Эксплуатируемые и новые серьёзные CVE: октябрь 2026 г.

Insights-operator: gather serviceaccount has cluster-wide secret read plus nodes/proxy and cluster-reader

red hat · red hat openshift container platform 48 окт. 2026 г.

SGLang contains an arbitrary code execution vulnerability caused by the ZMQ message decoder unconditionally deserializing PickleWrapper payl

• RCE без входа
• Десериализация

sglang · sglang8 окт. 2026 г.

mJobTime 15.7.3.32 Unauthenticated SQL Execution RCE via Login.aspx

• RCE без входа

mjob · mjobtime8 окт. 2026 г.

Obsidian Desktop < 1.14.0 RCE via Slides Plugin Markdown

• RCE
• XSS

obsidian · obsidian desktop8 окт. 2026 г.

Obsidian Desktop < 1.14.0 RCE via MathJax Safe Filter Bypass

• RCE
• XSS

obsidian · obsidian desktop8 окт. 2026 г.

WordPress MainWP Child plugin <= 6.2.1 - Deserialization of untrusted data vulnerability

• Без аутентификации
• Десериализация

mainwp · mainwp child8 окт. 2026 г.

`pydantic-ai-slim` web UI `/api/chat` accepts browser-simple cross-origin requests that can trigger agent tool execution

• Без аутентификации
• CSRF

pydantic · pydantic ai8 окт. 2026 г.

msgpack5: Many buffered values can exhaust the streaming decoder stack

• Без аутентификации
• Отказ в обслуживании

mcollina · msgpack58 окт. 2026 г.

Bower decompress-zip has a path traversal vulnerability

• RCE
• Обход пути

bower decompress-zip · decompress-zip8 окт. 2026 г.

Zimbra Collaboration Suite GrantRightsRequest SOAP Handler Allows Self-Granting of Undocumented loginAs Mailbox Delegation Right

zimbra · zimbra collaboration suite8 окт. 2026 г.

Zimbra Collaboration Suite Sieve Notify Filter Action Bypasses Mail Forwarding Restriction via Variable Expansion

• Нарушение контроля доступа (IDOR)

zimbra · zimbra collaboration suite8 окт. 2026 г.

msgpack5: Truncated map32 headers throw an unexpected error

• Без аутентификации
• Ошибки памяти
• Отказ в обслуживании

mcollina · msgpack58 окт. 2026 г.

JHipster: Generated Applications Allow Stored XSS via Unrestricted Blob ContentType Opened as Same-Origin Blob

• XSS

jhipster · generator-jhipster8 окт. 2026 г.

Incorrect Authorization in Malcolm

• Нарушение контроля доступа (IDOR)

cisa · malcolm8 окт. 2026 г.

Cross-Site Request Forgery in Malcolm

• RCE
• CSRF

cisa · malcolm8 окт. 2026 г.

Server-Side Request Forgery in Malcolm

• SSRF

cisa · malcolm8 окт. 2026 г.

JHipster: SQL Injection in the Parameter of JHipster-Generated Reactive (WebFlux + R2DBC) Applicationssort

• SQL-инъекция

jhipster · generator-jhipster8 окт. 2026 г.

webonyx graphql-php: Unbounded recursion in parser causes stack overflow on crafted nested input

• Без аутентификации
• Отказ в обслуживании

webonyx · graphql-php8 окт. 2026 г.

datamodel-code-generator: Protobuf weak-import path traversal allows files to be written outside the temporary directory

• Без аутентификации
• Обход пути

datamodel-code-generator · datamodel-code-generator8 окт. 2026 г.

CairoSVG: Quadratic-time DoS parsing a crafted SVG <path>

• Без аутентификации

kozea · cairosvg8 окт. 2026 г.

FFmpeg before 8.1.3 HLS Demuxer Infinite Loop via Self-Referencing Playlist

• Без аутентификации
• Отказ в обслуживании

ffmpeg · ffmpeg8 окт. 2026 г.

FFmpeg through 9.0.2 Infinite Loop via RTSP Redirect Handling in rtsp.c

• Без аутентификации
• Отказ в обслуживании

ffmpeg · ffmpeg8 окт. 2026 г.

FFmpeg before 7.1.4 and 8.0.2 SSRF via RTSP Redirect Handling

• Без аутентификации
• SSRF

ffmpeg · ffmpeg8 окт. 2026 г.

In OpenStack Mistral through 23.0.0, the std.ssh_proxied action passes a caller-supplied proxy_command value directly to paramiko.ProxyComma

• RCE
• Инъекция команд

openstack · mistral8 окт. 2026 г.

In OpenStack Mistral through 23.0.0, the /v2/maintenance API controller clears the request context and calls the maintenance service directl

• Нарушение контроля доступа (IDOR)

openstack · mistral8 окт. 2026 г.

In OpenStack Mistral through 23.0.0, several of the v2 API write paths resolve the target object with a query that can return another projec

• Нарушение контроля доступа (IDOR)

openstack · mistral8 окт. 2026 г.

Application denial of service via malformed KMS endpoint in MongoDB libmongocrypt

• Ошибки памяти

mongodb · libmongocrypt8 окт. 2026 г.

Heap corruption via duplicate masterKey fields in MongoDB libmongocrypt

mongodb · libmongocrypt8 окт. 2026 г.

OS command injection in Amazon Agent Plugins for AWS databases-on-aws

• RCE
• Инъекция команд

aws · databases-on-aws8 окт. 2026 г.

Application denial of service via integer overflow in BSON value-length validation in MongoDB Go Driver

• Без аутентификации
• Ошибки памяти

mongodb · go driver8 окт. 2026 г.

Application denial of service via missing BSON array length validation in MongoDB Go Driver

• Без аутентификации

mongodb · go driver8 окт. 2026 г.

MariaDB Connector/Node.js exposes uninitialized process memory through malformed GeoJSON parameters

• Без аутентификации
• Утечка информации

mariadb-corporation · mariadb-connector-nodejs8 окт. 2026 г.

MariaDB Connector/Node.js: SQL injection through object keys in SET expansion (permitSetMultiParamEntries)

• Без аутентификации
• SQL-инъекция

mariadb-corporation · mariadb-connector-nodejs8 окт. 2026 г.

MariaDB Connector/Node.js: SQL injection in the text protocol when the session uses NO_BACKSLASH_ESCAPES

• Без аутентификации
• SQL-инъекция

mariadb-corporation · mariadb-connector-nodejs8 окт. 2026 г.

ppt2png through 0.0.6 OS Command Injection via input and output paths

• RCE без входа
• Инъекция команд

tzwm · ppt2png8 окт. 2026 г.

dot-access 0.0.3 through 1.0.0 Code Injection via get() Path Argument

• RCE без входа

ntharim · dot-access8 окт. 2026 г.

dot-access through 1.0.0 Prototype Pollution via set() path argument

• Без аутентификации
• Prototype pollution

ntharim · dot-access8 окт. 2026 г.

@enmaso/node-convert through 1.0.0 OS Command Injection via filepath and convertTo

• RCE без входа
• Инъекция команд

enmaso · @enmaso/node-convert8 окт. 2026 г.

image_optimizer 1.3.0 through 1.9.0 OS Command Injection via identify_format

• RCE без входа
• Инъекция команд

jtescher · image_optimizer8 окт. 2026 г.

WordPress aBlocks plugin <= 2.16.0 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

kodezen llc · ablocks8 окт. 2026 г.

IBM Guardium Data Protection Denial of Service

• Без аутентификации
• Отказ в обслуживании

ibm · guardium data protection8 окт. 2026 г.

IBM Guardium Data Protection Command Injection

• RCE
• Инъекция команд

ibm · guardium data protection8 окт. 2026 г.

TVU Networks Receiver/Transceiver Authentication Bypass via /tvu/Login

• Без аутентификации
• Обход аутентификации

tvu networks · tvu receiver / transceiver8 окт. 2026 г.

TVU Networks Receiver/Transceiver Missing Authentication via REST API

• Без аутентификации
• Обход аутентификации

tvu networks · tvu receiver / transceiver8 окт. 2026 г.

A command injection vulnerability in the Active Directory Events Listener of Tenable Identity Exposure (SaaS) allows an authenticated, low-p

• RCE
• Инъекция команд

tenable, inc. · tenable identity exposure (saas)8 окт. 2026 г.

music-metadata: MP4 parser allows memory exhaustion via oversized extended atom length

• Без аутентификации
• Отказ в обслуживании

borewit · music-metadata8 окт. 2026 г.

music-metadata: MP4 stsd sample-entry size==0 causes a synchronous infinite loop (DoS) — unreleased regression on master

• Без аутентификации
• Отказ в обслуживании

borewit · music-metadata8 окт. 2026 г.

music-metadata: uncatchable process crash parsing a crafted `.dsf` (residual of CVE-2026-32256)

• Без аутентификации
• Отказ в обслуживании

borewit · music-metadata8 окт. 2026 г.

Poppler 0.42.0 through 26.10.0 Stack Buffer Overflow via Decrypt::revision6Hash()

• Без аутентификации
• Ошибки памяти

freedesktop · poppler8 окт. 2026 г.

Intego Antivirus through 3.0.0.1 Local Privilege Escalation via Optimization Module Junction

• Локальное повышение привилегий

intego · intego antivirus8 окт. 2026 г.

IBM Guardium Data Protection Out-of-bounds Read

• Без аутентификации
• Ошибки памяти

ibm · guardium data protection8 окт. 2026 г.

IBM Guardium Data Protection Buffer Overflow

• RCE без входа
• Ошибки памяти

ibm · guardium data protection8 окт. 2026 г.

IBM Guardium Data Protection Buffer Overflow

• RCE без входа
• Ошибки памяти

ibm · guardium data protection8 окт. 2026 г.

IBM Guardium Data Protection Privilege Escalation

• Локальное повышение привилегий

ibm · guardium data protection8 окт. 2026 г.

IBM Guardium Data Protection Hard-coded Credentials

• Локальное повышение привилегий
• Зашитые учётные данные

ibm · guardium data protection8 окт. 2026 г.

IBM Guardium Data Protection Signature Verification Bypass

• RCE
• Локальное повышение привилегий
• Состояние гонки

ibm · guardium data protection8 окт. 2026 г.

IBM Guardium Data Protection Missing Authentication

• RCE без входа
• Обход аутентификации

ibm · guardium data protection8 окт. 2026 г.

IBM Guardium Data Protection Path Traversal

• Без аутентификации
• Обход пути

ibm · guardium data protection8 окт. 2026 г.

Satel Netco Design Relative path traversal

• RCE
• Обход пути

satel · satel netco design8 окт. 2026 г.

@fastify/reply-from vulnerable to improper certificate validation in built-in HTTPS transports

• Без аутентификации
• Слабая криптография

@fastify/reply-from · @fastify/reply-from8 окт. 2026 г.

MIT krb5 through 1.22.2 NULL Pointer Dereference via krb5_rd_cred()

• Ошибки памяти

mit · krb58 окт. 2026 г.

Dromara Skyeye xxl-job-admin Missing Authentication on Job Endpoints Allows RCE

• RCE без входа
• Обход аутентификации

dromara · skyeye8 окт. 2026 г.

Dromara Skyeye Unauthenticated OS Command Injection via textToSpeech format Parameter

• RCE без входа
• Инъекция команд

dromara · skyeye8 окт. 2026 г.

Dromara Skyeye Unauthenticated SSRF and File Overwrite via editUploadOfficeFileById

• Без аутентификации
• SSRF

dromara · skyeye8 окт. 2026 г.

System Informer before 4.0.26241.138 Incorrect Authorization in phsvc ALPC Port

• Локальное повышение привилегий
• Нарушение контроля доступа (IDOR)

winsiderss · system informer8 окт. 2026 г.

Deskin 3.3.4.3 XPC Service Privilege Escalation via Unauthenticated Installer

• RCE
• Обход аутентификации
• Локальное повышение привилегий

zuler technology · deskin8 окт. 2026 г.

Security vulnerabilities have been found in IBM Verify Identity Access and IBM Security Verify Access

• RCE без входа

ibm · security verify access8 окт. 2026 г.

Security vulnerabilities have been found in IBM Verify Identity Access and IBM Security Verify Access

• Без аутентификации
• Нарушение контроля доступа (IDOR)

ibm · security verify access8 окт. 2026 г.

Security vulnerabilities have been found in IBM Verify Identity Access and IBM Security Verify Access

• RCE
• Ошибки памяти

ibm · security verify access8 окт. 2026 г.

Security vulnerabilities have been found in IBM Verify Identity Access and IBM Security Verify Access

• Без аутентификации
• Обход аутентификации

ibm · security verify access8 окт. 2026 г.

Security vulnerabilities have been found in IBM Verify Identity Access and IBM Security Verify Access

• RCE

ibm · security verify access8 окт. 2026 г.

Security vulnerabilities have been found in IBM Verify Identity Access and IBM Security Verify Access

ibm · security verify access8 окт. 2026 г.

Security vulnerabilities have been found in IBM Verify Identity Access and IBM Security Verify Access

• RCE

ibm · security verify access8 окт. 2026 г.

Security vulnerabilities have been found in IBM Verify Identity Access and IBM Security Verify Access

• Без аутентификации
• Обход аутентификации

ibm · security verify access8 окт. 2026 г.

Security vulnerabilities have been found in IBM Verify Identity Access and IBM Security Verify Access

• Без аутентификации
• Обход пути

ibm · security verify access8 окт. 2026 г.

Security vulnerabilities have been found in IBM Verify Identity Access and IBM Security Verify Access

• Без аутентификации
• Отказ в обслуживании

ibm · security verify access8 окт. 2026 г.

Security vulnerabilities have been found in IBM Verify Identity Access and IBM Security Verify Access

• Без аутентификации
• CSRF

ibm · security verify access8 окт. 2026 г.

Security vulnerabilities have been found in IBM Verify Identity Access and IBM Security Verify Access

• RCE без входа
• Десериализация

ibm · security verify access8 окт. 2026 г.

Security vulnerabilities have been found in IBM Verify Identity Access and IBM Security Verify Access

• RCE без входа
• Десериализация

ibm · security verify access8 окт. 2026 г.

An authentication bypass vulnerability exists in HPE Intelligent Management Center (iMC) prior to v7.3 E0713

• Без аутентификации
• Обход аутентификации
• Нарушение контроля доступа (IDOR)

hewlett packard enterprise · hpe intelligent management center (imc)8 окт. 2026 г.

An issue in libming through 0.4.8 allows a remote attacker to cause a denial of service via the readtag_file() in src/blocks/fromswf.c.

• Без аутентификации
• Отказ в обслуживании

8 окт. 2026 г.

Satel Netco Design Inefficient Regular Expression Complexity

• Отказ в обслуживании

satel · satel netco design8 окт. 2026 г.

Satel Netco Design Cross-site Scripting

• XSS

satel · satel netco design8 окт. 2026 г.

Memory overflow vulnerability leading to Remote Code Execution or Denial of Service

• RCE без входа
• Ошибки памяти

netscaler · adc8 окт. 2026 г.

Banks: Symlink traversal and arbitrary file disclosure/overwrite in DirectoryPromptRegistry

• Обход пути

masci · banks8 окт. 2026 г.

fast-jwt: createVerifier accepts unsigned JWTs when key is '' or null and algorithms is explicitly set

• Без аутентификации

nearform · fast-jwt8 окт. 2026 г.

fast-jwt: Incomplete patch of CVE-2026-34950: Non-whitespace key-prefix re-enables RSA→HS256 algorithm confusion

• Без аутентификации
• Слабая криптография

nearform · fast-jwt8 окт. 2026 г.

fast-jwt : Silent claim-validator bypass when JWT payload is a JSON array

nearform · fast-jwt8 окт. 2026 г.

fast-jwt treats raw public JWK JSON as an HMAC secret, enabling HS256 token forgery

• Без аутентификации
• Слабая криптография

nearform · fast-jwt8 окт. 2026 г.

Hazelcast: Authorization bypass in IMap Predicates API

• RCE
• Нарушение контроля доступа (IDOR)

hazelcast · hazelcast8 окт. 2026 г.

Hazelcast: Arbitrary member memory access by low-privileged client

• RCE без входа

hazelcast · hazelcast8 окт. 2026 г.

Jivejdon through 5.0 Unsalted MD5 Password Storage via AccountDaoSql

• Без аутентификации
• SQL-инъекция

banq · jivejdon8 окт. 2026 г.

Multiple vulnerabilities affect the Sniffer component as part of IBM Guardium Data Protection

• RCE без входа
• Обход пути

ibm · guardium data protection8 окт. 2026 г.

Multiple vulnerabilities affect the Sniffer component as part of IBM Guardium Data Protection

• Без аутентификации
• SQL-инъекция

ibm · guardium data protection8 окт. 2026 г.

Multiple vulnerabilities affect the Sniffer component as part of IBM Guardium Data Protection

• Без аутентификации
• SQL-инъекция

ibm · guardium data protection8 окт. 2026 г.

Multiple vulnerabilities affect the Sniffer component as part of IBM Guardium Data Protection

• RCE без входа
• Ошибки памяти

ibm · guardium data protection8 окт. 2026 г.

IBM Guardium Data Protection is affected by multiple vulnerabilities.

• Без аутентификации
• Обход пути

ibm · guardium data protection8 окт. 2026 г.

IBM Guardium Data Protection is affected by multiple vulnerabilities

• Без аутентификации
• Слабая криптография

ibm · guardium data protection8 окт. 2026 г.

Multiple vulnerabilities affect the Sniffer component as part of IBM Guardium Data Protection

• RCE без входа
• Ошибки памяти

ibm · guardium data protection8 окт. 2026 г.

IBM Guardium Data Protection is affected by multiple vulnerabilities.

• RCE без входа
• Инъекция команд

ibm · guardium data protection8 окт. 2026 г.