Эксплуатируемые и новые серьёзные CVE: сентябрь 2026 г.

nginx ignition has ParseAcceptLanguage `_` separator bypass that enables ~75x CPU amplification via Accept-Language header in i18nMiddleware

• Без аутентификации
• Отказ в обслуживании

lucasdillmann · nginx-ignition21 сент. 2026 г.

GoCD has stored XSS possible via forged package material comments on Stage/Job/VSM pages

• XSS

gocd · gocd21 сент. 2026 г.

OpenBao's Templated Policies Allow Privilege Escalation via Wildcard Characters

• Нарушение контроля доступа (IDOR)

openbao · openbao21 сент. 2026 г.

Apache MINA: CVE-2026-47065 resolveProxyClass fix missing from 2.0.X and 2.1.X branches (2.0.30 / 2.1.14) ZDRES-232

• Без аутентификации
• Десериализация

apache software foundation · apache mina21 сент. 2026 г.

Unrestricted Upload of File with Dangerous Type in core/modules/media.php in CuteNews v.2.1.2 allows remote authenticated users with access

• RCE
• Загрузка файлов

21 сент. 2026 г.

CuteNews v.2.1.2 is vulnerable to Server-Side Request Forgery (SSRF) in core/modules/media.php -- upload_from_inet (Media Manager's "Upload

• Без аутентификации
• SSRF

21 сент. 2026 г.

Conda: Entry-point path traversal in noarch:python install (arbitrary file write) — canonical Python implementation

• Без аутентификации
• Обход пути

conda · conda21 сент. 2026 г.

Feast: `pull_request_target` integration tests run untrusted fork code with production cloud secrets; the `ok-to-test` label guard is bypassable via label persi

• Нарушение контроля доступа (IDOR)

feast-dev · feast21 сент. 2026 г.

hatchet - Unauthenticated OAuth state CSRF / login-CSRF via empty-state collision in ValidateOAuthState

• Без аутентификации
• Обход аутентификации
• CSRF

hatchet-dev · hatchet21 сент. 2026 г.

ntopng: Remote Code Execution via OS Command Injection in Vulnerability-Scan REST API

• RCE
• Инъекция команд
• CSRF

ntop · ntopng21 сент. 2026 г.

Mailu: Authentication bypass in header-based proxy authentication via spoofable `X-Forwarded-By` trust

• Без аутентификации
• Обход аутентификации

mailu · mailu21 сент. 2026 г.

Fluent Bit: Remote stack buffer overflow in Fluent Bit `out_forward` Secure-Forward `PONG` handler

• RCE без входа
• Ошибки памяти

fluent · fluent-bit21 сент. 2026 г.

KubeEdge: Command Injection in NodeUpgradeJob - RCE on edge nodes via v1alpha2 API

• RCE
• Инъекция команд

kubeedge · kubeedge21 сент. 2026 г.

deepstream: PATCH_MULTI action bypasses Valve permission system allowing unauthorized record writes

• Нарушение контроля доступа (IDOR)

deepstreamio · deepstream.io21 сент. 2026 г.

draw.io: Unauthenticated SSRF via IPv6 ULA blocklist bypass in /embed2.js

• Без аутентификации
• SSRF

jgraph · drawio21 сент. 2026 г.

Tinyauth: forward-auth per-app ACL is matched case-sensitively against the (case-insensitive) hostname, letting an authenticated user reach apps they are not on

tinyauthapp · tinyauth21 сент. 2026 г.

Ajenti: Privilege escalation to root via unauthenticated/unauthorized plugin install task

• Нарушение контроля доступа (IDOR)

ajenti · ajenti21 сент. 2026 г.

ntopng: Missing Authorization Check in REST API Allows Non-Admin Users to Tamper Threat Intelligence Blacklist URLs

• Нарушение контроля доступа (IDOR)

ntop · ntopng21 сент. 2026 г.

HomeBox: Cross-Group Inventory Wipe in Homebox via Global Owner Role and X-Tenant Header Switching

sysadminsmedia · homebox21 сент. 2026 г.

HomeBox: Cross-Tenant IDOR in MaintenanceEntry Update and Delete Allows Tampering and Destruction of Any User's Maintenance History in Homebox

• Нарушение контроля доступа (IDOR)

sysadminsmedia · homebox21 сент. 2026 г.

HomeBox: Cross-Tenant IDOR in Notifier Update Leaks Shoutrrr Credentials and Allows Webhook Hijack

• Нарушение контроля доступа (IDOR)
• Утечка информации

sysadminsmedia · homebox21 сент. 2026 г.

KubeEdge: ConfigUpdateJob updateFields enables remote shell injection and code execution on edge nodes

• RCE
• Инъекция команд

kubeedge · kubeedge21 сент. 2026 г.

KubeEdge: keadm DecompressTarGz path traversal enables arbitrary file write on Windows during edge node join

• Без аутентификации
• Обход пути

kubeedge · kubeedge21 сент. 2026 г.

UVdesk core-framework before 1.1.7 Privilege Escalation via editAgent

uvdesk · core-framework21 сент. 2026 г.

Email::Sender::Transport::Sendmail versions before 2.602 for Perl allow arbitrary command execution on Windows sending a message whose envelope address reaches

• RCE без входа
• Инъекция команд

21 сент. 2026 г.

Telegram Desktop before 6.9.4 allows XSS in the HTML exporter.

• XSS

telegram · telegram desktop21 сент. 2026 г.

Dell Command Powershell Provider (DCPP), versions prior to 2.10.2 contain an Insertion of Sensitive Information into Log File vulnerability.

• Локальное повышение привилегий
• Утечка информации

dell · command powershell provider (dcpp)21 сент. 2026 г.

Warpgate: Reflected XSS in SSO return endpoint via attacker-controlled next parameter

• Без аутентификации
• XSS
• Открытый редирект

warp-tech · warpgate21 сент. 2026 г.

ColorFul iGameCenter IOCTL ene.sys sub_140001AF0 untrusted pointer dereference

colorful · igamecenter21 сент. 2026 г.

jshERP 3.6 Privilege Escalation via updateOneValueByKeyIdAndType

• Нарушение контроля доступа (IDOR)

jishenghua · jsherp21 сент. 2026 г.

jshERP through 3.6 Authorization Bypass via resetPwd

• Нарушение контроля доступа (IDOR)

jishenghua · jsherp21 сент. 2026 г.

jshERP through 3.6 Password Hash Disclosure via /user/info

• Обход аутентификации
• Утечка информации

jishenghua · jsherp21 сент. 2026 г.

jshERP through 3.6 Missing Authorization via systemConfig

• Нарушение контроля доступа (IDOR)

jishenghua · jsherp21 сент. 2026 г.

jshERP through 3.6 Privilege Escalation via Role Management

• Нарушение контроля доступа (IDOR)

jishenghua · jsherp21 сент. 2026 г.

jshERP through 3.6 Unauthorized Access via by-id Endpoints

• Нарушение контроля доступа (IDOR)

jishenghua · jsherp21 сент. 2026 г.

jshERP through 3.6 Privilege Escalation via userBusiness CRUD

• Нарушение контроля доступа (IDOR)

jishenghua · jsherp21 сент. 2026 г.

Openshift/oc-mirror: release signature verification: openpgp signatureerror checked before signed body is consumed

• Без аутентификации
• Слабая криптография

red hat · red hat openshift container platform 421 сент. 2026 г.

Pki-core: dogtag pki v2 rest acl filter's reverse-lexicographic tie-break lets a ca agent invoke the admin-only raw profile creation endpoint

• Нарушение контроля доступа (IDOR)

red hat · red hat certificate system 921 сент. 2026 г.

Apache Airflow: Logout ignores a presented Authorization bearer token, leaving it revocable only by expiry

• Без аутентификации

apache · airflow21 сент. 2026 г.

Dell Command | Monitor (DCM), versions prior to 10.13.2, contain an Incorrect Permission Assignment for Critical Resource vulnerability.

• Локальное повышение привилегий

dell · command | monitor (dcm)21 сент. 2026 г.

Tautulli: Path traversal / arbitrary file write via unsanitized upload filename in import_config and import_database

• Обход пути

tautulli · tautulli21 сент. 2026 г.

luci-app-advanced-reboot read ACL exposes /bin/sh through file.exec, allowing delegated users to run commands as root

• RCE
• Инъекция команд

openwrt · luci21 сент. 2026 г.

Sync-in Server has a complete 2FA Bypass via `POST /api/auth/token`

• Обход аутентификации

sync-in · server21 сент. 2026 г.

Dell Inventory Collector Client, versions prior to 15.0.0, contain an Unquoted Search Path or Element vulnerability.

• Локальное повышение привилегий

dell · inventory collector client21 сент. 2026 г.

Joplin desktop Windows auto-updater accepts signed installer from any publisher because app-update.yml has no publisherName

• Без аутентификации

laurent22 · joplin21 сент. 2026 г.

Joplin: Path traversal in resource sync — silent arbitrary file write outside the resource directory

• Без аутентификации
• Обход пути

laurent22 · joplin21 сент. 2026 г.

Joplin: Fountain embeds allow arbitrary script execution in published notes and the note viewer

• XSS

laurent22 · joplin21 сент. 2026 г.

@roomi-fields/notebooklm-mcp has path traversal in vault.batch tool that allows arbitrary file write outside intended vault directory

• Обход пути

roomi-fields · notebooklm-mcp21 сент. 2026 г.

Incorrect Access Control in the HTTP API module in ZLMediaKit commit 9fd5152 allows remote attackers to achieve Remote Code Execution (RCE)

• RCE без входа
• Обход аутентификации

21 сент. 2026 г.

MaxKB: Prompt-injectable agent can lead to command execution

• RCE без входа
• Инъекция команд

1panel-dev · maxkb21 сент. 2026 г.

MaxKB: Cross-workspace model parameter form write

• Нарушение контроля доступа (IDOR)

1panel-dev · maxkb21 сент. 2026 г.

An improper access control vulnerability exists in x-ui 0.3.2.

• Нарушение контроля доступа (IDOR)

21 сент. 2026 г.

MaxKB AWS Bedrock model credential injection leads to remote code execution

• RCE
• Инъекция команд

1panel-dev · maxkb21 сент. 2026 г.

A SQL injection vulnerability in the checkSQL function of nocobase v2.1.21 allows attackers to access sesntive database information via inje

• Без аутентификации
• SQL-инъекция

21 сент. 2026 г.

A remote code execution (RCE) vulnerability in the UniscriptExecutionService.execute() function (/services/script-execution.service.ts) of U

• RCE без входа

21 сент. 2026 г.

A remote code execution (RCE) vulnerability in the RemoteRegisterFunctionService function (/remote/remote-register-function.service.ts) of U

• RCE без входа

21 сент. 2026 г.

FalkorDB (Redis module) v4.20.1 to v4.20.4 was discovered to contain a stack overflow in the _ValidateUnion_Clauses function (/ast/ast_valid

• Без аутентификации
• Ошибки памяти
• Отказ в обслуживании

21 сент. 2026 г.

An out-of-bounds read in the node_token_count/relation_token_count component of FalkorDB (Redis module) v4.20.1 to v4.20.4 allows attackers

• Без аутентификации
• Ошибки памяти
• Отказ в обслуживании

21 сент. 2026 г.

FalkorDB (Redis module) v4.20.1 to v4.20.4 was discovered to contain a buffer overflow in the _Decode_GrB_Matrix function (/v19/decode_matri

• Ошибки памяти

21 сент. 2026 г.

The graph.UDF in FalkorDB (Redis module) v4.20.1 to v4.20.4 is not registered as a write command, leading to unexpected behavior within the

• Обход аутентификации

21 сент. 2026 г.

Improper error handling in the GRAPH.EFFECT component (/effects/effects_apply.c) of FalkorDB (Redis module) v4.20.1 leads to a Denial of Ser

• Без аутентификации
• Отказ в обслуживании

21 сент. 2026 г.

idccms V1.70 is vulnerable to Cross Site Scripting (XSS) in /admin/makeDiy_deal.php.

• Без аутентификации
• XSS

21 сент. 2026 г.

Moore Threads MTT S80 Driver Package IOCTL mtdispkm64.sys sub_140001000 heap-based overflow

• Ошибки памяти

moore threads · mtt s80 driver package21 сент. 2026 г.

In OpenStack Octavia before 18.0.1, the Amphora provider driver did not reject control characters in the L7 policy redirect_url and redirect

• RCE

openstack · octavia21 сент. 2026 г.

In OpenStack Octavia before 18.0.1, the Amphora provider driver did not validate the listener and pool tls_ciphers field for control charact

• RCE

openstack · octavia21 сент. 2026 г.

ntopng: Missing Authorization on System Configuration Backup Download and Listing

• Утечка информации

ntop · ntopng21 сент. 2026 г.

Quarkus-smallrye-fault-tolerance: quarkus-smallrye-fault-tolerance: memory leak in @applyguard leads to denial of service

• Без аутентификации
• Отказ в обслуживании

red hat · exploit intelligence21 сент. 2026 г.

Joplin: SAML SSO account takeover via email-based account linking (missing is_external check in ssoLogin)

• Без аутентификации
• Обход аутентификации

laurent22 · joplin21 сент. 2026 г.

Joplin: Stored XSS via inline-served note attachment on published shares

• XSS
• CSRF

laurent22 · joplin21 сент. 2026 г.

Zapros: Streaming decoders ignored the requested chunk size, allowing a single compressed response chunk to allocate unbounded memory (decompression bomb)

• Без аутентификации
• Отказ в обслуживании

kap-sh · zapros21 сент. 2026 г.

An issue in gray-matter All versions (verified on 4.0.3) allows the JavaScript engine in lib/engines.js using eval() to parse front matter w

• RCE без входа

21 сент. 2026 г.

An issue in CrossWire Xiphos <= 4.3.2 allows a local attacker to execute arbitrary code via the src/main/url.cc and src/gtk/menu_popup.c com

• RCE
• Инъекция команд

21 сент. 2026 г.

Jazzware RT1000 Edge webUI v.

• RCE
• Обход аутентификации
• Загрузка файлов

21 сент. 2026 г.

Gladys Assistant < 5.1.0 Password Reset Link Poisoning via forgot_password Endpoint

• Без аутентификации

gladys assistant · gladys assistant21 сент. 2026 г.

lamp-cloud through 5.10.0 Unauthorized User Profile Access via getUserInfoById

• Нарушение контроля доступа (IDOR)

dromara · lamp-cloud21 сент. 2026 г.

lamp-cloud through 5.10.0 Unauthorized File Download via /anyone/file

• Нарушение контроля доступа (IDOR)

dromara · lamp-cloud21 сент. 2026 г.

lamp-cloud through 5.10.0 Unauthorized Profile Modification via PUT endpoints

• Нарушение контроля доступа (IDOR)

dromara · lamp-cloud21 сент. 2026 г.

lamp-cloud through 5.10.0 Unauthorized Notification Deletion

• Нарушение контроля доступа (IDOR)

dromara · lamp-cloud21 сент. 2026 г.

DesktopSMS 1.11.0 Unauthorized Access via Local Service

• Обход аутентификации
• Локальное повышение привилегий

mrpear · desktopsms21 сент. 2026 г.

Moore Threads MTT S80 Driver Package IOCTL mtdispkm64.sys sub_140006F0C privileges management

• Локальное повышение привилегий

moore threads · mtt s80 driver package21 сент. 2026 г.

Missing user-pointer validation in tgpio_pin_read_ts_ec syscall handler allows arbitrary supervisor-memory write from userspace

• Локальное повышение привилегий
• Ошибки памяти

zephyrproject · zephyr21 сент. 2026 г.

Warpgate: Missing Admin Authorization on Live Recording Stream WebSocket Allows Any Authenticated User to Eavesdrop on Terminal Sessions

• Нарушение контроля доступа (IDOR)

warp-tech · warpgate21 сент. 2026 г.

luci-app-adblock-fast: Delegated `luci-app-adblock-fast` users can reach root command execution by injecting newline-separated cron entries

• RCE

openwrt · luci-app-adblock-fast21 сент. 2026 г.

Envoy: use-after-free in QUIC on internal redirects

• Без аутентификации
• Ошибки памяти
• Отказ в обслуживании

envoyproxy · envoy21 сент. 2026 г.

Envoy: oghttp2 upstream trailers incorrect handling

• Без аутентификации
• Отказ в обслуживании

envoyproxy · envoy21 сент. 2026 г.

Envoy: Stored XSS in Admin Stats Interface (/stats?format=html)

• Без аутентификации
• XSS

envoyproxy · envoy21 сент. 2026 г.

Envoy ext_authz: request `:path` pseudoheader dereferenced w/o null check

• Без аутентификации
• Отказ в обслуживании

envoyproxy · envoy21 сент. 2026 г.

Envoy: Cross-user response poisoning via a generic (non-WebSocket) HTTP upgrade on Envoy's shared backend pool

• Без аутентификации

envoyproxy · envoy21 сент. 2026 г.

Envoy: HTTP/2 Discarded Host Header 200 GB Header-Copy OOM in Envoy

• Без аутентификации
• Отказ в обслуживании

envoyproxy · envoy21 сент. 2026 г.

Envoy: HTTP RBAC safe_regex can fail open on RFC-valid obs-text header values

• Без аутентификации

envoyproxy · envoy21 сент. 2026 г.

Dancer2 versions from 2.0.0 before 2.2.0 for Perl dispatch a route that a dying hook refused when the exception handler halts the response in compile_hooks

• Без аутентификации
• Отказ в обслуживании

21 сент. 2026 г.

Dancer2 versions from 2.1.0 before 2.2.0 for Perl serve files from outside public_dir via relative path segments in the File route handler

• Без аутентификации
• Обход пути

21 сент. 2026 г.

Gigatech PDV5701 WebSocket Service index.html missing authentication

• Без аутентификации
• Обход аутентификации

gigatech · pdv570121 сент. 2026 г.

Joplin: SSO Auth Code Login Missing Rate Limiting — 9-Digit Numeric Code Brute-Forceable via Unprotected Endpoint

• Без аутентификации

laurent22 · joplin21 сент. 2026 г.

Envoy: RBAC Authorization Bypass via Path Parameters

• Без аутентификации

envoyproxy · envoy21 сент. 2026 г.

Chartbrew: SQL Injection via Missing Backslash Escaping in ClickHouse Variable Substitution

• RCE без входа
• Обход аутентификации
• SQL-инъекция

chartbrew · chartbrew21 сент. 2026 г.

vLLM through 0.29.0 Denial of Service via Incomplete NIXL KV Transfer Metadata

• Без аутентификации

vllm · vllm21 сент. 2026 г.

vLLM through 0.29.0 Denial of Service via NIXL Multi-Prompt Assertion Failure

• Без аутентификации

vllm · vllm21 сент. 2026 г.

vLLM through 0.29.0 Denial of Service via Unbounded P2P KV Offloading Sessions

• Без аутентификации
• Отказ в обслуживании

vllm · vllm21 сент. 2026 г.

vLLM through 0.29.0 Memory Exhaustion via Unvalidated NIXL tp_size

• Без аутентификации

vllm · vllm21 сент. 2026 г.