Эксплуатируемые и новые серьёзные CVE: октябрь 2026 г.

Plane: Cross-Workspace IDOR in Estimate and Comment Endpoints Allows Read, Modify, and Inject Across Workspaces

• Нарушение контроля доступа (IDOR)

makeplane · plane5 окт. 2026 г.

Plane: Cross-workspace member enumeration via /api/workspaces/{slug}/entity-search/

• Нарушение контроля доступа (IDOR)

makeplane · plane5 окт. 2026 г.

Plane: InstanceAdminSignUpEndpoint TOCTOU race allows two concurrent unauthenticated callers to both bootstrap as Plane instance admins

• Без аутентификации
• Состояние гонки

makeplane · plane5 окт. 2026 г.

auto-changelog: code execution via untrusted in-repository configuration (handlebarsSetup/plugins), plus argument injection, path traversal, and SSRF

• SSRF
• Обход пути
• Локальное повышение привилегий

cookpete · auto-changelog5 окт. 2026 г.

In Eclipse Che versions 7.29.0 and later, the GET `/api/scm/resolve` and `POST /api/factory/resolver` endpoints pass an attacker-controlled

• Обход пути

eclipse foundation · eclipse che5 окт. 2026 г.

WordPress Adsmonetizer plugin <= 3.2.4 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

jose fernandez · adsmonetizer5 окт. 2026 г.

Hypershift: hypershift: unsanitized kubeconfig passthrough from tenant namespace to control plane

• RCE

red hat · multicluster engine for kubernetes5 окт. 2026 г.

FacturaScripts < 2026.7 PHP Object Injection via WidgetSelect

• Десериализация

neorazorx · facturascripts5 окт. 2026 г.

Plane: Cross-Workspace Asset Duplication IDOR + WorkspaceFileAssetEndpoint and FileAssetEndpoint Missing Authorization

• Нарушение контроля доступа (IDOR)

makeplane · plane5 окт. 2026 г.

Plane: DNS Rebinding Bypass of CVE-2026-30242 SSRF Fix in Webhook Delivery

• SSRF

makeplane · plane5 окт. 2026 г.

Plane: Disabled User Auto-Reactivation on Login

• Нарушение контроля доступа (IDOR)

makeplane · plane5 окт. 2026 г.

Plane: Cross-tenant asset authorization bypass in Plane Spaces public-board endpoints

• Нарушение контроля доступа (IDOR)

makeplane · plane5 окт. 2026 г.

Plane: SSRF in Gitea OAuth

• SSRF

makeplane · plane5 окт. 2026 г.

Plane: Incomplete fix of CVE-2026-27706 — SSRF still reachable on: missing is_blocked_ip (CGNAT/multicast) + DNS-rebinding TOCTOU

• SSRF

makeplane · plane5 окт. 2026 г.

Plane: Invitation Hijack in Project Join Flow via Missing Authorization and Email-Only Acceptance

• Нарушение контроля доступа (IDOR)

makeplane · plane5 окт. 2026 г.

Plane: Cross-tenant stored XSS in intake enables account takeover

• XSS

makeplane · plane5 окт. 2026 г.

Plane: OAuth Avatar Redirect SSRF Leads to Internal Data Exfiltration via Static Asset Endpoint

• SSRF

makeplane · plane5 окт. 2026 г.

Plane: Cross-Tenant Destructive IDOR: Estimate Point Deletion via Unscoped Primary Key Lookup

• Нарушение контроля доступа (IDOR)

makeplane · plane5 окт. 2026 г.

Plane: Stored XSS via SVG attachment served inline on the application origin (account takeover)

• XSS

makeplane · plane5 окт. 2026 г.

Plane: asset download endpoints scope file lookups to the workspace (not the project / published entity) → cross-project & unauthenticated private-file disclosu

• Без аутентификации
• Нарушение контроля доступа (IDOR)

makeplane · plane5 окт. 2026 г.

Plane: Broken Access Control - joinProject GraphQL mutation allows self-join into private (secret) projects

• Нарушение контроля доступа (IDOR)

makeplane · plane5 окт. 2026 г.

Plane: Issue Attachment Ownership Hijacking via Missing `issue_id` Scope

• Нарушение контроля доступа (IDOR)

makeplane · plane5 окт. 2026 г.

Starting daemon with --cdi-disabled flag can lead to panic on specific builds

• Ошибки памяти

moby · buildkit5 окт. 2026 г.

Cache poisoning via unvalidated image layer DiffIDs

• Без аутентификации

moby · buildkit5 окт. 2026 г.

WordPress Photo Reviews for WooCommerce plugin <= 1.2.30 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

villatheme · photo reviews for woocommerce5 окт. 2026 г.

WordPress Five Star Restaurant Reservations plugin <= 2.7.24 - Sensitive Data Exposure vulnerability

• Без аутентификации

etoile web design incorporated · five star restaurant reservations5 окт. 2026 г.

WordPress Product Feed PRO for WooCommerce plugin <= 13.5.7 - PHP Object Injection vulnerability

• Десериализация

rymera web co · product feed pro for woocommerce5 окт. 2026 г.

WordPress WP BASE Booking plugin <= 6.4.0 - SQL Injection vulnerability

• Без аутентификации
• SQL-инъекция

wp base · wp base booking5 окт. 2026 г.

Apache Struts: OGNL injection in the legacy RESTful action mapper

• RCE без входа

apache · struts5 окт. 2026 г.

Apache Struts: Disproportionate response size when rendering BigDecimal request parameters

• Без аутентификации
• Отказ в обслуживании

apache · struts5 окт. 2026 г.

Apache Struts: Shared message formatter exposes date and time values across concurrent requests

• Состояние гонки

apache · struts5 окт. 2026 г.

Plane: Privilege Escalation: Project Guest Can Demote Admin/Member Roles

makeplane · plane5 окт. 2026 г.

Plane: Unauthenticated Project Invitation Email Disclosure Enables Unauthorized Project Join Without Token

• Без аутентификации
• Утечка информации

makeplane · plane5 окт. 2026 г.

Plane: SSRF via HTTP redirect in webhook delivery (allow_redirects not set)

• SSRF

makeplane · plane5 окт. 2026 г.

Plane: Cross-Project Asset Hijacking via 'ProjectBulkAssetEndpoint' (sibling of CVE-2026-46558)

• Нарушение контроля доступа (IDOR)

makeplane · plane5 окт. 2026 г.

Plane: Magic-code verifier endpoint has no rate limit, enabling 6-digit OTP brute force

• Без аутентификации

makeplane · plane5 окт. 2026 г.

Plane: Pre-auth workspace invitation hijack via email-squat and self-served invitation token leak in Plane

• Без аутентификации
• Утечка информации

makeplane · plane5 окт. 2026 г.

Plane: Account Takeover via Unverified OAuth Email Match (Gitea, self-managed GitLab)

• Без аутентификации
• Обход аутентификации

makeplane · plane5 окт. 2026 г.

Plane: Hardcoded SECRET_KEY and LIVE_SERVER_SECRET_KEY shipped in aio/cli community deployment manifests — session forgery and live-server auth bypass

• Без аутентификации
• Обход аутентификации
• Зашитые учётные данные

makeplane · plane5 окт. 2026 г.

Ghost: Remote Code Execution via Bookmark Card Images

• RCE без входа

tryghost · ghost5 окт. 2026 г.

Ghost: Stored XSS via Embed Card Previews

• XSS

tryghost · ghost5 окт. 2026 г.

In multiple locations, there is a possible permission bypass due to a logic error in the code.

• Локальное повышение привилегий

google · android5 окт. 2026 г.

In checkCallerIsCertInstallerOrSelfInProfile of CredentialStorageActivity.java, there is a possible permission bypass due to improper input

• Локальное повышение привилегий

google · android5 окт. 2026 г.

In shouldDisableUninstallButton of ApplicationActionButtonsPreferenceController.java, there is a possible permission bypass due to a logic e

• Локальное повышение привилегий

google · android5 окт. 2026 г.

In updateState of DeviceAdminAppsPreferenceController.java, there is a possible permission bypass due to a logic error in the code.

• Локальное повышение привилегий

google · android5 окт. 2026 г.

In Settings, there is a possible permission bypass due to a confused deputy.

• Локальное повышение привилегий

google · android5 окт. 2026 г.

In isSystem of WifiPermissionsUtil.java, there is a possible sandbox escape due to a missing permission check.

• Локальное повышение привилегий
• Нарушение контроля доступа (IDOR)

google · android5 окт. 2026 г.

In wpas_handle_robust_av_scs_recv_action of robust_av.c, there is a possible out-of-bounds write due to a logic error in the code.

• RCE
• Ошибки памяти

google · android5 окт. 2026 г.

In multiple functions of nfa_nfcee_act.cc, there is a possible out-of-bounds write due to a missing bounds check.

• Локальное повышение привилегий
• Ошибки памяти

google · android5 окт. 2026 г.

In rw_t4t_update_file of rw_t4t.cc, there is a possible out-of-bounds write due to an integer overflow.

• Локальное повышение привилегий
• Ошибки памяти

google · android5 окт. 2026 г.

In handle_le_monitor_device_event of msft.cc, there is a possible control-flow hijack in the privileged bluetooth process due to an uninitia

• Локальное повышение привилегий
• Ошибки памяти

google · android5 окт. 2026 г.

In multiple functions of MessageQueueBase.h, there is a possible out of bounds read due to an incorrect bounds check.

• Локальное повышение привилегий
• Ошибки памяти

google · android5 окт. 2026 г.

In qsort of libufdt_sysdeps_vendor.c, there is a possible out-of-bounds write due to resource exhaustion.

• Локальное повышение привилегий
• Отказ в обслуживании

google · android5 окт. 2026 г.

In FilterCapturedPacket of snoop_logger.cc, there is a possible memory safety issue due to improper input validation.

• Локальное повышение привилегий

google · android5 окт. 2026 г.

In dialInternal in multiple locations, there is a possible permission bypass due to a confused deputy.

• Локальное повышение привилегий

google · android5 окт. 2026 г.

In multiple locations, there is a possible out-of-bounds write due to uninitialized data.

google · android5 окт. 2026 г.

In stpropnci_process of stpropnci.cc, there is a possible out of bounds write due to an incorrect bounds check.

• Локальное повышение привилегий
• Ошибки памяти

google · android5 окт. 2026 г.

In multiple locations, there is a possible out of bounds write due to an incorrect bounds check.

• Локальное повышение привилегий
• Ошибки памяти

google · android5 окт. 2026 г.

In cfg2prop of btif_storage.cc, there is a possible out-of-bounds write due to a heap buffer overflow.

• RCE
• Ошибки памяти

google · android5 окт. 2026 г.

In multiple functions of VirtualAudioControllerTest.java, there is a possible permission bypass due to a logic error in the code.

• Локальное повышение привилегий

google · android5 окт. 2026 г.

In multiple locations, there is a possible memory corruption due to type confusion.

• Локальное повышение привилегий

google · android5 окт. 2026 г.

In multiple places, there is a possible denial of service due to an uncaught exception.

• Локальное повышение привилегий

google · android5 окт. 2026 г.

In multiple functions of PduParser.java, there is a possible persistent denial of service due to a missing bounds check.

• Без аутентификации
• Ошибки памяти
• Отказ в обслуживании

google · android5 окт. 2026 г.

In handle_app_val_response of btif_rc.cc, there is a possible way to achieve code execution due to a race condition.

• Локальное повышение привилегий
• Состояние гонки

google · android5 окт. 2026 г.

FineAdmin v1.0 was discovered to contain a SQL injection vulnerability via the field/order parameter at ButtonService.GetListByFilter().

• Без аутентификации
• SQL-инъекция

5 окт. 2026 г.

WordPress Advanced Post Manager plugin <= 4.5.5 - PHP Object Injection vulnerability

• Без аутентификации
• Десериализация

liquid web / stellarwp · advanced post manager5 окт. 2026 г.

WordPress Scratch & Win – Giveaways and Contests plugin <= 3.0.2 - Broken Access Control vulnerability

• Нарушение контроля доступа (IDOR)

apps mav · scratch & win – giveaways and contests5 окт. 2026 г.

WordPress RepairBuddy plugin <= 4.1226 - Sensitive Data Exposure vulnerability

• Нарушение контроля доступа (IDOR)

webful creations · repairbuddy5 окт. 2026 г.

WordPress WP Spell Check plugin <= 12.1 - PHP Object Injection vulnerability

• Десериализация

wp spell check · wp spell check5 окт. 2026 г.

WordPress VK Google Job Posting Manager plugin <= 1.3.1 - PHP Object Injection vulnerability

• Десериализация

vektor inc. · vk google job posting manager5 окт. 2026 г.

WordPress WP BASE Booking plugin <= 6.4.0 - SQL Injection vulnerability

• SQL-инъекция

wp base · wp base booking5 окт. 2026 г.

WordPress WP Ultimate Exporter plugin <= 3.0 - PHP Object Injection vulnerability

• Десериализация

smackcoders inc. · wp ultimate exporter5 окт. 2026 г.

Ghost: Stored XSS via SVG Uploads Bypassing Sanitization

• XSS

tryghost · ghost5 окт. 2026 г.

Ghost: Stored XSS via oEmbed Photo Responses

• Без аутентификации
• XSS

tryghost · ghost5 окт. 2026 г.

Ghost: Stored XSS via Bookmark Card Images

• XSS

tryghost · ghost5 окт. 2026 г.

Ghost: Invite Token Disclosure in Ghost Admin API

tryghost · ghost5 окт. 2026 г.

Ghost: Remote Code Execution via Theme Translation Files

• RCE
• Обход пути

tryghost · ghost5 окт. 2026 г.

Ghost: Stored XSS via File Uploads on Local Storage

• XSS

tryghost · ghost5 окт. 2026 г.

Ghost: Authorization Bypass in Comments Feature

• SQL-инъекция

tryghost · ghost5 окт. 2026 г.

Penpot: Authenticated OS Command Injection in Penpot SVG Exporter via Legacy fill-color

• RCE
• Инъекция команд

penpot · penpot5 окт. 2026 г.

An issue in Mercusys AC12 V2 allows a local attacker to execute arbitrary code via the storage of information in plaintext

• RCE

5 окт. 2026 г.

An issue in Mercusys AC12 V2 allows a local attacker to execute arbitrary code via a hardcoded 512-bit RSA Private Key

• RCE

5 окт. 2026 г.

WordPress Sunshine Photo Cart plugin <= 3.7.1 - PHP Object Injection vulnerability

• Десериализация

wp sunshine · sunshine photo cart5 окт. 2026 г.

Filtering an :atom attribute with unsafe_to_atom? can exhaust the BEAM atom table in Ash

• Без аутентификации
• Отказ в обслуживании

ash-project · ash5 окт. 2026 г.

Feehi CMS 2.1.1 is vulnerable to Incorrect Access Control.

• Нарушение контроля доступа (IDOR)

5 окт. 2026 г.

Feehi CMS 2.1.1 contains a Server-Side Request Forgery (SSRF) vulnerability in the UEditor catchimage endpoint.

• Без аутентификации
• SSRF

5 окт. 2026 г.

WordPress Simple Event Planner plugin <= 1.5.7 - PHP Object Injection vulnerability

• Десериализация

presstigers · simple event planner5 окт. 2026 г.

Newell Brands DYMO ID parent directory open to path traversal through improper spheres of control

• Обход пути
• Локальное повышение привилегий

newell brands · dymo id5 окт. 2026 г.

Langflow: OS command injection (RCE) via arbitrary command in MCP stdio server configuration

• RCE
• Инъекция команд

langflow-ai · langflow5 окт. 2026 г.

Langflow: Authenticated Cross-Project File Disclosure via Unscoped MCP Resource Handlers

• Нарушение контроля доступа (IDOR)

langflow-ai · langflow5 окт. 2026 г.

Langflow: Authenticated RCE via MCP Stdio transport allows any user to execute arbitrary OS commands on the server

• RCE
• Инъекция команд

langflow-ai · langflow5 окт. 2026 г.

Langflow: IP Spoofing Bypass via `X-Forwarded-For` Allowing Remote Configuration Write

• Обход аутентификации

langflow-ai · langflow5 окт. 2026 г.

Canimaan Software ClamXAV local privilege escalation

• RCE
• Локальное повышение привилегий
• Состояние гонки

canimaan software · clamxav5 окт. 2026 г.

Camunda 7.24.0 < 7.24.15 Incorrect Authorization via SetupResource Endpoint

• Без аутентификации
• Нарушение контроля доступа (IDOR)

camunda · camunda 75 окт. 2026 г.

Insufficient boundary validation in the USB boot mode implementation of AMD Zynq™ UltraScale+ MPSoC and RFSoC devices could allow unbounded

• Ошибки памяти

amd · zynq™ ultrascale+ mpsocs5 окт. 2026 г.

Docling: Arbitrary file read/write (and command execution when shell-escape is enabled) when rendering untrusted TikZ with the opt-in Tectonic engine

• RCE без входа
• Обход пути

docling · docling5 окт. 2026 г.

Docling: Plugin entry points are imported before the allow_external_plugins check

docling · docling5 окт. 2026 г.

Docling: `enable_local_fetch` is not enforced in HTML browser-rendering mode

• Без аутентификации

docling · docling5 окт. 2026 г.

This is a vulnerability in Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Ba

• Без аутентификации

atlassian · bitbucket data center5 окт. 2026 г.

openSIS Classic 9.3 - Insecure Direct Object Reference (IDOR)

• Нарушение контроля доступа (IDOR)

os4ed · opensis-classic5 окт. 2026 г.