Эксплуатируемые и новые серьёзные CVE: сентябрь 2026 г.

vLLM through 0.29.0 GPU KV Cache Leak via Mooncake Transfer ID Collision

• Без аутентификации
• Отказ в обслуживании

vllm · vllm21 сент. 2026 г.

Meta Box AIO <= 3.11.0 And Standalone Plugin Extensions - Unauthenticated Privilege Escalation to Administrator to 'rwmb_frontend_field_object_id' Parameter

• Без аутентификации

meta box · meta box frontend submission22 сент. 2026 г.

Give Tributes <= 2.3.1 - Unauthenticated PHP Object Injection via 'give_tributes_ecard_notify[recipient][personalized][]' Parameter

• Без аутентификации
• Десериализация

liquidweb · give tributes22 сент. 2026 г.

CMP <= 4.1.17 - Authenticated (Editor+) Privilege Escalation via Arbitrary Option Update to cmp_ajax_import_settings AJAX Action

niteo · cmp – coming soon & maintenance plugin by niteothemes22 сент. 2026 г.

TranslatePress <= 3.3.5 - Unauthenticated Stored Cross-Site Scripting via Translation Memory Suggestion Panel

• Без аутентификации
• XSS

cozmoslabs · translatepress – translate multilingual sites with ai translation22 сент. 2026 г.

Ninja Forms 3.15.3 - Unauthenticated PHP Object Injection via CSV Export

• RCE без входа
• Десериализация

unknown · ninja forms22 сент. 2026 г.

Ninja Forms 3.15.3 - Unauthenticated Stored XSS via Paragraph Text Field in Submissions Admin

• Без аутентификации
• XSS

unknown · ninja forms22 сент. 2026 г.

Ninja Forms – The Contact Form Builder That Grows With You <= 3.15.3 - Stored Cross-Site Scripting

• Без аутентификации
• XSS

kstover · ninja forms – contact form builder with calculators, quizzes, signatures & ai form builder22 сент. 2026 г.

Net::IDN::Punycode versions before 2.301 for Perl allow a heap buffer overflow via unchecked writes past the output buffer in encode_punycode

• Без аутентификации
• Ошибки памяти

22 сент. 2026 г.

WP Table Builder <= 2.2.1 - Incorrect Authorization to Authenticated (Subscriber+) Arbitrary Post Deletion via 'ids' Parameter

• Нарушение контроля доступа (IDOR)

wptb · wp table builder – drag & drop table builder22 сент. 2026 г.

Net::IDN::Punycode versions from 2.301 before 2.590 for Perl allow a heap use-after-free via a decoded code point that reallocates the output buffer in decode_p

• Ошибки памяти

22 сент. 2026 г.

Net::IDN::Punycode versions from 2.302 before 2.590 for Perl leak the output buffer on every rejected label in decode_punycode

• Без аутентификации
• Отказ в обслуживании

22 сент. 2026 г.

Net::IDN::Punycode versions before 2.590 for Perl allow CPU exhaustion via quadratic insertion cost when decoding a long label in decode_punycode

• Без аутентификации
• Отказ в обслуживании

22 сент. 2026 г.

Net::IDN::Punycode::PP versions before 2.590 for Perl decode a truncated label to a name containing a character it never encoded in decode_punycode

• Без аутентификации

22 сент. 2026 г.

Net::IDN::UTS46 versions before 2.590 for Perl allow CPU exhaustion via quadratic punycode encoding of an overlong label before the length check in to_ascii

• Без аутентификации
• Отказ в обслуживании

22 сент. 2026 г.

Net::IDN::Punycode versions before 2.590 for Perl hang, crash or return a wrong label via unvalidated malformed UTF-8 in encode_punycode

• Без аутентификации
• Отказ в обслуживании

22 сент. 2026 г.

WP Ultimate Review <= 2.4.2 - Authenticated (Subscriber+) Arbitrary Shortcode Execution via 'xs_submit_review_data[xs_reviw_summery]' Parameter

• RCE

roxnor · wp ultimate review22 сент. 2026 г.

HUSKY <= 1.4.4 - Unauthenticated Local File Inclusion via 'custom_tpl' Shortcode Attribute via 'woof_draw_products' AJAX

• RCE без входа
• Обход аутентификации

realmag777 · husky – products filter for woocommerce professional22 сент. 2026 г.

WP Yelp Review Slider <= 9.2 - Unauthenticated Stored Cross-Site Scripting via Yelp Review Text (imported via wpyelp_download_source)

• Без аутентификации
• XSS

jgwhite33 · wp yelp review slider22 сент. 2026 г.

WPC Product Bundles for WooCommerce <= 8.6.6 - Unauthenticated Stored Cross-Site Scripting via 'qty' Parameter

• Без аутентификации
• XSS

wpclever · wpc product bundles for woocommerce22 сент. 2026 г.

Security Advisory 0183

• Без аутентификации

arista · velocloud orchestrator22 сент. 2026 г.

TLS 1.3 client skips server authentication when ServerHello carries an unsolicited pre_shared_key extension

• Без аутентификации

erlang · otp22 сент. 2026 г.

Direct references to unsafe objects (IDOR) in Tankuam Places by Kompini

• Без аутентификации
• Нарушение контроля доступа (IDOR)

kompini · tankuam places22 сент. 2026 г.

WordPress Taxi Booking Manager for WooCommerce plugin < 2.0.8 - Broken Authentication vulnerability

• Без аутентификации
• Обход аутентификации

magepeople inc. · taxi booking manager for woocommerce22 сент. 2026 г.

WP Travel Engine <= 6.8.0 - Authenticated (Contributor+) Local File Inclusion via 'template' Shortcode Attribute

• RCE

wptravelengine · wp travel engine – tour booking plugin – tour operator software22 сент. 2026 г.

Improper authorization in Qualcomm Software Center

• RCE без входа
• Нарушение контроля доступа (IDOR)

qualcomm · software center22 сент. 2026 г.

Uncontrolled Search Path Element in Qualcomm Software Center

• Локальное повышение привилегий

qualcomm · software center22 сент. 2026 г.

Creation of Temporary File with Insecure Permissions in Qualcomm Software Center

• Локальное повышение привилегий

qualcomm · software center22 сент. 2026 г.

Reflected arbitrary origins with credentials, allowing cross-origin reads of authenticated user data

• Без аутентификации
• CSRF

eclipse foundation · open-vsx.org22 сент. 2026 г.

WordPress HashBar – WordPress Notification Bar plugin <= 2.0.3 - SQL Injection vulnerability

• SQL-инъекция

devitems · hashbar – wordpress notification bar22 сент. 2026 г.

BM Content Builder < 3.17.1 - Authenticated (Subscriber+) Arbitrary File Deletion

• RCE
• Обход пути

seatheme · bm content builder22 сент. 2026 г.

Remote code execution vulnerability

• RCE без входа
• Инъекция команд

zohocorp · manageengine adselfservice plus22 сент. 2026 г.

mpp Tempo subscription key authorization is not bound to the issuing challenge, allowing a captured activation credential to be replayed

• Без аутентификации
• Обход аутентификации

zenhive · mpp22 сент. 2026 г.

Session voucher adding no new funds is accepted without a charge in mpp, serving paid resources for free

zenhive · mpp22 сент. 2026 г.

Superlinear CPU denial of service in Erlang/OTP ASN.1 OBJECT IDENTIFIER decoder

• Без аутентификации

erlang · otp22 сент. 2026 г.

SSH daemon allocates unbounded idle session channels, bypassing max_channels

• Отказ в обслуживании

erlang · otp22 сент. 2026 г.

Libslirp: libslirp: heap buffer overflow in dhcpv6/tftp response builders on small interface mtu

• RCE без входа
• Ошибки памяти

red hat · red hat enterprise linux 1022 сент. 2026 г.

Authentication bypass vulnerability

• Без аутентификации
• Обход аутентификации

zohocorp · manageengine adselfservice plus22 сент. 2026 г.

Directory Traversal and File upload allows execution of arbitrary script on the Management Server

• RCE без входа
• Обход пути

checkpoint · multi-domain security management22 сент. 2026 г.

Exposed function in Qualcomm Package Manager and Qualcomm Software Center.

• Локальное повышение привилегий

qualcomm · package manager22 сент. 2026 г.

Write-what-where Condition in Primary Bootloader

qualcomm · mdm9207 firmware22 сент. 2026 г.

SQLi in Karel Electronics' KarelIPS

• Без аутентификации
• SQL-инъекция

karel electronic industry and trade inc. · karelips22 сент. 2026 г.

MarketKing < 2.1.72 Missing Authorization via marketking_admin_vendors_ajax

• Нарушение контроля доступа (IDOR)

webwizards · marketking22 сент. 2026 г.

D-Link DAP-1360 6.14 Unauthenticated RCE via Web Management Interface

• RCE без входа
• Инъекция команд

d-link · dap-136022 сент. 2026 г.

NVIDIA NeMo Speech for all platforms contains a vulnerability where malicious data created by an attacker could cause remote code execution.

• RCE
• Десериализация

nvidia · nemo speech22 сент. 2026 г.

NVIDIA NeMo Speech for all platforms contains a vulnerability in the speech data explorer component, where malicious data created by an atta

• RCE
• Десериализация
• Локальное повышение привилегий

nvidia · nemo speech22 сент. 2026 г.

NVIDIA NeMo Speech for all platforms contains a vulnerability where malicious input created by an attacker could cause a code injection.

• RCE
• Инъекция команд

nvidia · nemo speech22 сент. 2026 г.

webpy web.py 0.76 is vulnerable to Insufficient Session Expiration.

• Без аутентификации

22 сент. 2026 г.

A horizontal privilege escalation vulnerability exists in x-ui 0.3.2.

• Нарушение контроля доступа (IDOR)

22 сент. 2026 г.

jackson-core: quadratic backtracking in NumberInput.PATTERN_FLOAT via looksLikeValidNumber() enables ReDoS

• Без аутентификации
• Десериализация
• Отказ в обслуживании

fasterxml · jackson-core22 сент. 2026 г.

SGLang's multimodal generation runtime is vulnerable to unauthenticated arbitrary code execution because the disaggregated-diffusion orchest

• RCE без входа
• Десериализация

sglang · sglang22 сент. 2026 г.

MarketKing < 2.1.72 Missing Authorization via marketking_get_page_content AJAX

• Нарушение контроля доступа (IDOR)

webwizards · marketking22 сент. 2026 г.

BIG-IP APM OAuth vulnerability

• RCE без входа
• Ошибки памяти

f5 · big-ip access policy manager22 сент. 2026 г.

MISP Path Traversal in OrgImgHelper findOrgImage via Crafted Organization Name

• Обход пути

misp · misp22 сент. 2026 г.

Apache Calcite Avatica: Unrestricted class initialization when instantiating plugins

apache software foundation · apache calcite avatica22 сент. 2026 г.

Frigate: WebSocket Missing Authorization — Viewer Can Execute Admin-Only Operations

• Нарушение контроля доступа (IDOR)

blakeblackshear · frigate22 сент. 2026 г.

Vector: Unauthenticated denial of service in the `logstash` source via unbounded memory allocation.

• Без аутентификации

vectordotdev · vector22 сент. 2026 г.

Vector: Unauthenticated denial of service in the `logstash` source via nested compressed frames (stack exhaustion and decompression amplification).

• Без аутентификации

vectordotdev · vector22 сент. 2026 г.

Vector: Arbitrary file write in the file sink via templated path (path traversal).

• Без аутентификации
• Обход пути

vectordotdev · vector22 сент. 2026 г.

Cloudreve: Storage-quota TOCTOU race allows quota bypass and storage-based denial of service

• Состояние гонки

cloudreve · cloudreve22 сент. 2026 г.

Lantronix Autonomous Out-of-Band Devices CLI Command Injection via mfc eeprom read

• RCE
• Инъекция команд

lantronix · slc800022 сент. 2026 г.

Lantronix Autonomous Out-of-Band Devices CLI Command Injection via mfc eeprom write

• RCE
• Инъекция команд

lantronix · slc800022 сент. 2026 г.

Lantronix Autonomous Out-of-Band Devices CLI Command Injection via set cifs password

• RCE
• Инъекция команд

lantronix · slc800022 сент. 2026 г.

Lantronix Autonomous Out-of-Band Devices Stack-Based Buffer Overflow via mfc eeprom read

• RCE
• Ошибки памяти

lantronix · slc800022 сент. 2026 г.

Lantronix Autonomous Out-of-Band Devices Stack-Based Buffer Overflow via mfc eeprom write

• RCE
• Ошибки памяти

lantronix · slc800022 сент. 2026 г.

Lantronix Autonomous Out-of-Band Devices WebSSH SSRF via Username Truncation

• Без аутентификации
• SSRF

lantronix · slc800022 сент. 2026 г.

Lantronix Autonomous Out-of-Band Devices WebSSH SSRF via rooturl Parameter

• Без аутентификации
• SSRF

lantronix · slc800022 сент. 2026 г.

Lantronix Autonomous Out-of-Band Devices WebTelnet SSRF via rooturl Parameter

• Без аутентификации
• SSRF

lantronix · slc800022 сент. 2026 г.

Lantronix Autonomous Out-of-Band Devices OS Command Injection via set nfs download

• RCE
• Инъекция команд

lantronix · slc800022 сент. 2026 г.

Lantronix Autonomous Out-of-Band Devices OS Command Injection via set script schedule

• RCE
• Инъекция команд

lantronix · slc800022 сент. 2026 г.

Lantronix Autonomous Out-of-Band Devices Predictable Session Token with Validation Bypass

• Без аутентификации
• Обход аутентификации
• Слабая криптография

lantronix · slc800022 сент. 2026 г.

Lantronix Autonomous Out-of-Band Devices Unauthenticated Authentication Bypass via snprintf Path Truncation

• RCE без входа
• Обход аутентификации
• Обход пути

lantronix · slc800022 сент. 2026 г.

Lantronix Autonomous Out-of-Band Devices Arbitrary File Write via Upload Filename Validation Bypass

• RCE
• Обход пути

lantronix · slc800022 сент. 2026 г.

Twenty: Field-level read bypass

• Утечка информации

twentyhq · twenty22 сент. 2026 г.

Concrete CMS Community Store before 2.7.8 Predictable Digital Download Token

• Без аутентификации

concretecms-community-store · community_store22 сент. 2026 г.

Databasement before 1.7.14 Authorization Bypass via Stale Invitation Token

• Без аутентификации
• Нарушение контроля доступа (IDOR)

david-crty · databasement22 сент. 2026 г.

MISP: PHP phar stream wrapper enables deserialization and code execution via caller-influenced filesystem paths

• RCE
• Десериализация

misp · misp22 сент. 2026 г.

Gcc: libstdc++ integer overflow in `new` operator

• Без аутентификации
• Ошибки памяти

red hat · red hat hardened images22 сент. 2026 г.

Netdata: Local Privilege Escalation in Netdata Agent Windows installer via PowerShell Profile Hijack in MSI Repair

• Локальное повышение привилегий

netdata · netdata22 сент. 2026 г.

Netdata: WebSocket Decompression Bomb

• Без аутентификации
• Отказ в обслуживании

netdata · netdata22 сент. 2026 г.

Netdata: Local Root via ndsudo Arbitrary socket_path → fail2ban-client Pickle RCE

• RCE
• Обход пути
• Локальное повышение привилегий

netdata · netdata22 сент. 2026 г.

Sentry: Unsafe pickle deserialization in Relocation Feature

• RCE
• Десериализация

getsentry · sentry22 сент. 2026 г.

LightRAG: No Rate Limiting on /login Endpoint Allows Brute-Force Attacks

• Без аутентификации

hkuds · lightrag22 сент. 2026 г.

Dokploy: Git Provider Credential Exposure via Unprotected .one Endpoints and application.one

• Утечка информации

dokploy · dokploy22 сент. 2026 г.

An unauthenticated attacker can make `get_page_template()` page-template resolution include a chosen readable local `.php` file outside the

• RCE без входа

wordpress · wordpress22 сент. 2026 г.

Unauthenticated /enterprise/create-user mints lifetime top-tier organizations and discloses their API key

• Обход аутентификации

gitroomhq · postiz-app22 сент. 2026 г.

Unauthenticated recovery of the Math.random() state behind OAuth tokens, authorization codes, client secrets and organization API keys

• Без аутентификации
• Слабая криптография

gitroomhq · postiz-app22 сент. 2026 г.

Heap-based Buffer Overflow vulnerability in RTI Connext Professional (Core Libraries) allows Overflow Buffers.

• Без аутентификации
• Ошибки памяти

rti · connext professional22 сент. 2026 г.

Incorrect Calculation vulnerability in RTI Connext Professional (Core Libraries) allows Abuse Existing Functionality.

• Без аутентификации

rti · connext professional22 сент. 2026 г.

Use of Externally-Controlled Format String vulnerability in RTI Connext Professional (Core Libraries) allows Format String Injection.

• Без аутентификации

rti · connext professional22 сент. 2026 г.

Integer Overflow or Wraparound, Improper Access Control vulnerability in RTI Connext Professional (Core Libraries) allows Shared Resource Manipulation.

• Ошибки памяти

rti · connext professional22 сент. 2026 г.

Softaculous Virtualizor OS Command Injection via Billing Module Handler

• RCE без входа
• Обход аутентификации
• Десериализация
• Инъекция команд

softaculous · virtualizor22 сент. 2026 г.

Softaculous Virtualizor PHP Object Injection via Billing Module Handler

• RCE без входа
• Десериализация

softaculous · virtualizor22 сент. 2026 г.

Softaculous Virtualizor Authorization Bypass via Billing Module Handler

• Без аутентификации
• Нарушение контроля доступа (IDOR)

softaculous · virtualizor22 сент. 2026 г.

Adobe Campaign Classic (ACC) | Improper Control of Generation of Code ('Code Injection') (CWE-94)

• RCE без входа

adobe · campaign22 сент. 2026 г.

Adobe Campaign Classic (ACC) | Improper Control of Generation of Code ('Code Injection') (CWE-94)

• RCE без входа

adobe · campaign22 сент. 2026 г.

Adobe Campaign Classic (ACC) | Improper Control of Generation of Code ('Code Injection') (CWE-94)

• RCE без входа

adobe · campaign22 сент. 2026 г.

Adobe Campaign Classic (ACC) | Improper Control of Generation of Code ('Code Injection') (CWE-94)

• RCE без входа

adobe · campaign22 сент. 2026 г.

Adobe Campaign Classic (ACC) | Incorrect Authorization (CWE-863)

• RCE без входа
• Нарушение контроля доступа (IDOR)

adobe · campaign22 сент. 2026 г.

Adobe Campaign Classic (ACC) | Incorrect Authorization (CWE-863)

• RCE без входа
• Нарушение контроля доступа (IDOR)

adobe · campaign22 сент. 2026 г.