Эксплуатируемые и новые серьёзные CVE: октябрь 2026 г.

WordPress Motors theme <= 1.4.108 - Broken Access Control vulnerability

• Без аутентификации
• Нарушение контроля доступа (IDOR)

stylemixthemes · motors10 окт. 2026 г.

WordPress Zeinet theme <= 1.0.0 - Reflected Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

bracketweb · zeinet10 окт. 2026 г.

WP Photo Album Plus <= 9.3.03.002 - Unauthenticated Stored Cross-Site Scripting via REQUEST_URI Session History

• Без аутентификации
• XSS

opajaap · wp photo album plus10 окт. 2026 г.

Appointment Booking Plugin <= 5.7.2 - Unauthenticated SQL Injection via 'booking[service_id]' Parameter

• Без аутентификации
• SQL-инъекция

latepoint · appointment booking plugin – latepoint | calendar & scheduling for wordpress10 окт. 2026 г.

WPO365 | SEAMLESS WORDPRESS + MICROSOFT INTEGRATION (WPO365 | LOGIN) <= 44.1 - Unauthenticated Stored Cross-Site Scripting via 'id_token' Parameter (iss / uniqu

• Без аутентификации
• XSS

wpo365 · wpo365 | seamless wordpress + microsoft integration (wpo365 | login)10 окт. 2026 г.

HivePress <= 1.7.31 - Unauthenticated Stored Cross-Site Scripting via Custom User Attribute Value via Registration Form

• Без аутентификации
• XSS

hivepress · hivepress – business directory, listings & classified ads plugin10 окт. 2026 г.

Divi Plus <= 2.4.0 - Unauthenticated Arbitrary File Read via 'svg_image' Parameter

• RCE без входа
• Обход пути

divi essential · divi plus10 окт. 2026 г.

Apache DataSketches: datasketches-cpp: HLL CouponList Deserialization Buffer Overflow allows memory corruption via a crafted sketch

• Без аутентификации
• Десериализация
• Ошибки памяти

apache software foundation · apache datasketches10 окт. 2026 г.

Apache DataSketches: datasketches-cpp: Out-of-bounds read and write in the CPC sketch deserialization allows memory corruption via a crafted sketch

• Без аутентификации
• Десериализация
• Ошибки памяти

apache software foundation · apache datasketches10 окт. 2026 г.

Apache DataSketches: datasketches-cpp: Out-of-bounds read in compact Theta sketch deserialization allows denial of service via a crafted sketch

• Без аутентификации
• Десериализация
• Ошибки памяти

apache software foundation · apache datasketches10 окт. 2026 г.

Apache DataSketches: datasketches-cpp: Out-of-bounds read in VarOpt union deserialization allows denial of service via a truncated sketch

• Без аутентификации
• Десериализация
• Ошибки памяти

apache software foundation · apache datasketches10 окт. 2026 г.

ZipStreamReader::extract() and ZipArchive::extract() apply Unix permissions through symlinks without confining the target

• Без аутентификации

10 окт. 2026 г.

ExtUtils::Typemaps::STL::Vector versions before 1.05 for Perl allocate a 32 GiB array on an empty list

• Без аутентификации
• Ошибки памяти
• Отказ в обслуживании

10 окт. 2026 г.

ExtUtils::Typemaps::STL::String versions before 1.06 for Perl T_STD_STRING typemap may read the SV length before stringifying the argument

• Без аутентификации
• Ошибки памяти

10 окт. 2026 г.

ExtUtils::Typemaps::STL::List versions before 1.07 for Perl allocate a 32 GiB array on an empty list

• Без аутентификации
• Ошибки памяти
• Отказ в обслуживании

10 окт. 2026 г.

WordPress Forminator plugin <= 1.57.3 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

wpmu dev · forminator10 окт. 2026 г.

WordPress Slider by 10Web plugin <= 1.2.62 - PHP Object Injection vulnerability

• Десериализация

10web · slider by 10web10 окт. 2026 г.

FusionPBX through 5.6.5 OS Command Injection via Caller ID in Recording ZIP Download

• RCE без входа
• Инъекция команд

fusionpbx · fusionpbx10 окт. 2026 г.

Open Source Social Network (OSSN) through 10.1 IDOR via Message Attachment Route

• Нарушение контроля доступа (IDOR)

opensource-socialnetwork · opensource-socialnetwork10 окт. 2026 г.

WordPress Tainacan plugin <= 1.3.0 - PHP Object Injection vulnerability

• Десериализация

tainacan community · tainacan10 окт. 2026 г.

WordPress WPAdverts plugin <= 2.3.4 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

greg winiarski · wpadverts10 окт. 2026 г.

WordPress WPAdverts plugin <= 2.3.4 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

greg winiarski · wpadverts10 окт. 2026 г.

SillyTavern 1.12.13 through 1.19.0 Pre-Authentication Denial of Service via Body Parsing

• Без аутентификации
• Отказ в обслуживании

sillytavern · sillytavern10 окт. 2026 г.

Spotweb through 1.5.8 OS Command Injection via Spot Title in Runcommand Integration

• RCE без входа
• Инъекция команд

spotweb · spotweb10 окт. 2026 г.

AstronRPA through 1.1.6 Cross-Tenant Shared Variable Disclosure via get-batch-shared-var

• Нарушение контроля доступа (IDOR)

iflytek · astron-rpa10 окт. 2026 г.

cc-connect through 1.5.0 Missing Authentication via MAX Webhook Sender Spoofing

• Без аутентификации
• Обход аутентификации

chenhg5 · cc-connect10 окт. 2026 г.

SkillHub before 0.2.22 Account Takeover via Account Merge Flow

• Нарушение контроля доступа (IDOR)

iflytek · skillhub10 окт. 2026 г.

openapi-typescript-codegen through 0.31.0 Code Injection via Handlebars Templates

• RCE без входа

ferdikoomen · openapi-typescript-codegen10 окт. 2026 г.

OpenRefine through 3.10.1 CSRF to RCE via get-rows Command

• RCE без входа
• CSRF

openrefine · openrefine10 окт. 2026 г.

Octop through 1.0.2b6 Missing Authorization Exposes Provider API Keys via /api/providers

• Нарушение контроля доступа (IDOR)

tencentcloud · octop10 окт. 2026 г.

WordPress Thank You Page Customizer for WooCommerce plugin <= 1.2.3 - Content Injection vulnerability

• RCE без входа

villatheme · thank you page customizer for woocommerce10 окт. 2026 г.

WordPress AFFI – Affiliate Marketing for WooCommerce plugin <= 1.0.10 - PHP Object Injection vulnerability

• Без аутентификации
• Десериализация

villatheme · affi – affiliate marketing for woocommerce10 окт. 2026 г.

WordPress Tickera plugin <= 3.6.0.6 - SQL Injection vulnerability

• Без аутентификации
• SQL-инъекция

tickera · tickera10 окт. 2026 г.

WordPress WooCommerce plugin 9.8.0-11.1.2 - Shop Manager+ Privilege Escalation vulnerability

automattic · woocommerce10 окт. 2026 г.

WordPress Bayarcash WooCommerce plugin <= 4.4.2 - Broken Access Control vulnerability

• Без аутентификации
• Нарушение контроля доступа (IDOR)

web impian · bayarcash woocommerce10 окт. 2026 г.

WordPress Super Video Player plugin <= 1.8.13 - PHP Object Injection vulnerability

• Десериализация

bplugins · super video player10 окт. 2026 г.

WordPress ThemeStek Extras for LabtechCO Theme plugin <= 8.4 - Reflected Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

themestek · themestek extras for labtechco theme10 окт. 2026 г.

WordPress rtMedia for WordPress, BuddyPress and bbPress plugin <= 4.7.13 - Arbitrary File Deletion vulnerability

• Без аутентификации
• Обход пути

rtcamp inc. · rtmedia for wordpress, buddypress and bbpress10 окт. 2026 г.

WordPress miniorange otp verification plugin <= 5.5.7 - Privilege Escalation vulnerability

• Без аутентификации

miniorange · miniorange otp verification10 окт. 2026 г.

mini-swe-agent 1.10.0 through 2.4.6 Environment Exposure via BubblewrapEnvironment

• Без аутентификации

swe-agent · mini-swe-agent10 окт. 2026 г.

9router 0.4.1 through 0.5.99 Config Injection RCE via hermes-settings Endpoint

• RCE

decolua · 9router10 окт. 2026 г.

Floci 1.1.0 before 2.2.0 RCE via API Gateway VTL Mapping Templates

• RCE без входа

floci-io · floci10 окт. 2026 г.

WordPress Martfury - WooCommerce Marketplace WordPress theme theme <= 3.3.9 - Reflected Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

drfuri · martfury - woocommerce marketplace wordpress theme10 окт. 2026 г.

WordPress Forminator plugin <= 1.57.3 - Privilege Escalation vulnerability

• Без аутентификации

wpmu dev · forminator10 окт. 2026 г.

WordPress Builderius plugin <= 1.4-beta - Server Side Request Forgery (SSRF) vulnerability

• Без аутентификации
• SSRF

builderius.io · builderius10 окт. 2026 г.

WordPress WP File Download plugin <= 6.3.6 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

joomunited · wp file download10 окт. 2026 г.

WordPress Additional Order Filters for WooCommerce plugin <= 1.24 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

anton bond · additional order filters for woocommerce10 окт. 2026 г.

WordPress AIWU plugin <= 1.5.9 - Privilege Escalation vulnerability

• Без аутентификации

sergey · aiwu10 окт. 2026 г.

WordPress Everest Backup plugin <= 2.3.13 - Remote Code Execution (RCE) vulnerability

• RCE без входа

everestthemes · everest backup10 окт. 2026 г.

WordPress WPSection plugin <= 1.5.1 - Broken Access Control vulnerability

• Нарушение контроля доступа (IDOR)

rashid · wpsection10 окт. 2026 г.

WordPress ELEX WooCommerce Advanced Bulk Edit Products, Prices & Attributes plugin <= 1.5.3 - SQL Injection vulnerability

• Без аутентификации
• SQL-инъекция

elextensions · elex woocommerce advanced bulk edit products, prices & attributes10 окт. 2026 г.

WordPress Wordable plugin <= 8.2.10 - Broken Access Control vulnerability

• Нарушение контроля доступа (IDOR)

wordable · wordable10 окт. 2026 г.

WordPress Pubjet | پاب‌جت plugin <= 5.4.8 - Settings Change vulnerability

• Нарушение контроля доступа (IDOR)

pubjet · pubjet | پاب‌جت10 окт. 2026 г.

WordPress Jotform – AI Chatbot plugin <= 3.8.2 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

jotform · jotform &#8211; ai chatbot10 окт. 2026 г.

WordPress PeepSo plugin <= 9.0.5.4 - Arbitrary File Deletion vulnerability

• Обход пути
• Отказ в обслуживании

peepso · peepso10 окт. 2026 г.

WordPress Web Plura Backup & Restore Manager plugin <= 0.2.25 - Sensitive Data Exposure vulnerability

• Без аутентификации

web plura · web plura backup &amp; restore manager10 окт. 2026 г.

WordPress Qode Music plugin <= 2.1.8.2 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

qode · qode music10 окт. 2026 г.

WordPress Qode Real Estate plugin <= 1.1.7.3 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

qode · qode real estate10 окт. 2026 г.

WordPress Events Manager plugin <= 7.4.6 - SQL Injection vulnerability

• SQL-инъекция

marcus · events manager10 окт. 2026 г.

WordPress Jannah theme < 7.6.8 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

tielabs · jannah10 окт. 2026 г.

WordPress SiteVault – Backup, Restore, Migration & Cloning plugin <= 1.5.18 - Remote Code Execution (RCE) vulnerability

• RCE без входа

royal plugins · sitevault – backup, restore, migration &amp; cloning10 окт. 2026 г.

WordPress Social Share Icons & Social Share Buttons plugin <= 3.7.5 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

inisev · social share icons & social share buttons10 окт. 2026 г.

WordPress FV Player 8 plugin <= 8.1.8 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

foliovision · fv player 810 окт. 2026 г.

WordPress Tutor LMS plugin <= 4.1.0 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

themeum · tutor lms10 окт. 2026 г.

WordPress Kids Care theme <= 3.2.4 - Local File Inclusion vulnerability

• Без аутентификации

axiomthemes · kids care10 окт. 2026 г.

WordPress Grand News theme <= 3.4 - Broken Access Control vulnerability

• Без аутентификации
• Нарушение контроля доступа (IDOR)

themegoods · grand news10 окт. 2026 г.

WordPress DK theme <= 3.2.1 - Broken Access Control vulnerability

• Без аутентификации
• Нарушение контроля доступа (IDOR)

themegoods · dk10 окт. 2026 г.

WordPress Food Menu – Restaurant Menu & Online Ordering for WooCommerce plugin <= 6.0.5 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

radiustheme · food menu – restaurant menu & online ordering for woocommerce10 окт. 2026 г.

WordPress Slider by 10Web plugin <= 1.2.63 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

10web · slider by 10web10 окт. 2026 г.

WordPress Qode Tours plugin <= 3.1.3.2 - SQL Injection vulnerability

• SQL-инъекция

qode · qode tours10 окт. 2026 г.

WordPress Photo Gallery by 10Web plugin <= 1.8.47 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

10web · photo gallery by 10web10 окт. 2026 г.

WordPress Payever - WooCommerce Gateway plugin <= 4.8.2 - PHP Object Injection vulnerability

• Без аутентификации
• Десериализация

payever · payever - woocommerce gateway10 окт. 2026 г.

WordPress Leyka plugin <= 3.32.3 - SQL Injection vulnerability

• SQL-инъекция

vaultdweller · leyka10 окт. 2026 г.

WordPress Booster for WooCommerce plugin <= 8.4.0 - PHP Object Injection vulnerability

• Без аутентификации
• Десериализация

pluggabl · booster for woocommerce10 окт. 2026 г.

WordPress Dynamic User Directory plugin <= 2.4 - PHP Object Injection vulnerability

• Без аутентификации
• Десериализация

sarah giles · dynamic user directory10 окт. 2026 г.

WordPress Frontend Admin by DynamiApps plugin <= 3.29.13 - SQL Injection vulnerability

• SQL-инъекция

shabti kaplan · frontend admin by dynamiapps10 окт. 2026 г.

WordPress CleanSkin theme <= 1.5.0 - PHP Object Injection vulnerability

• Без аутентификации
• Десериализация

ancorathemes · cleanskin10 окт. 2026 г.

WordPress CleanSkin theme <= 1.5.0 - Local File Inclusion vulnerability

• Без аутентификации

ancorathemes · cleanskin10 окт. 2026 г.

WordPress Aalto theme <= 1.8 - Local File Inclusion vulnerability

• Без аутентификации

edge-themes · aalto10 окт. 2026 г.

WordPress WP Ultimate CSV Importer plugin <= 9.2 - SQL Injection vulnerability

• SQL-инъекция

smackcoders inc. · wp ultimate csv importer10 окт. 2026 г.

WordPress Uminex theme <= 1.0.9 - Local File Inclusion vulnerability

• Без аутентификации

kutethemes · uminex10 окт. 2026 г.

WordPress DukaMarket theme <= 1.3.0 - Local File Inclusion vulnerability

• Без аутентификации

kutethemes · dukamarket10 окт. 2026 г.

WordPress Kids Planet theme <= 2.2.14.2 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

themerex group · kids planet10 окт. 2026 г.

WordPress TouchUp theme < 1.4 - Local File Inclusion vulnerability

• Без аутентификации

mikado-themes · touchup10 окт. 2026 г.

WordPress Angio theme <= 1.1.1 - PHP Object Injection vulnerability

• Десериализация

rascals · angio10 окт. 2026 г.

WordPress Tonda Membership plugin <= 1.0.1 - Privilege Escalation vulnerability

• Без аутентификации

select-themes · tonda membership10 окт. 2026 г.

WordPress CodeBard Help Desk plugin <= 1.1.2 - Arbitrary File Upload vulnerability

• Загрузка файлов

codebard · codebard help desk10 окт. 2026 г.

WordPress Tailored Tools plugin <= 3.0.3 - Arbitrary File Upload vulnerability

• Без аутентификации
• Загрузка файлов

tailored media · tailored tools10 окт. 2026 г.

WordPress Team Section Block plugin <= 2.0.4 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

bplugins · team section block10 окт. 2026 г.

WordPress StreamCast plugin <= 2.4.5 - Server Side Request Forgery (SSRF) vulnerability

• Без аутентификации
• SSRF

bplugins · streamcast10 окт. 2026 г.

WordPress uListing plugin <= 2.2.0 - SQL Injection vulnerability

• Без аутентификации
• SQL-инъекция

stylemix · ulisting10 окт. 2026 г.

WordPress DirectoryPress plugin <= 3.6.27 - Local File Inclusion vulnerability

• Без аутентификации

designinvento · directorypress10 окт. 2026 г.

WordPress uListing plugin <= 2.2.0 - Settings Change vulnerability

• Нарушение контроля доступа (IDOR)

stylemix · ulisting10 окт. 2026 г.

WordPress Before After Image Comparison – Image comparison for WP plugin <= 1.1.21 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

bplugins · before after image comparison – image comparison for wp10 окт. 2026 г.

WordPress Document Embedder plugin <= 2.4.0 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

bplugins · document embedder10 окт. 2026 г.

WordPress eRoom plugin <= 1.7.1 - Broken Authentication vulnerability

• Без аутентификации
• Обход аутентификации

digitalme · eroom10 окт. 2026 г.

WordPress Contact Form 7 – Dynamic Text Extension plugin <= 5.0.7 - Sensitive Data Exposure vulnerability

• Без аутентификации

sevenspark · contact form 7 – dynamic text extension10 окт. 2026 г.

WordPress Splendour theme <= 1.23 - PHP Object Injection vulnerability

• Без аутентификации
• Десериализация

themerex · splendour10 окт. 2026 г.

WordPress Stargaze theme <= 1.10 - PHP Object Injection vulnerability

• Без аутентификации
• Десериализация

themerex · stargaze10 окт. 2026 г.

WordPress Tipsy theme <= 1.6 - PHP Object Injection vulnerability

• Без аутентификации
• Десериализация

themerex · tipsy10 окт. 2026 г.