Эксплуатируемые и новые серьёзные CVE: октябрь 2026 г.

WordPress ACF Extended plugin <= 0.9.2.7 - Broken Access Control vulnerability

• Без аутентификации
• Нарушение контроля доступа (IDOR)

acf extended · acf extended22 окт. 2026 г.

WordPress Amelia plugin <= 2.4.11 - SQL Injection vulnerability

• Без аутентификации
• SQL-инъекция

tms · amelia22 окт. 2026 г.

WordPress Contact Form Email plugin <= 1.3.68 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

codepeople · contact form email22 окт. 2026 г.

WatchGuard Agent Incorrect Permission Assignment in Log Directory Allows Local Log Tampering

• Локальное повышение привилегий

watchguard · watchguard agent22 окт. 2026 г.

Unbounded atom creation from unsigned LogoutResponse status codes in esaml allows atom table exhaustion

• Без аутентификации
• Отказ в обслуживании

handnot2 · esaml22 окт. 2026 г.

Unbounded SAML message decompression in esaml allows memory exhaustion

• Без аутентификации

handnot2 · esaml22 окт. 2026 г.

webpack-dev-server vulnerable to cross-origin WebSocket access via proxied upgrades

• Без аутентификации

webpack.js · webpack-dev-server22 окт. 2026 г.

Javo Spot WordPress Theme < 3.0.0 Path Traversal via admin-ajax.php fn Parameter

• Без аутентификации
• Обход пути

javo themes · javo spot22 окт. 2026 г.

Broadstreet Ad Widget WordPress Plugin < 2.12.0 Local File Inclusion via step parameter

• Обход пути

broadstreet · ad widget22 окт. 2026 г.

Intermesh Group-Office < 3.5.5 Path Traversal via compress.php

• Без аутентификации
• Обход пути

intermesh · group-office22 окт. 2026 г.

MetInfo CMS < 6.1.1 Unauthenticated Path Traversal via thumb.php dir Parameter

• Без аутентификации
• Обход пути

metinfo · metinfo22 окт. 2026 г.

SeaCMS 8.7 SQL Injection via comment/api/index.php rlist Parameter

• Без аутентификации
• SQL-инъекция

seacms · seacms22 окт. 2026 г.

WooThemes Diarise 1.5.9 Local File Disclosure via download.php

• Без аутентификации
• Обход пути

woothemes · diarise22 окт. 2026 г.

Weaver E-cology 8.0 Unauthenticated Path Traversal via ln.FileDownload

• Без аутентификации
• Обход пути

weaver network co., ltd. · e-cology22 окт. 2026 г.

FineReport 9.0 Unauthenticated Path Traversal File Write via ReportServer

• RCE без входа
• Обход пути

fanruan · finereport22 окт. 2026 г.

JeeWMS Path Traversal via showOrDownByurl.do

• Без аутентификации
• Обход пути

erzhongxmu · jeewms22 окт. 2026 г.

DedeCMS 5.8.1-beta Unauthenticated RCE via plus/flink.php

• RCE без входа

dedecms · dedecms22 окт. 2026 г.

OrbiTeam BSCW Server < 5.2.5 / 7.4.4 Path Traversal via bscw.cgi

• Без аутентификации
• Обход пути

orbiteam · bscw server22 окт. 2026 г.

NotificationX WordPress Plugin < 2.3.12 Unauthenticated SQL Injection via notification REST endpoint

• Без аутентификации
• SQL-инъекция

wpdeveloper · notificationx22 окт. 2026 г.

YiShaAdmin 3.1 Unauthenticated Path Traversal via DownloadFile endpoint

• Без аутентификации
• Обход пути

liukuo362573 · yishaadmin22 окт. 2026 г.

PHPOK < 5.4.081 SQL Injection via api.php sort Parameter

• Без аутентификации
• SQL-инъекция

phpok · phpok22 окт. 2026 г.

Kavita < 0.5.4.1 Unauthenticated Path Traversal via cover-upload Endpoint

• Без аутентификации
• Обход пути

kareadita · kavita22 окт. 2026 г.

Penta Security WAPPLES 4.0.54.1 / 5.0 / 6.0 Path Traversal via /webapi/file/transfer

• Обход пути

penta security systems · wapples22 окт. 2026 г.

i-Netsolution Readymade Unilevel Ecommerce MLM SQL Injection via product-details.php

• Без аутентификации
• SQL-инъекция

i-netsolution · readymade unilevel ecommerce mlm22 окт. 2026 г.

YouDataSum CPAS Audit Management System V4 Path Traversal via downPlugs fileId

• Без аутентификации
• Обход пути

youdatasum · cpas audit management system22 окт. 2026 г.

Weaver E-cology < 10.76 Unauthenticated SQL Injection via doc/out/more/list

• Без аутентификации
• SQL-инъекция

weaver network co., ltd. · e-cology22 окт. 2026 г.

Goose: goose: shell history and environment leak via terminal integration

• Без аутентификации
• Утечка информации

red hat · red hat enterprise linux 1022 окт. 2026 г.

WordPress ACF Extended plugin <= 0.9.2.7 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

acf extended · acf extended22 окт. 2026 г.

WordPress Academist Core plugin <= 1.4.1 - Local File Inclusion vulnerability

• Без аутентификации

elated-themes · academist core22 окт. 2026 г.

WordPress Workreap Core plugin < 3.4.4 - SQL Injection vulnerability

• SQL-инъекция

amentotech · workreap core22 окт. 2026 г.

WordPress Rootblox plugin <= 1.0.6 - Local File Inclusion vulnerability

• Без аутентификации

cozythemes · rootblox22 окт. 2026 г.

Goploy 1.18.0 before 1.18.1 Symlink Following Arbitrary File Read via /deploy/fileDiff and /deploy/fileCompare

zhenorzz · goploy22 окт. 2026 г.

mem0 0.1.117 before 1.0.8 SQL Injection via Databricks Vector Store

• Без аутентификации
• SQL-инъекция

mem0ai · mem022 окт. 2026 г.

Netmaker through 1.7.0 Authorization Bypass via updateExtClient Unscoped Lookup

• Нарушение контроля доступа (IDOR)

gravitl · netmaker22 окт. 2026 г.

JSON-SCADA before 0.65-alpha SQL Injection via OPC HistoryRead API

• SQL-инъекция

riclolsen · json-scada22 окт. 2026 г.

Lotus through 0.10.2 SQL Injection via Custom SQL Billable Metrics

• RCE
• SQL-инъекция

uselotus · lotus22 окт. 2026 г.

Lotus through 0.10.2 SQL Injection via Metric Property Names and Filters

• SQL-инъекция

uselotus · lotus22 окт. 2026 г.

Lotus through 0.10.2 SQL Injection via Subscription Filter Keys

• SQL-инъекция

uselotus · lotus22 окт. 2026 г.

Lotus through 0.10.2 Improper Authentication via Event Ingestion API Key Prefix

• Без аутентификации
• Обход аутентификации

uselotus · lotus22 окт. 2026 г.

Lotus through 0.10.2 Authorization Bypass via switch_organization Endpoint

• Нарушение контроля доступа (IDOR)

uselotus · lotus22 окт. 2026 г.

SSRF and local file disclosure via unvalidated URLs

• Без аутентификации
• SSRF

22 окт. 2026 г.

Joomla Extension - yootheme.com - Unauthenticated remote code execution in YOOtheme Pro 5.0.0-5.0.52

• RCE без входа
• Загрузка файлов

yootheme.com · yootheme pro extension for joomla22 окт. 2026 г.

An issue in Systrome Validation & Certification 1.0 allows an attacker to cause a denial of service via the t URL parameter in the qrcode_au

• Без аутентификации
• Отказ в обслуживании

22 окт. 2026 г.

Out-of-Bounds Write in Google Brotli Decoder

• RCE без входа

google · brotli22 окт. 2026 г.

Apache Abdera: XML external entity expansion in Atom document parsing

• Без аутентификации
• XXE

apache software foundation · apache abdera22 окт. 2026 г.

Dis-connect vulnerability in Connect Stack

• Без аутентификации
• Обход аутентификации

silicon labs · connect sdk22 окт. 2026 г.

Out-of-bounds write in Zigbee Simple_Desc_req handling

• RCE
• Ошибки памяти

silabs · emberznet22 окт. 2026 г.

Rsyslog: DynFile Path Traversal → Arbitrary File Write as Root → RCE

• RCE без входа
• Обход пути

rsyslog · rsyslog22 окт. 2026 г.

Out-of-bounds write in Zigbee Publish Price Matrix handling

• RCE
• Ошибки памяти

silabs · emberznet22 окт. 2026 г.

body-parser vulnerable to Denial of Service via trailing bytes after a compressed request body

• Без аутентификации
• Отказ в обслуживании

body-parser · body-parser22 окт. 2026 г.

multer vulnerable to Denial of Service via a pending asynchronous fileFilter after request teardown

• Без аутентификации
• Отказ в обслуживании

multer · multer22 окт. 2026 г.

Flexible GraphRAG: Cypher/Graph Injection via broken string-escaping in FalkorDB adapter (_escape()) - full graph wipe from ingested-document content

stevereiner · flexible-graphrag22 окт. 2026 г.

Insecure Deserialization of .cleanshot Files in CleanShot X

• RCE
• Десериализация

mtw · cleanshot x22 окт. 2026 г.

OCO-Server: Stored XSS through agent hostnames in command buttons

• Без аутентификации
• XSS

schorschii · oco-server22 окт. 2026 г.

Multiple AiDot devices are vulnerable to a heap-based buffer overflow via SSDP location header parsing.

• Без аутентификации
• Ошибки памяти

22 окт. 2026 г.

PyJWT: HS256/384/512 verify accepts empty HMAC key via oct JWK (PyJWK/PyJWKClient) enabling token forgery

• Без аутентификации
• Слабая криптография

22 окт. 2026 г.

Price manipulation in the Ecommerce Template checkout flow through a client supplied Stripe price identifier

marcoscamara01 · ecommerce template22 окт. 2026 г.

Cross user deletion and modification of cart and wishlist rows in Ecommerce Template through unscoped primary key queries

• Нарушение контроля доступа (IDOR)

marcoscamara01 · ecommerce template22 окт. 2026 г.

In lsquic before 4.9.0, the HTTP/3 implementation can use an excessive amount of memory because the number of buffered header sets is not li

• Без аутентификации
• Отказ в обслуживании

litespeedtech · lsquic22 окт. 2026 г.

An issue in Webasyst Framework 4.0.3 and before allows a remote attacker to execute arbitrary code via a crafted OAuth authorization URL wit

• RCE без входа
• Открытый редирект

22 окт. 2026 г.

Next.js: Denial of Service in App Router using Server Actions

• Без аутентификации
• Отказ в обслуживании

vercel · next.js22 окт. 2026 г.

Pillow: Bundled libopenjp2 2.5.4 in all wheels since 11.1.0 carries OSV-2025-219 heap-buffer-overflow write reachable from Image.open().load()

• Без аутентификации

22 окт. 2026 г.

JetBackup WordPress Plugin < 3.1.24.10 Symlink Arbitrary File Write via Backup Restore

jetbackup · jetbackup22 окт. 2026 г.

dnspython dns.name.from_wire_parser() excessive CPU use

• Без аутентификации
• Отказ в обслуживании

rthalley · dnspython22 окт. 2026 г.

better-auth: OAuth state can be used as a Magic Link to sign in as another user

• Без аутентификации
• Обход аутентификации

better-auth · better-auth22 окт. 2026 г.

GraphQL-core: Denial of service via quadratic complexity in the OverlappingFieldsCanBeMerged validation rule

• Без аутентификации
• Отказ в обслуживании

graphql-python · graphql-core22 окт. 2026 г.

GraphQL-core: Denial of service via comment tokens bypassing the parser's max_tokens limit

• Без аутентификации
• Отказ в обслуживании

graphql-python · graphql-core22 окт. 2026 г.

Pre-boot RCE in EDK II PXE driver

• RCE без входа
• Ошибки памяти

tianocore · edk222 окт. 2026 г.

PhpSpreadsheet: XmlScanner Bypass via Double-Encoded unentity() TOCTOU Allows XXE and Denial of Service

• Без аутентификации
• SSRF
• XXE

phpoffice · phpspreadsheet22 окт. 2026 г.

PhpSpreadsheet: XmlScanner Bypass via ISO-2022 Escape Sequences Allows XXE and Denial of Service

• Без аутентификации
• SSRF
• XXE

phpoffice · phpspreadsheet22 окт. 2026 г.

PhpSpreadsheet ODS Reader: Unbounded number-rows-repeated → CPU & Memory Exhaustion (DoS)

• Без аутентификации
• Отказ в обслуживании

phpoffice · phpspreadsheet22 окт. 2026 г.

SmileCDR HAPI FHIR improper data decompression

• Без аутентификации

smilecdr · hapi fhir22 окт. 2026 г.

SmileCDR HAPI FHIR trusted tenant partition override

• Нарушение контроля доступа (IDOR)

smilecdr · hapi fhir22 окт. 2026 г.

OCO-Server: MDM /profile endpoint accepts self-signed PKCS#7 signatures (PKCS7_NOVERIFY): device MDM identity (certificate + private key) disclosure and device-

• Без аутентификации
• Слабая криптография

schorschii · oco-server22 окт. 2026 г.

Missing authorization in the unit resources download route in Juju controllers

• Нарушение контроля доступа (IDOR)

canonical · juju22 окт. 2026 г.

Agent Zero Web UI XSS

• Без аутентификации
• XSS

agent zero · agent zero22 окт. 2026 г.

Bytebase 0.12.0 before 1.0.1 Authentication Bypass via GitLab Self-Hosted Login

• Без аутентификации
• Обход аутентификации

bytebase · bytebase22 окт. 2026 г.

An issue was discovered in localstack 4.9.2 allowing attackers to execute arbitrary code via crafted content hosted on a web-accessable URL

• RCE без входа
• XSS

22 окт. 2026 г.

Missing authorization in the Prospero Flow CRM user API allows a basic role user to read and delete other accounts

• Нарушение контроля доступа (IDOR)

roskus · prospero flow crm22 окт. 2026 г.

LiteLLM: Privilege Escalation to Proxy Admin via Cross-Domain Reuse of the Salt Key

berriai · litellm22 окт. 2026 г.

MessagePack: Unbounded memory leak in msgpack C extension on strict_map_key validation failure

• Без аутентификации
• Десериализация
• Отказ в обслуживании

msgpack · msgpack-python22 окт. 2026 г.

Memory-exhaustion denial of service via unbounded symbol interning during BSON/JSON deserialization

• Без аутентификации
• Десериализация
• Отказ в обслуживании

mongodb · c# driver22 окт. 2026 г.

NoSQL injection via dot and dollar characters in LINQ filter field names and dictionary keys

• SQL-инъекция

mongodb · c# driver22 окт. 2026 г.

Authentication bypass via issuer-and-serial-only certificate equality in shared cluster cache

• Обход аутентификации

mongodb · c# driver22 окт. 2026 г.

Update operator injection via single-element list rewriting in the update builder

• SQL-инъекция

mongodb · c# driver22 окт. 2026 г.

Silent client-side encryption bypass via unescaped field-name regex in CSFLE schema builder

mongodb · c# driver22 окт. 2026 г.

Mistune before 3.3.0 Quadratic Denial of Service via parse_link_text

• Без аутентификации

lepture · mistune22 окт. 2026 г.

Mistune before 3.3.0 Quadratic-Time DoS via parse_link_text

• Без аутентификации
• Отказ в обслуживании

lepture · mistune22 окт. 2026 г.

Mistune 3.0.0 before 3.3.0 Denial of Service via Nested Bracket Parsing

• Без аутентификации
• Отказ в обслуживании

lepture · mistune22 окт. 2026 г.

Mistune before 3.3.0 Quadratic-Time DoS via Unmatched Brackets in Inline Parser

• Без аутентификации

lepture · mistune22 окт. 2026 г.

Mistune before 3.3.0 Path Traversal via include Directive

• Без аутентификации
• Обход пути

lepture · mistune22 окт. 2026 г.

Mistune before 3.3.0 Arbitrary Local File Read via Include Directive

• Без аутентификации
• Обход пути

lepture · mistune22 окт. 2026 г.

Mistune before 3.3.0 Path Traversal and XSS via Include Directive

• Без аутентификации
• Обход пути
• XSS

lepture · mistune22 окт. 2026 г.

OpenBao 2.3.0 before 2.6.3 Incorrect Authorization via Policy Cache Namespace Traversal

• Нарушение контроля доступа (IDOR)

openbao · openbao22 окт. 2026 г.

LXC Incus 6.0.3 before 6.0.7, 6.6.0 before 7.0.2, and 7.1.0 before 7.5.0 Bucket Credential Disclosure via Storage Bucket Keys Endpoints

• Утечка информации

lxc · incus22 окт. 2026 г.

Incus 7.3.0 before 7.5.0 Project Restriction Bypass via block.create_options

lxc · incus22 окт. 2026 г.

Incus before 6.0.7, 6.1.0 before 7.0.2, and 7.1.0 before 7.5.0 Authorization Bypass via GET /1.0/operations/{uuid}

• Нарушение контроля доступа (IDOR)

lxc · incus22 окт. 2026 г.

Incus 7.0.0 before 7.0.2 and 7.1.0 before 7.5.0 Unsigned Header Bypass in Presigned S3 Upload URLs

• Слабая криптография

lxc · incus22 окт. 2026 г.

Incus 7.0.0 before 7.0.2 and 7.1.0 before 7.5.0 Path Traversal via Instance Backup Dependent Volumes

• Обход пути

lxc · incus22 окт. 2026 г.

Incus 7.0.1 before 7.0.2 and 7.2.0 before 7.5.0 Project Restriction Bypass via Custom Volume Copy

• Нарушение контроля доступа (IDOR)

lxc · incus22 окт. 2026 г.