Эксплуатируемые и новые серьёзные CVE: октябрь 2026 г.

WordPress tagDiv Opt-In Builder plugin <= 1.7.6 - SQL Injection vulnerability

• Без аутентификации
• SQL-инъекция

tagdiv · tagdiv opt-in builder9 окт. 2026 г.

WordPress Ajax Search Pro plugin <= 4.29.1 - SQL Injection vulnerability

• Без аутентификации
• SQL-инъекция

wpdreams · ajax search pro9 окт. 2026 г.

WordPress Simple Payment plugin <= 2.5.4 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

yalla ya! · simple payment9 окт. 2026 г.

WordPress GiveWP plugin <= 4.16.8.1 - Payment Bypass vulnerability

• Без аутентификации
• Обход аутентификации

liquid web / stellarwp · givewp9 окт. 2026 г.

WordPress Forminator plugin <= 1.57.2 - Payment Bypass vulnerability

• Без аутентификации
• Обход аутентификации

wpmu dev · forminator9 окт. 2026 г.

WordPress Amelia plugin <= 2.4.10 - Broken Access Control vulnerability

• Без аутентификации
• Нарушение контроля доступа (IDOR)

tms · amelia9 окт. 2026 г.

WordPress FiboSearch plugin <= 1.34.1 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

damian góra · fibosearch9 окт. 2026 г.

WordPress NEX-Forms plugin <= 9.3.1 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

basix · nex-forms9 окт. 2026 г.

WordPress Featured Image from URL plugin <= 6.0.7 - Cross Site Request Forgery (CSRF) vulnerability

• Без аутентификации
• CSRF

fifu.app · featured image from url9 окт. 2026 г.

WordPress Welcart e-Commerce plugin <= 2.12.3 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

welcart · welcart e-commerce9 окт. 2026 г.

WordPress EduAdmin Booking plugin < 6.0.0 - SQL Injection vulnerability

• Без аутентификации
• SQL-инъекция

multinet interactive ab · eduadmin booking9 окт. 2026 г.

Apache CXF: XML Signature wrapping in JAX-RS XML Security

• Без аутентификации
• Состояние гонки

apache · cxf9 окт. 2026 г.

Apache CXF: The attachment header size and count limits can be bypassed, which allows denial of service through memory exhaustion.

• Без аутентификации
• Отказ в обслуживании

apache · cxf9 окт. 2026 г.

Apache CXF: The Netty HTTP client transport does not perform TLS hostname verification.

• Без аутентификации
• Слабая криптография

apache · cxf9 окт. 2026 г.

Apache CXF: Prevent unbounded XML document size in StaxUtils by adding default element and character limits

• Без аутентификации
• Отказ в обслуживании

apache · cxf9 окт. 2026 г.

Apache CXF: Inoperative max_age authentication-freshness check in OidcClientCodeRequestFilter

• Без аутентификации

apache · cxf9 окт. 2026 г.

Apache CXF: JPA authorization-code consume is non-atomic

• Без аутентификации
• Состояние гонки

apache · cxf9 окт. 2026 г.

Apache CXF: Unbounded DEFLATE Decompression in CXF JOSE/JWE and SAML Processing (Decompression Bomb)

• Без аутентификации

apache · cxf9 окт. 2026 г.

Apache CXF: FIQL Query Parser Denial of Service

• Без аутентификации
• Отказ в обслуживании

apache · cxf9 окт. 2026 г.

Apache CXF: Authentication bypass via weak cache keys for validated STS tokens

• Без аутентификации
• Обход аутентификации

apache · cxf9 окт. 2026 г.

Apache CXF: STSTokenValidator can accept untrusted SAML assertions because it shares validation state between requests

• Без аутентификации
• Состояние гонки
• Отказ в обслуживании

apache · cxf9 окт. 2026 г.

Pre-shared key mode transmits the TGK in cleartext, exposing the SRTP master key

• Без аутентификации

9 окт. 2026 г.

Insecure Preservation of SUID/SGID Bits during ZIP Extraction Leading to Potential Privilege Escalation

• Локальное повышение привилегий

9 окт. 2026 г.

MIKEY message MAC is never verified on receive, so forged messages are accepted

• Без аутентификации

9 окт. 2026 г.

Poly1305 panics or computes a wrong tag on attacker-chosen messages of 64 bytes or more

• Без аутентификации
• Отказ в обслуживании

9 окт. 2026 г.

Apache Camel Karavan: project file name path traversal when committing a project to Git

• Обход пути

apache software foundation · apache camel karavan9 окт. 2026 г.

Apache Camel Karavan: unvalidated Kubernetes resources applied from a project's kubernetes.yaml

apache software foundation · apache camel karavan9 окт. 2026 г.

WordPress Quiz And Survey Master plugin <= 11.2.7 - PHP Object Injection vulnerability

• Десериализация

expresstech · quiz and survey master9 окт. 2026 г.

WordPress AcyMailing SMTP Newsletter plugin <= 11.1.0 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

datasolution · acymailing smtp newsletter9 окт. 2026 г.

WordPress WP Associate Post R2 plugin <= 5.0.1 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

delight star inc. · wp associate post r29 окт. 2026 г.

WordPress Product Configurator for WooCommerce plugin <= 1.7.5 - PHP Object Injection vulnerability

• Десериализация

mklacroix · product configurator for woocommerce9 окт. 2026 г.

WordPress Th Shop Mania theme <= 1.9.1 - Broken Access Control vulnerability

• Нарушение контроля доступа (IDOR)

themehunk · th shop mania9 окт. 2026 г.

Payment Validation Bypass in Sipay Electronic Money's OpenCart 3.x

• Без аутентификации
• Слабая криптография

sipay electronic money and payment services inc. · opencart virtual pos module9 окт. 2026 г.

Payment Validation Bypass in Sipay Electronic Money's SanalPos PrestaShop

• Без аутентификации
• Слабая криптография

sipay electronic money and payment services inc. · prestashop virtual pos module9 окт. 2026 г.

Misuse and Misconfiguration of Cryptographic Algorithm in Bluetooth Communication

switchbot · lock series lock9 окт. 2026 г.

WordPress Treck theme <= 1.0.0 - Reflected Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

bracketweb · treck9 окт. 2026 г.

WordPress Ogency theme <= 1.0.0 - Reflected Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

bracketweb · ogency9 окт. 2026 г.

WordPress Voldor theme <= 1.0.0 - Reflected Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

bracketweb · voldor9 окт. 2026 г.

WordPress Whistle - Sports Club theme <= 4.2 - Reflected Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

designthemes · whistle - sports club9 окт. 2026 г.

WordPress Werkstatt theme <= 4.8.3 - Local File Inclusion vulnerability

• Без аутентификации

fuelthemes · werkstatt9 окт. 2026 г.

Grid Protection Alliance openPDC and openHistorian Deserialization of Untrusted Data

• RCE без входа
• Десериализация

grid protection alliance · openpdc9 окт. 2026 г.

Grid Protection Alliance openPDC and openHistorian Use of Externally-Controlled Input to Select Classes or Code

grid protection alliance · openpdc9 окт. 2026 г.

Grid Protection Alliance openPDC and openHistorian Missing Authentication for Critical Function

• Без аутентификации
• Обход аутентификации

grid protection alliance · openpdc9 окт. 2026 г.

Docker Desktop for Windows installer failed to verify external packages

• Слабая криптография

docker · docker desktop9 окт. 2026 г.

WordPress Dashboard Notes plugin <= 1.0.3 - Cross Site Request Forgery (CSRF) vulnerability

• Без аутентификации
• CSRF

mightyminnow · dashboard notes9 окт. 2026 г.

Stored XSS in TMT Machine's Talassoft Industrial Management Software

• XSS

tmt machinery industry and trade co. ltd. · talassoft industrial management software9 окт. 2026 г.

WordPress Education Center theme <= 3.6.12 - Reflected Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

themerex · education center9 окт. 2026 г.

WordPress Neo | Barber Shop WordPress Theme theme <= 3.5 - PHP Object Injection vulnerability

• Десериализация

buddhathemes · neo | barber shop wordpress theme9 окт. 2026 г.

WordPress ColorFolio theme <= 1.3 - PHP Object Injection vulnerability

• Десериализация

buddhathemes · colorfolio9 окт. 2026 г.

WordPress Pond theme <= 2.6.1 - Reflected Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

spabrice · pond9 окт. 2026 г.

WordPress The Voux theme <= 6.9.5 - Local File Inclusion vulnerability

• Без аутентификации

fuelthemes · the voux9 окт. 2026 г.

KodExplorer < 4.55 Path Traversal via unzip_pre_name() ZIP Extraction

• RCE
• Обход пути
• XSS

kalcaddle · kodexplorer9 окт. 2026 г.

Grid Protection Alliance openPDC (Docker image) Use of Hard-coded Credentials

• Без аутентификации
• Зашитые учётные данные

grid protection alliance · openpdc (docker image)9 окт. 2026 г.

Nginx UI: Unauthenticated signed-request body staging can exhaust temporary storage

• Без аутентификации
• Обход аутентификации
• Отказ в обслуживании

nginxui · nginx ui9 окт. 2026 г.

Nginx UI: Authenticated Remote Code Execution via Backup Restore App Config Overwrite

• RCE

nginxui · nginx ui9 окт. 2026 г.

HortusFox before 6.2 SQL Injection via /api/locations/list include_info Parameter

• SQL-инъекция

danielbrendel · hortusfox-web9 окт. 2026 г.

HortusFox through 6.3 Unrestricted File Upload via Plant Attachments

• Загрузка файлов
• XSS

danielbrendel · hortusfox-web9 окт. 2026 г.

Open5GS through 2.8.0 MME Reachable Assertion via GTPv1 SGSN Context Request

• Без аутентификации

open5gs · open5gs9 окт. 2026 г.

Xerial snappy-java before 1.1.10.9 Unbounded Memory Allocation Denial of Service

• Без аутентификации

xerial · snappy-java9 окт. 2026 г.

PHPNuxBill through 2025.3.20 Unauthenticated SQL Injection via radius.php

• Без аутентификации
• SQL-инъекция

hotspotbilling · phpnuxbill9 окт. 2026 г.

PHPNuxBill through 2025.3.20 CHAP Authentication Bypass via Password::chap_verify()

• Без аутентификации
• Обход аутентификации

hotspotbilling · phpnuxbill9 окт. 2026 г.

PHPNuxBill through 2025.3.20 Account Takeover via Brute-Forceable Password Reset Code

• Без аутентификации

hotspotbilling · phpnuxbill9 окт. 2026 г.

WordPress Post Author Authenticated SQLi

• SQL-инъекция

9 окт. 2026 г.

Savannah lwIP SMTP client Classic Buffer Overflow

• Без аутентификации
• Ошибки памяти

savannah · lwip smtp client9 окт. 2026 г.

Red Lion Controls N-Tron 700 Series Storing Passwords in a Recoverable Format

• Без аутентификации
• Зашитые учётные данные

red lion controls · 700 series9 окт. 2026 г.

Red Lion Controls N-Tron 700 Series Download of Code Without Integrity Check

red lion controls · 700 series9 окт. 2026 г.

Red Lion Controls N-Tron 700 Series Use of Hard-Coded Credentials

• Зашитые учётные данные

red lion controls · 700 series9 окт. 2026 г.

Red Lion Controls N-Tron 700 Series Missing Authentication for Critical Function

• Обход аутентификации

red lion controls · 700 series9 окт. 2026 г.

Red Lion Controls N-Tron 700 Series Reachable Assertion

red lion controls · 700 series9 окт. 2026 г.

Red Lion Controls N-Tron 700 Series Insufficiently Protected Credentials

• Утечка информации

red lion controls · 700 series9 окт. 2026 г.

An issue in Netcore B11 Enterprise-level full Gigabit 9-port shop wireless router v1.3.241114.024540 and before allows a remote attacker to

• Без аутентификации
• Утечка информации

9 окт. 2026 г.

An issue in Netcore B11 Enterprise-level full Gigabit 9-port shop wireless router v1.3.241114.024540 and before allows a remote attacker to

• RCE без входа
• Инъекция команд

9 окт. 2026 г.

Code Execution in Host Sentry Process via Double Free in gVisor VFS MemoryFile

• Локальное повышение привилегий
• Ошибки памяти

google · gvisor9 окт. 2026 г.

Denial of Service via Eager Array Allocation During Deserialization in Guava

• Без аутентификации
• Десериализация

google · guava9 окт. 2026 г.

SmarterMail < Build 9777 SysAdmin Remote Code Execution via Volume Mount

• RCE

smartertools · smartermail9 окт. 2026 г.

SmarterMail < Build 9777 Stale JWT Role Claim Privilege Escalation via Refresh Token

smartertools · smartermail9 окт. 2026 г.

Nginx UI: Node Secret Credential Exposure via URL Query Parameter

nginxui · nginx ui9 окт. 2026 г.

Nginx UI: Authentication bypass: password login does not enforce a passkey-only second factor (2FA bypass)

• Без аутентификации
• Обход аутентификации

nginxui · nginx ui9 окт. 2026 г.

Nginx-UI AuthRequired token cookie fallback enables CSRF against management APIs

• Без аутентификации
• CSRF

nginxui · nginx ui9 окт. 2026 г.

Nginx UI: Backup restore follows crafted symlinks into the live Nginx configuration path before restore flags are applied

nginxui · nginx ui9 окт. 2026 г.

0xJacky/nginx-ui /api/nodes Leaks Cluster Node Tokens and Allows Cross-Node Impersonation as initUser

• Обход аутентификации
• Утечка информации

nginxui · nginx ui9 окт. 2026 г.

Nginx UI: Self-upgrade runs an unsigned binary verified only by a same-origin digest → RCE via a compromised mirror or MITM

• RCE без входа

nginxui · nginx ui9 окт. 2026 г.

Nginx UI: Incomplete fix of CVE-2026-84315 - the api/cluster router was not - wrapped in RequireSecureSession, so those sensitive mutations run without OTP ste

• Нарушение контроля доступа (IDOR)

nginxui · nginx ui9 окт. 2026 г.

MariaDB: Insecure $HOME in MariaDB rpm packages

mariadb · mariadb9 окт. 2026 г.

MOVO through 0.2.3 Authorization Bypass via Document Endpoints

• Нарушение контроля доступа (IDOR)

himovo · movo9 окт. 2026 г.

ILIAS before 9.24, 10.12, and 11.5 Unrestricted File Upload via QTI Import

• RCE
• Загрузка файлов

ilias-elearning e.v. · ilias9 окт. 2026 г.

OpENer v2.3.0 / commit 76b95cf contains an out-of-bounds read in the unconnected explicit messaging path.

• Без аутентификации
• Отказ в обслуживании

9 окт. 2026 г.

An out-of-bounds read vulnerability exists in EIPStackGroup OpENer v2.3 and master through commit 76b95cf in the server-side CIP SetAttribut

• Без аутентификации
• Ошибки памяти
• Отказ в обслуживании

9 окт. 2026 г.

An out-of-bounds read vulnerability exists in EIPStackGroup OpENer v2.3 and master up to commit 76b95cf in the EtherNet/IP TCP SendRRData Co

• Без аутентификации
• Ошибки памяти
• Отказ в обслуживании

9 окт. 2026 г.

EIPStackGroup OpENer v2.3.0/master up to commit 76b95cf contains an out-of-bounds read vulnerability in Connection Manager request parsing.

• Без аутентификации
• Отказ в обслуживании

9 окт. 2026 г.

OTP Code Exposure in Hayat Hospital's Hayat Mobile

• Без аутентификации
• Обход аутентификации

hayat health facilities inc. (hayat hospital) · hayat mobile9 окт. 2026 г.

pyLoad has an authentication bypass in API key validation (check_apikey cache)

• Без аутентификации
• Обход аутентификации

9 окт. 2026 г.

pyLoad: Api.set_user_permission never invalidates the target's session

9 окт. 2026 г.

pyLoad: Privilege revocation and password change through the REST API do not invalidate the user's session

9 окт. 2026 г.

pyload-ng: getUserData/get_userdata exposed at Perms.ANY allow any authenticated account to brute-force the administrator password

• Обход аутентификации

9 окт. 2026 г.

A race condition vulnerability in the SessionManager of CNCF: Cloud Native Computing Foundation Argo CD v3.0.6 allows attackers to bypass ra

• Без аутентификации
• Состояние гонки

9 окт. 2026 г.

MariaDB: one byte OOB write in DOS tables of the CONNECT engine

• RCE
• Ошибки памяти

mariadb · mariadb9 окт. 2026 г.

Pingvin Share X 0.19.0 before 1.22.0 Account Takeover via OAuth Email Linking

• Без аутентификации
• Обход аутентификации

smp46 · pingvin-share-x9 окт. 2026 г.

plugNmeet Server through 2.5.2 Path Traversal via /api/whiteboard/convert

• Обход пути

mynaparrot · plugnmeet-server9 окт. 2026 г.

AstronRPA through 1.1.6 RCE via Smart-Component Chat XSS and IPC Bridge

• RCE без входа
• XSS

iflytek · astron-rpa9 окт. 2026 г.