED VIEW for Legacy Synchronous Materialized Views

• Нарушение контроля доступа (IDOR)

starrocks · starrocks26 авг. 2026 г.

mcp-fetch through 1.6.3 Server-Side Request Forgery via Unstripped IPv6 Literal Brackets

• Без аутентификации
• SSRF

kazuph · mcp-fetch26 авг. 2026 г.

TarsWeb through 3.0.16 Missing Authorization on Patch Deploy, Download and Delete Endpoints

• Нарушение контроля доступа (IDOR)

tarscloud · tarsweb26 авг. 2026 г.

TarsWeb through 3.0.14 Authentication Bypass via Spoofed X-Forwarded-For and uid Parameter

• Без аутентификации
• Обход аутентификации

tarscloud · tarsweb26 авг. 2026 г.

OneUptime before 12.0.7 Server-Side Request Forgery via IPv4-Mapped IPv6 Webhook URL

• SSRF

oneuptime · oneuptime26 авг. 2026 г.

ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce <= 1.17.8 - Unauthenticated Arbitrary File Upload via CRM Email Connect IMAP Attachment

• Без аутентификации
• Загрузка файлов

wedevs · erp: complete hr, accounting & crm suite built for woocommerce26 авг. 2026 г.

A malicious actor with access to the network and low privileges could exploit an Improper Input Validation vulnerability found in UniFi Acce

• RCE
• Инъекция команд

ubiquiti inc · unifi access application26 авг. 2026 г.

A malicious actor with access to the network and low privileges could exploit an Improper Input Validation vulnerability found in UniFi Acce

• RCE
• Инъекция команд

ubiquiti inc · unifi access application26 авг. 2026 г.

A malicious actor with access to the network and low privileges could exploit an Improper Input Validation vulnerability found in UniFi Prot

• RCE
• Инъекция команд

ubiquiti inc · unifi protect application26 авг. 2026 г.

A malicious actor with access to the network and under certain conditions could exploit an Improper Neutralization of CRLF Sequences vulnera

• Без аутентификации
• Обход аутентификации

ubiquiti inc · unifi os server26 авг. 2026 г.

A malicious actor with access to the network could exploit an Improper Neutralization of CRLF Sequences vulnerability found in certain devic

• Без аутентификации
• Обход аутентификации

ubiquiti inc · unifi os server26 авг. 2026 г.

A malicious actor with access to the network and under certain conditions could exploit an Improper Access Control vulnerability found in Un

• Без аутентификации
• Нарушение контроля доступа (IDOR)

ubiquiti inc · unifi connect display cast pro26 авг. 2026 г.

A malicious actor with access to the network could exploit an Improper Input Validation vulnerability found in UniFi Enterprise Audio/Video

• RCE без входа
• Инъекция команд

ubiquiti inc · unifi enterprise audio/video bridge26 авг. 2026 г.

A malicious actor with access to the network and low privileges could exploit an Improper Access Control vulnerability found in UniFi Access

• Нарушение контроля доступа (IDOR)

ubiquiti inc · unifi access application26 авг. 2026 г.

A malicious actor with access to the network could exploit an Improper Input Validation vulnerability found in UniFi Talk Application to exe

• RCE без входа
• Инъекция команд

ubiquiti inc · unifi talk application26 авг. 2026 г.

A malicious actor with access to the network could exploit an Improper Access Control vulnerability found in UniFi Protect AI Key to escalat

• Без аутентификации
• Нарушение контроля доступа (IDOR)

ubiquiti inc · unifi protect ai key26 авг. 2026 г.

Grav before 1.0.18 Authentication Bypass via Scoped API Key

• Без аутентификации
• Обход аутентификации
• Нарушение контроля доступа (IDOR)

getgrav · grav26 авг. 2026 г.

Grav before 1.0.18 Authentication Bypass via Scoped API Key

• Без аутентификации
• Обход аутентификации
• Нарушение контроля доступа (IDOR)

getgrav · grav26 авг. 2026 г.

NLTK before 3.10.0 ReDoS via Text.findall() unvalidated regex

• Без аутентификации
• Отказ в обслуживании

nltk · nltk26 авг. 2026 г.

NLTK 3.10.2 Regular Expression Denial of Service via tgrep

• Без аутентификации
• Отказ в обслуживании

nltk · nltk26 авг. 2026 г.

Classified Listing - Mobile Number Verification <= 1.6.0 - Unauthenticated Authentication Bypass via Firebase OTP Login

• Без аутентификации
• Обход аутентификации

radiustheme · classified listing - mobile number verification26 авг. 2026 г.

Embedded credentials in Virtuagym

• Зашитые учётные данные

resamania · virtuagym26 авг. 2026 г.

Dia: dia: stack buffer overflow in bus object via unvalidated handle count in project files

• Ошибки памяти

gnome · dia26 авг. 2026 г.

OpenZFS: user-namespace capability check allows unprivileged local authorization bypass

• Локальное повышение привилегий
• Нарушение контроля доступа (IDOR)

openzfs · openzfs26 авг. 2026 г.

Remote Code Execution in BigQuery Data Transfer Service via JDBC Connection String Injection

• RCE

google cloud · bigquery data transfer service26 авг. 2026 г.

Formidable Charts <= 2.0.1 - Unauthenticated Arbitrary File Read via 'frm_graph' Parameter

• Без аутентификации
• Обход пути

strategy11 · formidable charts26 авг. 2026 г.

Inclusion of Functionality from Untrusted Control Sphere in GitLab

gitlab · gitlab26 авг. 2026 г.

Blind LDAP Injection in Sign-In Endpoint in TÜBİTAK BİLGEM's Liderahenk

• Без аутентификации

tübi̇tak bi̇lgem software technologies research institute · liderahenk26 авг. 2026 г.

RustDesk < 1.4.7 Uncontrolled Memory Allocation DoS via BytesCodec

• Без аутентификации
• Отказ в обслуживании

rustdesk · rustdesk26 авг. 2026 г.

Use of Hard-coded LDAP Credentials in TÜBİTAK BİLGEM's Liderahenk

• Без аутентификации
• Зашитые учётные данные

tübi̇tak bi̇lgem software technologies research institute · liderahenk26 авг. 2026 г.

Insufficiently Protected Credentials in Rently Smart Home

• Утечка информации

rently · smart home26 авг. 2026 г.

A malicious actor with access to an adjacent network could exploit a Buffer Overflow vulnerability found in a DHCPv6-enabled EdgeMAX EdgeSwi

• RCE без входа
• Ошибки памяти

ubiquiti inc · edgemax edgeswitch26 авг. 2026 г.

@logtape/syslog: syslog log injection via unescaped control characters and unvalidated SD-NAME keys

• Без аутентификации

dahlia · logtape26 авг. 2026 г.

Kyverno: NamespacedGeneratingPolicy generator.apply() namespace argument unvalidated -- background controller creates RoleBindings in any namespace including ku

• Нарушение контроля доступа (IDOR)

kyverno · kyverno26 авг. 2026 г.