Эксплуатируемые и новые серьёзные CVE: октябрь 2026 г.

Highcharts Grid Pro: cell-renderer `attributes` map written with raw `setAttribute`

• XSS

highcharts · highcharts28 окт. 2026 г.

HTTP::Body versions before 1.24_01 for Perl allow CPU exhaustion via regex backtracking on the filename of a multipart upload

• Без аутентификации
• Отказ в обслуживании

28 окт. 2026 г.

HTTP::Body versions before 1.24_01 for Perl allow memory exhaustion via unbounded buffering of chunked request bodies

• Без аутентификации
• Отказ в обслуживании

28 окт. 2026 г.

Highcharts Grid: custom icon definition objects written with raw `setAttribute` on `<path>`

• XSS

highcharts · highcharts28 окт. 2026 г.

Highcharts Core: AST `DOMParser` fallback assigns unsanitized markup to `innerHTML` during print

• XSS

highcharts · highcharts28 окт. 2026 г.

Highcharts Dashboards: `chartConstructor` is an unchecked lookup into the Highcharts namespace

• XSS

highcharts · highcharts28 окт. 2026 г.

Highcharts Core: `breadcrumbs.style` keys become SVG event-handler attributes

• XSS

highcharts · highcharts28 окт. 2026 г.

Highcharts: series column construction writes to Object.prototype

• Prototype pollution

highcharts · highcharts28 окт. 2026 г.

Highcharts: dotted series.keys paths write to Object.prototype

• Prototype pollution

highcharts · highcharts28 окт. 2026 г.

Openjdk-orb: incomplete fix for cve-2026-15560,unauthed class loading via iiop in eap

• Без аутентификации

red hat · red hat jboss enterprise application platform 728 окт. 2026 г.

Highcharts: javascript: URL in credits.href runs script on click

• XSS

highcharts · highcharts28 окт. 2026 г.

Highcharts Dashboards: sidebar component labels are parsed as HTML

• XSS

highcharts · highcharts28 окт. 2026 г.

Highcharts Dashboards: fullscreen labels are parsed as HTML

• XSS

highcharts · highcharts28 окт. 2026 г.

Highcharts Grid: pagination language options are parsed as HTML

• XSS

highcharts · highcharts28 окт. 2026 г.

Highcharts Grid: javascript: URL in credits.href runs script on click

• XSS

highcharts · highcharts28 окт. 2026 г.

Vue I18n: escapeParameter does not prevent XSS through srcdoc in translation messages

• Без аутентификации
• XSS

intlify · vue-i18n28 окт. 2026 г.

Echo: BodyDump captures request and response bodies without size limits in v4

• Без аутентификации
• Отказ в обслуживании

labstack · echo28 окт. 2026 г.

Echo: Decompress permits unbounded gzip expansion in v4

• Без аутентификации
• Отказ в обслуживании

labstack · echo28 окт. 2026 г.

Echo: WebSocket proxy can retain connections and handlers after client disconnect

• Без аутентификации

labstack · echo28 окт. 2026 г.

Echo: Rejected WebSocket upgrades can bypass Echo route-level access controls

• Без аутентификации
• Обход аутентификации

labstack · echo28 окт. 2026 г.

A path traversal vulnerability allows a remote unauthenticated attacker to execute arbitrary code as root in Sophos UTM (all versions) after

• RCE без входа
• Обход пути
• Состояние гонки

sophos · sg utm28 окт. 2026 г.

n8n before 1.123.85, 2.43.5, and 2.44.1 Filter Injection via Quick Base Node Where Parameter

• Без аутентификации
• SQL-инъекция

n8n-io · n8n28 окт. 2026 г.

n8n before 1.123.85, 2.43.5, and 2.44.1 ReDoS via Read/Write Files Node

• Отказ в обслуживании

n8n-io · n8n28 окт. 2026 г.

n8n before 1.123.85, 2.43.5, and 2.44.1 Stored XSS via Webhook Responses Missing Sandbox Policy

• XSS

n8n-io · n8n28 окт. 2026 г.

n8n before 2.43.5 and 2.44.1 Authorization Bypass via Crafted Workflow ID in Data Tables

• Prototype pollution

n8n-io · n8n28 окт. 2026 г.

n8n before 2.41.4 and 2.42.1 Prototype Pollution DoS via Workflow History Compaction

• Prototype pollution

n8n-io · n8n28 окт. 2026 г.

MONAI 1.2.0 before 1.6.1 Code Execution via bundle configs/logging.conf

• RCE без входа

project-monai · monai28 окт. 2026 г.

MONAI before 1.6.1 Missing Integrity Verification via check_hash in Downloads

• Без аутентификации
• Слабая криптография

project-monai · monai28 окт. 2026 г.

EspoCRM before 9.3.11 and 10.0.8 Unauthenticated Denial of Service via Password-Redaction Regex

• Без аутентификации
• Отказ в обслуживании

espocrm · espocrm28 окт. 2026 г.

Coder before 2.29.21, 2.34.12, 2.35.9, 2.36.7, and 2.37.4 Missing Audience Validation in GCP Instance-Identity Authentication

• Без аутентификации

coder · coder28 окт. 2026 г.

Wasmtime before 36.0.18, 37.0.0 before 48.0.6, and 49.0.0 before 49.0.3 Sandbox Escape via Symlink Rename

bytecodealliance · wasmtime28 окт. 2026 г.

mcp-sanitizer: File Path Sanitizer Permits Arbitrary User-Home Absolute Paths

• Без аутентификации
• Обход пути

28 окт. 2026 г.

mcp-sanitizer: URL sanitizer allows localhost/IPv6 loopback SSRF bypass via explicit port or bracketed IPv6

• Без аутентификации
• SSRF

28 окт. 2026 г.

Server Side Request Forgery in Multiple WSO2 Products Allows Access to Internal and External Resources

• SSRF

wso2 · wso2 api manager28 окт. 2026 г.

Samba: access control bypass via vfs_ceph_rgw case-insensitive open

samba · samba28 окт. 2026 г.

Ai-gateway-payload-processing: ai-gateway-payload-processing: tenant/credential selection from client-controlled url path with no in-process authorization

• Нарушение контроля доступа (IDOR)

red hat · red hat openshift ai (rhoai)28 окт. 2026 г.

Echo: middleware.Static: `%2F`-encoded path bypasses route/group middleware guarding a statically-served path

• Без аутентификации

labstack · echo28 окт. 2026 г.

Kserve: kserve: server-side request forgery via malicious storageuri

• SSRF

red hat · red hat openshift ai (rhoai)28 окт. 2026 г.

Gearboy advisory / Gearsystem body: Unauthenticated network exposure of MCP HTTP tools

• Без аутентификации
• Обход аутентификации

drhelius · gearboy28 окт. 2026 г.

FearlessCMS: Unauthenticated debug scripts expose filesystem operations and XSS

• Без аутентификации
• Обход пути
• XSS

fearlessgeekmedia · fearlesscms28 окт. 2026 г.

Incomplete OAuth Token Revocation via Case Mismatch in WSO2 Identity Server Allows Continued Access After Lifecycle Events

wso2 · wso2 identity server28 окт. 2026 г.

Cisco Secure Firewall Adaptive Security Appliance and Secure Firewall Threat Defense Software Remote Access SSL VPN Tunnel Denial of Service Vulnerability

• Без аутентификации
• Отказ в обслуживании

cisco · adaptive security appliance software28 окт. 2026 г.

Remote Code Execution via BPMN System REST APIs in Multiple WSO2 Products Permits Arbitrary Command Execution

• RCE
• Инъекция команд

wso2 · enterprise integrator (bps profile)28 окт. 2026 г.

@happy-dom/server-renderer: ServerRendererServer Target-Origin Bypass SSRF / Open Proxy

• Без аутентификации
• SSRF

capricorn86 · happy-dom28 окт. 2026 г.

Happy DOM: SSRF via iframe and link stylesheet when parsing untrusted HTML

• Без аутентификации
• SSRF

capricorn86 · happy-dom28 окт. 2026 г.

decode-uri-component: Denial of service via quadratic replacement of percent-encoded runs

• Без аутентификации
• Отказ в обслуживании

samverschueren · decode-uri-component28 окт. 2026 г.

GraphQL Tools: Per-request connection parameters persist into later users' WebSocket authentications

• Без аутентификации

ardatan · graphql-tools28 окт. 2026 г.

LangGraph JavaScript custom authentication may permit cross-user Store access

• Нарушение контроля доступа (IDOR)

langchain-ai · langgraph-api28 окт. 2026 г.

The DB Tools trust certificates issued by recoverable eMudhra intermediate CAs

• Без аутентификации
• Слабая криптография

mongodb · database tools28 окт. 2026 г.

OAuthLib: Token grants can use attacker-supplied client_id for authorization after authenticating a different client

• Нарушение контроля доступа (IDOR)

oauthlib · oauthlib28 окт. 2026 г.

ClashMi through 1.0.32.1801 Disabled TLS Certificate Validation Enables Update MITM

• Без аутентификации
• Слабая криптография

karingx · clashmi28 окт. 2026 г.

OvenMediaEngine through 0.21.0 OVT Relay DoS via Oversized payload_length

• Без аутентификации
• Отказ в обслуживании

ovenmedialabs · ovenmediaengine28 окт. 2026 г.

Signal K Server before 2.33.0 Missing Authentication via /skServer/ziplogs

• Без аутентификации
• Обход аутентификации

signalk · signalk-server28 окт. 2026 г.

CherryTree through 1.7.2 OS Command Injection via Custom Web Link Action

• RCE
• Инъекция команд

giuspen · cherrytree28 окт. 2026 г.

python-markdown2 through 2.5.5 Denial of Service via Unclosed Inline Link Destinations

• Без аутентификации

trentm · python-markdown228 окт. 2026 г.

FreeImage through 3.18.0 and danoli3 fork before 3.19.22 Heap Buffer Overflow via IFF/LBM PBM RLE Decoder

• Ошибки памяти

danoli3 · freeimage28 окт. 2026 г.

FreeImage through 3.18.0 and danoli3 fork before 3.19.25 Heap Buffer Overflow via GIF_PLAYBACK Compositing

• Ошибки памяти

danoli3 · freeimage28 окт. 2026 г.

Volmarg Personal Management System through 2.1.0 OS Command Injection via Storage Folder Path

• RCE
• Инъекция команд

volmarg · personal-management-system28 окт. 2026 г.

Bricks Theme Unauthenticated Dynamic Data Tag Injection via query_result

• RCE без входа
• Обход аутентификации
• SSTI

bricks · bricks theme28 окт. 2026 г.

Bricks Broken Access Control via query_result Endpoint

• Без аутентификации
• Нарушение контроля доступа (IDOR)

bricks · bricks builder28 окт. 2026 г.

OpenCATS: Authenticated Remote Code Execution via SettingsUI (manageProfessional)

• RCE

opencats · opencats28 окт. 2026 г.

OpenCATS: Authenticated SQL injection in activity DataGrid date filters

• SQL-инъекция

opencats · opencats28 окт. 2026 г.

AnkiMCP: DNS rebinding reaches unauthenticated local AnkiMCP HTTP tools

• Без аутентификации

ankimcp · anki-mcp-server-addon28 окт. 2026 г.

AVideo-Encoder: unauthenticated installer PHP code injection

• RCE без входа

wwbn · avideo-encoder28 окт. 2026 г.

AVideo-Encoder: unauthenticated command execution through streamer login trust

• RCE без входа
• Инъекция команд

wwbn · avideo-encoder28 окт. 2026 г.

AVideo-Encoder: pre-authentication streamer-login SQL injection

• Без аутентификации
• SQL-инъекция

wwbn · avideo-encoder28 окт. 2026 г.

AVideo-Encoder: missing authentication on control and status endpoints

• Без аутентификации
• Обход аутентификации

wwbn · avideo-encoder28 окт. 2026 г.

AVideo-Encoder: unauthenticated full-response server-side request forgery

• Без аутентификации
• SSRF

wwbn · avideo-encoder28 окт. 2026 г.

Path traversal in Mattermost Agents plugin mention reminder allows plugin replacement via crafted post

• Обход пути

mattermost · mattermost28 окт. 2026 г.

D-Link DIR-505 Web Management CGI secmark1524.cgi main backdoor

• Без аутентификации

d-link · dir-50528 окт. 2026 г.

MailWatch: IDOR lets any authenticated user release or delete another tenant's quarantined mail

• Нарушение контроля доступа (IDOR)
• CSRF

mailwatch · mailwatch28 окт. 2026 г.

Improper input validation in Bixby prior to version 4.0.85.6 allows privileged local attackers to launch arbitrary activity.

• Локальное повышение привилегий

samsung mobile · bixby29 окт. 2026 г.

The Ortto plugin for WordPress before 1.0.25 did not authenticate configuration update requests, relying only on a secret exposed in public

• Без аутентификации
• Обход аутентификации

canva · ortto29 окт. 2026 г.

Unrestricted Command Execution via system.execute

• RCE
• Инъекция команд

apereo foundation · openequella29 окт. 2026 г.

XML External Entity (XXE) Injection in Metadata Field Allows Arbitrary File Read

• SSRF
• XXE

apereo foundation · openequella29 окт. 2026 г.

Bot for Telegram on WooCommerce <= 1.3.0 - Unauthenticated Authentication Bypass to Account Takeover via Fake Telegram Webhook + Brute-Forced Login Token

• Без аутентификации
• Обход аутентификации

guruteam · bot for telegram on woocommerce29 окт. 2026 г.

A authorization bypass vulnerability exists in the /nodered functionality of FUXA (version(s): 1.3.2-2809).

• RCE без входа
• Нарушение контроля доступа (IDOR)

frangoteam · frangoteam29 окт. 2026 г.

Wild Apricot Login <= 1.0.18 - Authentication Bypass via SSO Email-Collision Account Binding on Multisite

• Обход аутентификации

wild-apricot · wild apricot login29 окт. 2026 г.

SendPress Newsletters <= 1.26.1.20 - Unauthenticated SQL Injection via 'subscriberid' Parameter

• Без аутентификации
• SQL-инъекция

brewlabs · sendpress newsletters29 окт. 2026 г.

Social Web Suite <= 4.1.12 - Unauthenticated SQL Injection via 'exclude_posts' Parameter

• Без аутентификации
• SQL-инъекция

dejanmarkovic · social web suite – social media auto post, social media auto publish29 окт. 2026 г.

SSL Wireless SMS Notification <= 3.8.1 - Unauthenticated Authentication Bypass to Account Takeover

• Без аутентификации
• Обход аутентификации

sslplugins · ssl wireless sms notification29 окт. 2026 г.

Schema App Structured Data <= 2.3.2 - Unauthenticated Stored Cross-Site Scripting via Comment Content via 'Remove Microdata' Output Filter

• Без аутентификации
• XSS

vberkel · schema app structured data29 окт. 2026 г.

Food Store <= 1.5.5 - Unauthenticated Stored Cross-Site Scripting via 'service_type' Cookie

• Без аутентификации
• XSS

wpscripts · food store – online food delivery & pickup29 окт. 2026 г.

DSGVO All in one for WP <= 5.0 - Unauthenticated Stored Cross-Site Scripting via Comment Content via Output Buffer Regex Corruption

• Без аутентификации
• XSS

mlfactory · dsgvo all in one for wp29 окт. 2026 г.

Frontend Dashboard < 3.0.5 and ProfileGrid < 6.0.0.5 - Unauthenticated PHP Object Injection

• RCE без входа
• Десериализация

unknown · frontend dashboard29 окт. 2026 г.

Two Factor Authentication < 1.17.0 and All-In-One Security (AIOS) < 5.5.0 - Subscriber+ 2FA Bypass via 'creds_user_id' Parameter

• Обход аутентификации

unknown · two factor authentication29 окт. 2026 г.

LogixFast Auth < 1.0.4 - Unauthenticated Account Takeover via Password Reset

• Без аутентификации

unknown · logixfast auth29 окт. 2026 г.

Automated Import Products to Cart < 1.0.4 - Subscriber+ Arbitrary File Read and Deletion via Path Traversal

• Обход пути

unknown · automated import products to cart29 окт. 2026 г.

Wildfly: wildfly-iiop: wildfly-ejb3: wildfly: authentication bypass on iiop ejb invocations as csiv2 ittprincipalname accepted without transport binding

• Без аутентификации
• Обход аутентификации

red hat · red hat fuse 729 окт. 2026 г.

Chat AI with Dispatcher < 2.4 - Unauthenticated Arbitrary File Upload

• RCE без входа
• Загрузка файлов

unknown · chat ai with dispatcher29 окт. 2026 г.

Contact Form by Supsystic < 1.11.1 - Admin+ SSTI via Form Text Block

• RCE
• SSTI

unknown · contact form by supsystic29 окт. 2026 г.

nvm_ls lets an untrusted version string inject sed commands, executing arbitrary commands with GNU sed

• RCE
• Инъекция команд

nvm-sh · nvm29 окт. 2026 г.

Wildfly-ejb: wildfly-iiop-openjdk: eap iiop listeners may permit unauthed deserialization

• Десериализация

red hat · red hat jboss enterprise application platform 729 окт. 2026 г.

Community Events 1.4.9 - 1.5.9 - Unauthenticated Stored XSS via Event Submission Form

• Без аутентификации
• XSS

unknown · community events29 окт. 2026 г.

vTables < 0.3 - Unauthenticated SQL Injection via orderby Parameter

• Без аутентификации
• SQL-инъекция

unknown · vtables29 окт. 2026 г.

Hard-coded Cryptographic Key #1

• Без аутентификации
• Зашитые учётные данные

qnap systems inc. · hbs 3 hybrid backup sync29 окт. 2026 г.

Hard-coded Cryptographic Key #2

• Без аутентификации
• Зашитые учётные данные

qnap systems inc. · hbs 3 hybrid backup sync29 окт. 2026 г.

SQL Injection Vulnerability in Radius Xenia M2M Platform

• Без аутентификации
• SQL-инъекция

radius synergies · radius xenia m2m platform29 окт. 2026 г.

Mapster WP Maps <= 2.0.5 - Unauthenticated Stored Cross-Site Scripting via 'config.loading.background' Parameter

• Без аутентификации
• XSS

mapster · mapster wp maps29 окт. 2026 г.

Cross-user Document Access on Foxit Official Website's HTML-to-PDF Service

• Без аутентификации
• Нарушение контроля доступа (IDOR)

foxit software inc. · foxit.com29 окт. 2026 г.