Эксплуатируемые и новые серьёзные CVE: сентябрь 2026 г.

All in One Files Upload for WooCommerce 2.0.3 - 2.0.16 - Unauthenticated Stored XSS via SVG Upload

• Без аутентификации
• XSS

unknown · all in one files upload30 сент. 2026 г.

Vayu X < 1.0.6 - Subscriber+ Arbitrary WordPress.org Plugin Installation and Activation

• Нарушение контроля доступа (IDOR)

unknown · vayu x30 сент. 2026 г.

Robin Image Optimizer 2.0.0 - 2.0.7 - Unauthenticated Stored XSS via WebP URL Delivery HTML Parser

• Без аутентификации
• XSS

unknown · robin image optimizer30 сент. 2026 г.

WP Mobile Menu 2.7.4 - 2.8.8 - Stored XSS via CSRF

• Без аутентификации
• XSS
• CSRF

unknown · wp mobile menu30 сент. 2026 г.

Content Egg < 11.9.0 - Contributor+ Stored XSS via Import Queue

• XSS

unknown · content egg30 сент. 2026 г.

Verge3D < 4.13.1 - Unauthenticated Stored XSS via File Storage API

• Без аутентификации
• XSS

unknown · verge3d publishing and e-commerce30 сент. 2026 г.

Simply Schedule Appointments <= 1.6.12.27 - Authenticated (Subscriber+) Local File Inclusion via 'ssa_locale' Parameter

• RCE

croixhaug · simply schedule appointments30 сент. 2026 г.

WordPress GiveWP plugin <= 4.16.9 - Broken Authentication vulnerability

• Без аутентификации
• Обход аутентификации

liquid web / stellarwp · givewp30 сент. 2026 г.

Apache PLC4X: OPC UA secure channel: integrity bypass, unverifiable server certificate, and silent downgrade

• Без аутентификации
• Слабая криптография

apache software foundation · apache plc4x30 сент. 2026 г.

Motors <= 1.4.109 - Unauthenticated Blind SQL Injection via 'stm_lat'/'stm_lng' Parameters

• Без аутентификации
• SQL-инъекция

stylemix · motors – car dealership & classified listings plugin30 сент. 2026 г.

An out-of-bounds write vulnerability exists in Pgpool-II , which may allow an authenticated attacker to cause abnormal process termination o

• RCE
• Ошибки памяти

pgpool global development group · pgpool-ii30 сент. 2026 г.

An out-of-bounds write vulnerability exists in Pgpool-II, which may allow an authenticated attacker to cause abnormal process termination.

• Ошибки памяти

pgpool global development group · pgpool-ii30 сент. 2026 г.

A stack-based buffer overflow vulnerability exists in Pgpool-II, which may allow an unauthenticated attacker to cause abnormal process termi

• Без аутентификации
• Ошибки памяти

pgpool global development group · pgpool-ii30 сент. 2026 г.

A NULL pointer dereference vulnerability exists in Pgpool-II, which may allow an unauthenticated attacker to cause abnormal termination of t

• Без аутентификации
• Ошибки памяти

pgpool global development group · pgpool-ii30 сент. 2026 г.

When converting baserCMS4-style addons to baserCMS5-style ones, BcAddonMigrator includes "config.php" from the addon, which means the PHP c

basercms users community · bcaddonmigrator30 сент. 2026 г.

DigiWin｜EasyFlow .NET - Arbitrary File Upload

• RCE
• Загрузка файлов

digiwin · easyflow .net30 сент. 2026 г.

DigiWin｜EasyFlow .NET - Insecure Deserialization

• RCE без входа
• Десериализация

digiwin · easyflow .net30 сент. 2026 г.

DigiWin｜EasyFlow .NET - SQL Injection

• SQL-инъекция

digiwin · easyflow .net30 сент. 2026 г.

DigiWin｜EasyFlow .NET - Arbitrary File Read

• Обход пути

digiwin · easyflow .net30 сент. 2026 г.

DigiWin｜EasyFlow .NET - Missing Authentication

• Без аутентификации
• Обход аутентификации

digiwin · easyflow .net30 сент. 2026 г.

Apache PLC4X, Apache PLC4X: Pre-authentication resource exhaustion in the OPC UA driver and the Java SPI parser

• Без аутентификации
• Отказ в обслуживании

apache software foundation · apache plc4x30 сент. 2026 г.

Apache PLC4X: Go binding: unbounded allocation and framing failures on wire-controlled lengths

• Без аутентификации

apache software foundation · apache plc4x30 сент. 2026 г.

Apache PLC4X, Apache PLC4X, Apache PLC4X, Apache PLC4X: ADS discovery accepts spoofed responses and derives the connection target from them

• Без аутентификации

apache software foundation · apache plc4x30 сент. 2026 г.

Moodle: sql injection in question bank web service

• SQL-инъекция

moodle · moodle30 сент. 2026 г.

Product Designer App <= 1.1.3 - Unauthenticated Arbitrary File Read via 'svg' Parameter in pdapp-render-design

• Без аутентификации
• Обход пути

productdesignerapp · product designer app30 сент. 2026 г.

Post Views Stats Counter <= 1.1.7 - Unauthenticated Stored Cross-Site Scripting via User-Agent Header

• Без аутентификации
• XSS

kazukiyanamoto · post views stats counter30 сент. 2026 г.

MISP Event Delegation Mass Assignment Allows Retargeting Delegation to Arbitrary Events

• Нарушение контроля доступа (IDOR)

misp · misp30 сент. 2026 г.

MISP: Nested Model Alias Key Bypasses Sanitization to Modify Cross-Tenant Rows

misp · misp30 сент. 2026 г.

Information disclosure in BVMS 4.5 up to 12.3

• Без аутентификации
• Зашитые учётные данные

iqsight · bvms30 сент. 2026 г.

Apache MINA SSHD: Asynchronous authentication can bypass signature verification

• Без аутентификации
• Обход аутентификации

apache software foundation · apache mina sshd30 сент. 2026 г.

Improper Synchronization in Monitoring in CODESYS Control Runtime

• Состояние гонки

codesys · control rte (sl)30 сент. 2026 г.

Apache MINA SSHD: Repeated-publickey policy bypass on server

• Обход аутентификации

apache software foundation · apache mina sshd30 сент. 2026 г.

Apache MINA SSHD: Memory exhaustion in SFTP client via unsolicited SFTP replies

• Без аутентификации
• Отказ в обслуживании

apache software foundation · apache mina sshd30 сент. 2026 г.

Apache MINA SSHD: LDAP password authentication ineffective

• Без аутентификации

apache software foundation · apache mina sshd30 сент. 2026 г.

Apache MINA SSHD: LDAP injection in sshd-ldap

• Без аутентификации
• Обход аутентификации

apache software foundation · apache mina sshd30 сент. 2026 г.

MISP Tag Collection Save Allows Privilege Escalation via Sibling Model Injection

• Нарушение контроля доступа (IDOR)

misp · misp30 сент. 2026 г.

Uncontrolled Memory Allocation in CODESYS Gateway Client

• Без аутентификации
• Отказ в обслуживании

codesys · development system 330 сент. 2026 г.

Rpm: heap-based buffer overflow write in hex2binv() via a mistyped rpmtag_filesignatures header tag

• Ошибки памяти

red hat · red hat enterprise linux 1030 сент. 2026 г.

Cato Networks SDP Client for Windows is vulnerable to Local Privilege Escalation

• Обход пути
• Локальное повышение привилегий

cato networks · sdp client30 сент. 2026 г.

Cri-o: cri-o: sandbox state poisoning via pod annotations may expose runtime socket

red hat · red hat openshift container platform 430 сент. 2026 г.

Apache WSS4J: Insufficient Validation of Derived-Key Parameters

• Без аутентификации
• Отказ в обслуживании

apache · wss4j30 сент. 2026 г.

Apache WSS4J: Streaming WS-SecurityPolicy validation may skip element-protection checks.

• RCE без входа

apache · wss4j30 сент. 2026 г.

Apache WSS4J: SAML Sender-Vouches Authentication Bypass

• Без аутентификации
• Обход аутентификации

apache · wss4j30 сент. 2026 г.

WordPress If-So Dynamic Content Personalization plugin <= 1.10.1 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

if-so dynamic content · if-so dynamic content personalization30 сент. 2026 г.

WordPress Ninja Forms plugin <= 3.15.3 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

kevin stover · ninja forms30 сент. 2026 г.

WordPress Easy Google Maps plugin <= 1.14.6 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

supsystic · easy google maps30 сент. 2026 г.

WordPress Ultimate Maps by Supsystic plugin <= 1.5.5 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

supsystic · ultimate maps by supsystic30 сент. 2026 г.

WordPress Popup by Supsystic plugin <= 1.13.1 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

supsystic · popup by supsystic30 сент. 2026 г.

MISP Stored Cross-Site Scripting (XSS) via Unvalidated Event Graph Preview Image

• XSS

misp · misp30 сент. 2026 г.

WordPress Astra WordPress theme theme <= 4.13.12 - Content Injection vulnerability

• XSS

brainstorm force · astra wordpress theme30 сент. 2026 г.

WordPress WPFunnels plugin <= 3.13.1 - Reflected Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

wpfunnels · wpfunnels30 сент. 2026 г.

WordPress WP Activity Log plugin <= 5.6.6 - SQL Injection vulnerability

• SQL-инъекция

melapress · wp activity log30 сент. 2026 г.

Authentication Bypass in sogo_yhn

• Без аутентификации
• Обход аутентификации
• Нарушение контроля доступа (IDOR)

yunohost-apps · sogo_yhn30 сент. 2026 г.

Authentication Bypass in sogo_yhn

• Без аутентификации
• Обход аутентификации
• Нарушение контроля доступа (IDOR)

yunohost-apps · sogo_yhn30 сент. 2026 г.

Cisco Catalyst SD-WAN Manager System Account Authorization Bypass Vulnerability

• Без аутентификации
• Обход аутентификации

cisco · catalyst sd-wan manager30 сент. 2026 г.

Apache WSS4J: WSS4J EncryptedHeader child confusion causing wrong protected-header selection

• Без аутентификации

apache · wss4j30 сент. 2026 г.

Apache WSS4J: WS-SecurityPolicy signature checks skipped in the streaming code after an STR-Transform reference

• Без аутентификации

apache · wss4j30 сент. 2026 г.

WordPress JW Player for WordPress plugin <= 2.3.11 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

ilghera · jw player for wordpress30 сент. 2026 г.

WordPress Notification for Telegram plugin <= 3.5.2 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

rainafarai · notification for telegram30 сент. 2026 г.

WordPress WP Data Access plugin <= 5.5.84 - SQL Injection vulnerability

• Без аутентификации
• SQL-инъекция

passionate programmer peter · wp data access30 сент. 2026 г.

WordPress Music Player for WooCommerce plugin <= 1.9.1 - PHP Object Injection vulnerability

• Десериализация

codepeople · music player for woocommerce30 сент. 2026 г.

WordPress Minimum and Maximum Quantity for WooCommerce plugin <= 2.1.2 - PHP Object Injection vulnerability

• Десериализация

dotstore · minimum and maximum quantity for woocommerce30 сент. 2026 г.

WordPress WP Statistics plugin <= 14.16.13 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

veronalabs · wp statistics30 сент. 2026 г.

WordPress Cost of Goods for WooCommerce plugin <= 3.5.2 - PHP Object Injection vulnerability

• Десериализация

wpfactory · cost of goods for woocommerce30 сент. 2026 г.

WordPress SEO Plugin by Squirrly SEO plugin <= 14.2.5 - PHP Object Injection vulnerability

• Десериализация

seo squirrly · seo plugin by squirrly seo30 сент. 2026 г.

WordPress Site Reviews plugin <= 8.3.1 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

gemini labs · site reviews30 сент. 2026 г.

WordPress WordPress Persistent Login plugin <= 3.1.3 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

lukeseager · wordpress persistent login30 сент. 2026 г.

WordPress Quiz Cat plugin <= 3.1.1 - SQL Injection vulnerability

• SQL-инъекция

fatcatapps · quiz cat30 сент. 2026 г.

WordPress Easy Pricing Tables plugin <= 4.1.2 - SQL Injection vulnerability

• SQL-инъекция

fatcatapps · easy pricing tables30 сент. 2026 г.

WordPress GravityExport Lite for Gravity Forms plugin <= 2.7.2 - Broken Access Control vulnerability

• Без аутентификации
• Нарушение контроля доступа (IDOR)

gravitykit · gravityexport lite for gravity forms30 сент. 2026 г.

WordPress 10Web Booster – Website speed optimization, Cache & Page Speed optimizer plugin <= 2.33.6 - PHP Object Injection vulnerability

• Десериализация

10web · 10web booster – website speed optimization, cache & page speed optimizer30 сент. 2026 г.

WordPress Responsive Slider Gallery plugin <= 1.5.5 - PHP Object Injection vulnerability

• Десериализация

a wp life · responsive slider gallery30 сент. 2026 г.

WordPress NextGEN Gallery plugin <= 4.5.0 - Arbitrary File Download vulnerability

• Без аутентификации
• Обход пути

syed balkhi · nextgen gallery30 сент. 2026 г.

WordPress GamiPress plugin <= 8.0.2 - SQL Injection vulnerability

• SQL-инъекция

ruben garcia · gamipress30 сент. 2026 г.

WordPress Import and export users and customers plugin <= 2.5.2 - Privilege Escalation vulnerability

javier carazo · import and export users and customers30 сент. 2026 г.

WordPress AcyMailing SMTP Newsletter plugin <= 11.0.5 - Remote Code Execution (RCE) vulnerability

• RCE без входа

acymailing newsletter team · acymailing smtp newsletter30 сент. 2026 г.

WordPress FormGent plugin <= 1.12.2 - Broken Access Control vulnerability

• Нарушение контроля доступа (IDOR)

wpwax · formgent30 сент. 2026 г.

WordPress Kadence WooCommerce Email Designer plugin <= 1.5.19.1 - PHP Object Injection vulnerability

• Десериализация

nexcess · kadence woocommerce email designer30 сент. 2026 г.

WordPress Go Live Update Urls plugin <= 7.0.8 - PHP Object Injection vulnerability

• Десериализация

mat lipe · go live update urls30 сент. 2026 г.

WordPress DesignSetGo plugin <= 2.8.0 - PHP Object Injection vulnerability

• Десериализация

justin nealey · designsetgo30 сент. 2026 г.

WordPress Conversational Forms for ChatBot plugin <= 1.5.0 - PHP Object Injection vulnerability

• Десериализация

quantumcloud · conversational forms for chatbot30 сент. 2026 г.

WordPress Hostinger Migrator plugin <= 1.0 - Broken Access Control vulnerability

• Без аутентификации
• Нарушение контроля доступа (IDOR)

hostinger · hostinger migrator30 сент. 2026 г.

Apache WSS4J: Unauthenticated denial of service via integer overflow in DER parsing of X.509 certificate extensions

• Без аутентификации
• Ошибки памяти
• Отказ в обслуживании

apache · wss4j30 сент. 2026 г.

WordPress WP ERP plugin <= 1.17.9 - PHP Object Injection vulnerability

• Десериализация

wedevs · wp erp30 сент. 2026 г.

WordPress eCommerce Product Catalog plugin <= 3.6.0 - PHP Object Injection vulnerability

• Десериализация

implecode · ecommerce product catalog30 сент. 2026 г.

WordPress Estatik plugin <= 4.3.5 - SQL Injection vulnerability

• SQL-инъекция

estatik · estatik30 сент. 2026 г.

WordPress WP ERP plugin <= 1.17.9 - SQL Injection vulnerability

• SQL-инъекция

wedevs · wp erp30 сент. 2026 г.

WordPress Bookly plugin <= 28.2 - Broken Access Control vulnerability

• Без аутентификации
• Нарушение контроля доступа (IDOR)

bookly · bookly30 сент. 2026 г.

WordPress SiteSkite plugin <= 2.1.8 - Remote Code Execution (RCE) vulnerability

• RCE без входа

siteskite · siteskite30 сент. 2026 г.

WordPress Estatik plugin <= 4.3.5 - Privilege Escalation vulnerability

• Без аутентификации

estatik · estatik30 сент. 2026 г.

WordPress Classified Listing plugin <= 6.1.3 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

radiustheme · classified listing30 сент. 2026 г.

WordPress YITH WooCommerce Ajax Search plugin <= 2.28.0 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

yithemes · yith woocommerce ajax search30 сент. 2026 г.

WordPress WooCommerce Product Table Lite plugin <= 5.6.7 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

wp titan labs · woocommerce product table lite30 сент. 2026 г.

WordPress Vitepos plugin <= 3.5.0 - Privilege Escalation vulnerability

appsbd · vitepos30 сент. 2026 г.

WordPress Trusted Shops Easy Integration for WooCommerce plugin <= 2.0.6 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

vendidero · trusted shops easy integration for woocommerce30 сент. 2026 г.

WordPress MakeCommerce for WooCommerce plugin <= 4.1.0 - Broken Access Control vulnerability

• Без аутентификации
• Нарушение контроля доступа (IDOR)

makecommerce.net · makecommerce for woocommerce30 сент. 2026 г.

WordPress WP Express Checkout (Accept PayPal Payments) plugin <= 2.4.9 - Broken Access Control vulnerability

• Без аутентификации
• Нарушение контроля доступа (IDOR)

mra13 / team tips and tricks hq · wp express checkout (accept paypal payments)30 сент. 2026 г.

WordPress oik plugin <= 4.15.4 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

bobbingwide · oik30 сент. 2026 г.

WordPress Awesome Support plugin <= 6.3.9 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

awesomesupport · awesome support30 сент. 2026 г.

WordPress Books Gallery plugin <= 4.8.3 - SQL Injection vulnerability

• Без аутентификации
• SQL-инъекция

hossni mubarak · books gallery30 сент. 2026 г.