По дате публикации
Эксплуатируемые и новые серьёзные CVE: октябрь 2026 г.
8 568 записей · 21 KEV. В порядке публикации.
В списке: записи из каталога CISA KEV, с боевым эксплойтом, с EPSS от 10%, с публичным PoC и датой публикации в последние 3 года, а также записи с CVSS от 7, опубликованные за последние 90 дней. Остальные записи доступны через поиск и страницы производителей.
Границы месяца считаются по UTC, как и дата публикации на странице записи.
Страница 86 из 86
| Срочность | CVE | Уязвимость | Критичность | KEV | EPSS | Опубликовано |
|---|---|---|---|---|---|---|
33Наблюдать | CVE-2026-63338Эксплойта нет | IXP Manager has Broken Object-Level Authorizationinex · ixp-manager · CWE-639 | Высокая8,3 | — | 0,2 % | 4 дня назад |
35Наблюдать | CVE-2026-63339Эксплойта нет | IXP Manager has authenticated non-administrator privilege escalationinex · ixp-manager · CWE-20 | Высокая8,8 | — | 0,2 % | 4 дня назад |
30Наблюдать | CVE-2026-63341Эксплойта нет | Aedes has Uncaught Exception and Uncontrolled Resource Consumptionmoscajs · aedes · CWE-248 | Высокая7,5 | — | 0,3 % | 4 дня назад |
34Наблюдать | CVE-2026-63344Эксплойта нет | Refitter: C# source injection through OpenAPI content-type map keyschristianhelle · refitter · CWE-94 | Высокая8,6 | — | 0,3 % | 4 дня назад |
34Наблюдать | CVE-2026-63345Эксплойта нет | Refitter: C# source injection through OpenAPI path keyschristianhelle · refitter · CWE-94 | Высокая8,6 | — | 0,3 % | 4 дня назад |
34Наблюдать | CVE-2026-63346Эксплойта нет | Refitter: C# source injection through OpenAPI header parameter nameschristianhelle · refitter · CWE-94 | Высокая8,6 | — | 0,3 % | 4 дня назад |
39Наблюдать | CVE-2026-63377Эксплойта нет | TAKO AI Agent for Okta: Unauthenticated first-run administrator takeoverfctr-id · okta-ai-agent · CWE-306 | Критическая9,8 | — | 0,3 % | 4 дня назад |
35Наблюдать | CVE-2026-63378Эксплойта нет | TAKO AI Agent for Okta: Authenticated Python execution through validator bypassfctr-id · okta-ai-agent · CWE-94 | Высокая8,8 | — | 0,3 % | 4 дня назад |
34Наблюдать | CVE-2026-63393Эксплойта нет | OpenSearch SQL plugin: Unsafe cursor deserialization permits server code executionopensearch-project · sql · CWE-502 | Высокая8,7 | — | 0,4 % | 4 дня назад |
34Наблюдать | CVE-2026-63396Эксплойта нет | Coop has a data leak via unauthenticated GraphQL Query.allOrgsroostorg · coop · CWE-306 | Высокая8,7 | — | 0,3 % | 4 дня назад |
29Наблюдать | CVE-2026-63398Эксплойта нет | Coop has SAML cross-tenant authentication bypassroostorg · coop · CWE-287 | Высокая7,4 | — | 0,1 % | 4 дня назад |
30Наблюдать | CVE-2026-63414Эксплойта нет | Shopify App: Token exchange shop context confusion may allow cross-shop authorization bypass in affected appsshopify · shopify_app · CWE-863 | Высокая7,6 | — | 0,5 % | 4 дня назад |
37Наблюдать | CVE-2026-117656Эксплойта нет | Acceptance of Extraneous Untrusted Data With Trusted Data vulnerability in the Sign in with Apple strategy in pow-auth Assent allows an unauCWE-290 | Критическая9,3 | — | 0,2 % | 4 дня назад |
34Наблюдать | CVE-2026-110176Эксплойта нет | File Force Download for Drupal 7 Access Bypass via Unconditional Download Headersdrupal · file force download · CWE-863 | Высокая8,7 | — | 0,2 % | 4 дня назад |
29Наблюдать | CVE-2026-116755Эксплойта нет | SoftIron HyperCloud: OS Command Injection in Orchestrator via Virtual Machine Template Fieldssoftiron · hypercloud · CWE-78 | Высокая7,4 | — | 0,9 % | 4 дня назад |
28Наблюдать | CVE-2026-109234Эксплойта нет | Meow Lightbox <= 5.6.4 - Unauthenticated Stored Cross-Site Scripting via HTML Parser Quote-Metadata Desynchronizationtigroumeow · meow lightbox · CWE-79 | Высокая7,2 | — | 0,3 % | 4 дня назад |
28Наблюдать | CVE-2026-109997Эксплойта нет | Ninja Forms <= 3.15.5 - Unauthenticated Stored Cross-Site Scripting via 'extra' Parameter via Metadata Key Normalizationkstover · ninja forms – contact form builder with calculators, quizzes, signatures & ai form builder · CWE-79 | Высокая7,2 | — | 0,4 % | 4 дня назад |
28Наблюдать | CVE-2026-116520Эксплойта нет | PPWP <= 1.9.26 - Unauthenticated Stored Cross-Site Scripting via '[ppwp]' Shortcode 'desc_below_form' Attribute via Placeholder Marker Collisionbuildwps · ppwp – password protect pages · CWE-79 | Высокая7,2 | — | 0,3 % | 4 дня назад |
28Наблюдать | CVE-2026-118043Эксплойта нет | Bulk Media Register < 2.01 - Author+ Arbitrary File Move via Path Traversalunknown · bulk media register · CWE-22 | Высокая7,2 | — | 0,2 % | 4 дня назад |
30Наблюдать | CVE-2026-118185Эксплойта нет | Security Optimizer < 1.6.9 - 2FA Bypass via Missing Rate Limitingunknown · security optimizer · CWE-287 | Высокая7,5 | — | 0,2 % | 4 дня назад |
30Наблюдать | CVE-2026-118638Эксплойта нет | Mapster WP Maps < 2.0.6 - Unauthenticated Arbitrary Post Modification via save-mapmaker REST Routeunknown · mapster wp maps · CWE-862 | Высокая7,5 | — | 0,2 % | 4 дня назад |
62На этой неделе | CVE-2026-119977Готовый эксплойт | WordPress Core 4.7.0 - 7.1.3 - Unauthenticated Upgrade-Window Staged-Installer Remote Code Executionwordpress · wordpress · CWE-367 | Высокая8,1 | KEV | 0,6 % | 4 дня назад |
28Наблюдать | CVE-2026-107653Эксплойта нет | SureCart <= 4.9.4 - Unauthenticated Stored Cross-Site Scripting via 'manual-payment-instructions' Attribute of sc-order-manual-instructions in Commentssurecart · surecart – ecommerce made easy for selling physical products, digital downloads, subscriptions, donations, & payments · CWE-79 | Высокая7,2 | — | 0,2 % | 4 дня назад |
28Наблюдать | CVE-2026-107750Эксплойта нет | PDF Invoices & Packing Slips for WooCommerce <= 5.16.4 - Unauthenticated Stored Cross-Site Scripting via Billing First Name / Last Name / Company / Customer Notwpovernight · pdf invoices & packing slips for woocommerce · CWE-79 | Высокая7,2 | — | 0,2 % | 4 дня назад |
39Наблюдать | CVE-2026-109220Эксплойта нет | PDF Invoice for WooCommerce + Drag and Drop Template Builder <= 7.1.1 - Unauthenticated PHP Object Injection to Remote Code Execution via 'customer_note' Checkoaddonsorg · pdf invoice for woocommerce + drag and drop template builder · CWE-502 | Критическая9,8 | — | 0,5 % | 4 дня назад |
28Наблюдать | CVE-2026-111254Эксплойта нет | W3 Total Cache <= 2.10.7 - Unauthenticated Stored Cross-Site Scripting via Comment Content Cached as HTML after License Expiryboldgrid · w3 total cache · CWE-79 | Высокая7,2 | — | 0,3 % | 4 дня назад |
28Наблюдать | CVE-2026-115840Эксплойта нет | VikRentCar Car Rental Management System <= 1.4.9 - Unauthenticated Stored Cross-Site Scripting via 'poplink' Parametere4jvikwp · vikrentcar car rental management system · CWE-79 | Высокая7,2 | — | 0,2 % | 4 дня назад |
28Наблюдать | CVE-2026-116522Эксплойта нет | Relevanssi <= 4.28.5 - Unauthenticated Stored Cross-Site Scripting via Comment Content via Late Entity Decodecomesio · relevanssi – a better search · CWE-79 | Высокая7,2 | — | 0,2 % | 4 дня назад |
28Наблюдать | CVE-2026-116548Эксплойта нет | VikRentCar Car Rental Management System <= 1.4.10 - Unauthenticated Stored Cross-Site Scripting via 'optionals' Parametere4jvikwp · vikrentcar car rental management system · CWE-79 | Высокая7,2 | — | 0,2 % | 4 дня назад |
36Наблюдать | CVE-2026-116557Эксплойта нет | WP Booking System <= 2.1.0.5 - Missing Authorization to Unauthenticated Arbitrary Calendar Note Deletion via wpbs_calendar_remove_note AJAX Actionmurgroland · wp booking system – booking calendar · CWE-862 | Критическая9,1 | — | 0,3 % | 4 дня назад |
28Наблюдать | CVE-2026-118070Эксплойта нет | Welcart e-Commerce <= 2.12.5 - Unauthenticated Stored Cross-Site Scripting via 'gid' Parameteruscnanbu · welcart e-commerce · CWE-79 | Высокая7,2 | — | 0,2 % | 4 дня назад |
28Наблюдать | CVE-2026-119065Эксплойта нет | Shipping Zones by Drawing for WooCommerce <= 3.3.0 - Unauthenticated Stored Cross-Site Scripting via 'szbd-picked' Checkout Parameterarosoft · shipping zones by drawing for woocommerce · CWE-79 | Высокая7,2 | — | 0,2 % | 4 дня назад |
28Наблюдать | CVE-2026-119089Эксплойта нет | ThirstyAffiliates <= 3.12.1 - Unauthenticated Stored Cross-Site Scripting via Comment Content via <ta> Tagsupercleanse · thirstyaffiliates – affiliate links, link branding, link tracking & marketing plugin · CWE-79 | Высокая7,2 | — | 0,2 % | 4 дня назад |
28Наблюдать | CVE-2026-119162Эксплойта нет | User Submitted Posts <= 20260916 - Unauthenticated Stored DOM-Based Cross-Site Scripting via 'user-submitted-content' Parameter via Block-Comment Shortcode Splispecialk · user submitted posts – enable users to submit posts from the front end · CWE-79 | Высокая7,2 | — | 0,2 % | 4 дня назад |
30Наблюдать | CVE-2026-119163Эксплойта нет | FunnelKit Automations <= 3.8.5.2 - Unauthenticated SQL Injection via 'bwfan_cart_id' Parameterteamfunnelkit · funnelkit automations – email marketing automation and crm for wordpress & woocommerce · CWE-89 | Высокая7,5 | — | 0,3 % | 4 дня назад |
30Наблюдать | CVE-2026-120040Эксплойта нет | Mail logging & Catcher <= 2.2.0 - Authenticated (Subscriber+) Sensitive Information Exposure to Privilege Escalation to Mail Log Viewer / Password-Reset Email Dwardee · mail logging & catcher · CWE-269 | Высокая7,5 | — | 0,2 % | 4 дня назад |
36Наблюдать | CVE-2026-89270Эксплойта нет | Popup Builder <= 4.4.5 - Missing Authorization to Unauthenticated Arbitrary Popup Post Trashing via 'post_type' and 'sg_popup_preview_id' Parameterspopupbuilder · popup builder – create highly converting, mobile friendly marketing popups. · CWE-862 | Критическая9,1 | — | 0,3 % | 4 дня назад |
32Наблюдать | CVE-2026-103898Эксплойта нет | Wp Social Login and Register Social Counter <= 3.2.2 - Unauthenticated Authentication Bypass via Insufficient Email Verification in Social Login Callbackroxnor · wp social login and register social counter · CWE-287 | Высокая8,1 | — | 0,4 % | 4 дня назад |
35Наблюдать | CVE-2026-104012Эксплойта нет | Rox Appointment Booking <= 1.3.1 - Unauthenticated Privilege Escalation via Mass Assignment to Mass Assignment via '/public/booking' Endpointroxnor · rox appointment booking – event, calendar & appointment scheduling · CWE-269 | Высокая8,8 | — | 0,2 % | 4 дня назад |
28Наблюдать | CVE-2026-107759Эксплойта нет | WPO365 | MICROSOFT 365 GRAPH MAILER <= 6.2 - Unauthenticated Stored Cross-Site Scripting via Email Subject via wp_mailwpo365 · wpo365 | microsoft 365 graph mailer · CWE-79 | Высокая7,2 | — | 0,2 % | 4 дня назад |
39Наблюдать | CVE-2026-116512Proof of concept | Project Manager <= 4.1.1 - Unauthenticated Remote Code Execution via 'id' Parameter Function Injectionwedevs · project manager – ai powered project management, task management, kanban board & time tracker · CWE-434 | Критическая9,8 | — | 0,5 % | 4 дня назад |
28Наблюдать | CVE-2026-118057Эксплойта нет | Shield Security <= 22.3.2 - Unauthenticated Stored Cross-Site Scripting via Request Path (REQUEST_URI) in Traffic Logpaultgoodchild · shield security – smart bot blocking, brute-force login protection & file scanning · CWE-79 | Высокая7,2 | — | 0,2 % | 4 дня назад |
39Наблюдать | CVE-2026-119096Эксплойта нет | Uncanny Toolkit for LearnDash <= 3.8.2 - Unauthenticated Authentication Bypass via 'email' Parameteruncannyowl · uncanny toolkit for learndash · CWE-287 | Критическая9,8 | — | 0,4 % | 4 дня назад |
35Наблюдать | CVE-2026-120070Эксплойта нет | User Frontend <= 4.3.13 - Authenticated (Subscriber+) Privilege Escalation via post_content Parameterwedevs · user frontend – membership, user registration, user profile, user directory & content restriction with frontend post submission · CWE-269 | Высокая8,8 | — | 0,3 % | 4 дня назад |
36Наблюдать | CVE-2026-103882Эксплойта нет | Acadlix LMS <= 1.1.9 - Unauthenticated Arbitrary File Deletion via 'delete_file_data.file_path' Parameteracadlix · acadlix lms – ai quiz maker, online exam & course plugin for wordpress · CWE-22 | Критическая9,1 | — | 0,7 % | 4 дня назад |
28Наблюдать | CVE-2026-110530Эксплойта нет | FeedWordPress <= 2026.0517 - Unauthenticated Stored Cross-Site Scripting via Syndicated Feed Contentradgeek · feedwordpress · CWE-79 | Высокая7,2 | — | 0,2 % | 4 дня назад |
34Наблюдать | CVE-2026-114217Эксплойта нет | Konflux-ci: github token plaintext exposure in ci/cd scriptsCWE-312 | Высокая8,6 | — | 0,0 % | 4 дня назад |
35Наблюдать | CVE-2026-116086Эксплойта нет | Konflux-ci: jq filter injection in github workflow issue managementCWE-94 | Высокая8,8 | — | 0,3 % | 4 дня назад |
33Наблюдать | CVE-2026-116964Эксплойта нет | Konflux-ci: remote code execution via eval() in manifest scriptsCWE-94 | Высокая8,4 | — | 0,3 % | 4 дня назад |
32Наблюдать | CVE-2026-117681Эксплойта нет | Konflux-ci: ui proxy skips backend tls verification on non-openshift clusters, leaking a token that can impersonate anyoneCWE-295 | Высокая8,0 | — | 0,0 % | 4 дня назад |
39Наблюдать | CVE-2026-118235Эксплойта нет | SimpleForm <= 3.10.2 - Unauthenticated Arbitrary File Upload via Trailing-Dot Filename via Unknown File Key in simpleform_get_submit_datawpazleen · simpleform – form maker to chat apps with quiz, poll and multi lead notifications · CWE-434 | Критическая9,8 | — | 0,7 % | 4 дня назад |
28Наблюдать | CVE-2026-120075Эксплойта нет | WP Activity Log <= 5.6.1 - Unauthenticated Stored Cross-Site Scriptingmelapress · wp activity log · CWE-79 | Высокая7,2 | — | 0,2 % | 4 дня назад |
30Наблюдать | CVE-2026-109197Эксплойта нет | WP Directory Kit <= 1.6.0 - Unauthenticated SQL Injection via 'idfield' Parameterwpdirectorykit · wp directory kit · CWE-89 | Высокая7,5 | — | 0,4 % | 4 дня назад |
28Наблюдать | CVE-2026-120114Эксплойта нет | Debug Log Manager <= 2.5.2 - Unauthenticated Stored Cross-Site Scripting via 'log_js_errors' AJAX Endpointqriouslad · debug log manager – conveniently monitor and inspect errors · CWE-79 | Высокая7,2 | — | 0,4 % | 4 дня назад |
30Наблюдать | CVE-2026-120194Эксплойта нет | Json-glib: json-glib: infinite loop in json_path_query() with negative jsonpath slice stepred hat · red hat enterprise linux 10 · CWE-835 | Высокая7,5 | — | 0,4 % | 4 дня назад |
35Наблюдать | CVE-2026-76010Эксплойта нет | Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery <= 4.4.1 - Authenticated (Custom+) Remote Code Execution via XML-RPC 'meta_data' Mass Assignment asmub · photo gallery, sliders, proofing and themes – nextgen gallery · CWE-434 | Высокая8,8 | — | 0,7 % | 4 дня назад |
32Наблюдать | RUSTSEC-2026-0434Эксплойта нет | `ant-releases`: extracting a release archive can write files outside the destination directory (path traversal / zip-slip) | Высокая8,2 | — | — | 4 дня назад |
33Наблюдать | CVE-2026-102212Эксплойта нет | Pre-Auth Heap Buffer Overflow in the Multipart Requestopengear · im7200 · CWE-122 | Высокая8,4 | — | 0,3 % | 4 дня назад |
37Наблюдать | CVE-2026-120201Эксплойта нет | Jpom 2.10.0 through 2.11.12 Authentication Bypass via JPOM-USER-TOKEN Headerdromara · jpom · CWE-943 | Критическая9,3 | — | 0,6 % | 4 дня назад |
28Наблюдать | CVE-2026-120202Эксплойта нет | Highflame ramparts 0.8.1 through 0.8.10 Skill Bundle Scan Bypass via Nested .pychighflame-ai · ramparts · CWE-693 | Высокая7,1 | — | 0,2 % | 4 дня назад |
34Наблюдать | CVE-2026-120203Эксплойта нет | ShowDoc 2.8.14 before 3.9.6 Code Injection via Mock Templatesshowdoc · showdoc · CWE-94 | Высокая8,7 | — | 0,3 % | 4 дня назад |
29Наблюдать | CVE-2026-120205Эксплойта нет | Thelia before 3.1.0 Stored XSS via Coupon Condition Customer Namethelia · thelia · CWE-79 | Высокая7,4 | — | 0,2 % | 4 дня назад |
28Наблюдать | CVE-2026-120207Эксплойта нет | Thelia Page Module before 2.0.4 CSRF via Page Tag, Document and Image Delete Routesthelia · thelia page module · CWE-352 | Высокая7,0 | — | 0,2 % | 4 дня назад |
30Наблюдать | CVE-2026-120208Эксплойта нет | libheif 1.18.0 before 1.23.3 Heap Buffer Overflow via unci Mixed-Interleave Decoderstrukturag · libheif · CWE-122 | Высокая7,7 | — | 0,3 % | 4 дня назад |
37Наблюдать | CVE-2026-120209Эксплойта нет | AJ-Report through 1.7.1 Authentication Bypass leading to RCE via Share-Tokenanji-plus · aj-report · CWE-321 | Критическая9,3 | — | 0,5 % | 4 дня назад |
29Наблюдать | CVE-2026-118147Эксплойта нет | Visual Studio Spoofing Vulnerabilitymicrosoft · microsoft visual studio 2017 version 15.9 · CWE-295 | Высокая7,4 | — | 0,6 % | 4 дня назад |
39Наблюдать | CVE-2026-118636Эксплойта нет | Apache MINA: Unsafe Deserialization (CWE-502) in JavaNativeMessageDecoderapache software foundation · apache mina · CWE-502 | Критическая9,8 | — | 0,5 % | 3 дня назад |
32Наблюдать | CVE-2026-120135Эксплойта нет | Apache Thrift: Java TProtocolUtil.skip() does not limit the recursion depth by defaultapache software foundation · apache thrift · CWE-674 | Высокая8,2 | — | 0,5 % | 3 дня назад |
- CVE-2026-6333833Наблюдать
IXP Manager has Broken Object-Level Authorization
ВысокаяCVSS 8,3Эксплойта нетEPSS 0 %inex · ixp-manager4 дня назад
- CVE-2026-6333935Наблюдать
IXP Manager has authenticated non-administrator privilege escalation
ВысокаяCVSS 8,8Эксплойта нетEPSS 0 %inex · ixp-manager4 дня назад
- CVE-2026-6334130Наблюдать
Aedes has Uncaught Exception and Uncontrolled Resource Consumption
ВысокаяCVSS 7,5Эксплойта нетEPSS 0 %moscajs · aedes4 дня назад
- CVE-2026-6334434Наблюдать
Refitter: C# source injection through OpenAPI content-type map keys
ВысокаяCVSS 8,6Эксплойта нетEPSS 0 %christianhelle · refitter4 дня назад
- CVE-2026-6334534Наблюдать
Refitter: C# source injection through OpenAPI path keys
ВысокаяCVSS 8,6Эксплойта нетEPSS 0 %christianhelle · refitter4 дня назад
- CVE-2026-6334634Наблюдать
Refitter: C# source injection through OpenAPI header parameter names
ВысокаяCVSS 8,6Эксплойта нетEPSS 0 %christianhelle · refitter4 дня назад
- CVE-2026-6337739Наблюдать
TAKO AI Agent for Okta: Unauthenticated first-run administrator takeover
КритическаяCVSS 9,8Эксплойта нетEPSS 0 %fctr-id · okta-ai-agent4 дня назад
- CVE-2026-6337835Наблюдать
TAKO AI Agent for Okta: Authenticated Python execution through validator bypass
ВысокаяCVSS 8,8Эксплойта нетEPSS 0 %fctr-id · okta-ai-agent4 дня назад
- CVE-2026-6339334Наблюдать
OpenSearch SQL plugin: Unsafe cursor deserialization permits server code execution
ВысокаяCVSS 8,7Эксплойта нетEPSS 0 %opensearch-project · sql4 дня назад
- CVE-2026-6339634Наблюдать
Coop has a data leak via unauthenticated GraphQL Query.allOrgs
ВысокаяCVSS 8,7Эксплойта нетEPSS 0 %roostorg · coop4 дня назад
- CVE-2026-6339829Наблюдать
Coop has SAML cross-tenant authentication bypass
ВысокаяCVSS 7,4Эксплойта нетEPSS 0 %roostorg · coop4 дня назад
- CVE-2026-6341430Наблюдать
Shopify App: Token exchange shop context confusion may allow cross-shop authorization bypass in affected apps
ВысокаяCVSS 7,6Эксплойта нетEPSS 0 %shopify · shopify_app4 дня назад
- CVE-2026-11765637Наблюдать
Acceptance of Extraneous Untrusted Data With Trusted Data vulnerability in the Sign in with Apple strategy in pow-auth Assent allows an unau
КритическаяCVSS 9,3Эксплойта нетEPSS 0 %4 дня назад
- CVE-2026-11017634Наблюдать
File Force Download for Drupal 7 Access Bypass via Unconditional Download Headers
ВысокаяCVSS 8,7Эксплойта нетEPSS 0 %drupal · file force download4 дня назад
- CVE-2026-11675529Наблюдать
SoftIron HyperCloud: OS Command Injection in Orchestrator via Virtual Machine Template Fields
ВысокаяCVSS 7,4Эксплойта нетEPSS 0 %softiron · hypercloud4 дня назад
- CVE-2026-10923428Наблюдать
Meow Lightbox <= 5.6.4 - Unauthenticated Stored Cross-Site Scripting via HTML Parser Quote-Metadata Desynchronization
ВысокаяCVSS 7,2Эксплойта нетEPSS 0 %tigroumeow · meow lightbox4 дня назад
- CVE-2026-10999728Наблюдать
Ninja Forms <= 3.15.5 - Unauthenticated Stored Cross-Site Scripting via 'extra' Parameter via Metadata Key Normalization
ВысокаяCVSS 7,2Эксплойта нетEPSS 0 %kstover · ninja forms – contact form builder with calculators, quizzes, signatures & ai form builder4 дня назад
- CVE-2026-11652028Наблюдать
PPWP <= 1.9.26 - Unauthenticated Stored Cross-Site Scripting via '[ppwp]' Shortcode 'desc_below_form' Attribute via Placeholder Marker Collision
ВысокаяCVSS 7,2Эксплойта нетEPSS 0 %buildwps · ppwp – password protect pages4 дня назад
- CVE-2026-11804328Наблюдать
Bulk Media Register < 2.01 - Author+ Arbitrary File Move via Path Traversal
ВысокаяCVSS 7,2Эксплойта нетEPSS 0 %unknown · bulk media register4 дня назад
- CVE-2026-11818530Наблюдать
Security Optimizer < 1.6.9 - 2FA Bypass via Missing Rate Limiting
ВысокаяCVSS 7,5Эксплойта нетEPSS 0 %unknown · security optimizer4 дня назад
- CVE-2026-11863830Наблюдать
Mapster WP Maps < 2.0.6 - Unauthenticated Arbitrary Post Modification via save-mapmaker REST Route
ВысокаяCVSS 7,5Эксплойта нетEPSS 0 %unknown · mapster wp maps4 дня назад
- CVE-2026-11997762На этой неделе
WordPress Core 4.7.0 - 7.1.3 - Unauthenticated Upgrade-Window Staged-Installer Remote Code Execution
ВысокаяCVSS 8,1KEVГотовый эксплойтEPSS 0 %wordpress · wordpress4 дня назад
- CVE-2026-10765328Наблюдать
SureCart <= 4.9.4 - Unauthenticated Stored Cross-Site Scripting via 'manual-payment-instructions' Attribute of sc-order-manual-instructions in Comments
ВысокаяCVSS 7,2Эксплойта нетEPSS 0 %surecart · surecart – ecommerce made easy for selling physical products, digital downloads, subscriptions, donations, & payments4 дня назад
- CVE-2026-10775028Наблюдать
PDF Invoices & Packing Slips for WooCommerce <= 5.16.4 - Unauthenticated Stored Cross-Site Scripting via Billing First Name / Last Name / Company / Customer Not
ВысокаяCVSS 7,2Эксплойта нетEPSS 0 %wpovernight · pdf invoices & packing slips for woocommerce4 дня назад
- CVE-2026-10922039Наблюдать
PDF Invoice for WooCommerce + Drag and Drop Template Builder <= 7.1.1 - Unauthenticated PHP Object Injection to Remote Code Execution via 'customer_note' Checko
КритическаяCVSS 9,8Эксплойта нетEPSS 0 %addonsorg · pdf invoice for woocommerce + drag and drop template builder4 дня назад
- CVE-2026-11125428Наблюдать
W3 Total Cache <= 2.10.7 - Unauthenticated Stored Cross-Site Scripting via Comment Content Cached as HTML after License Expiry
ВысокаяCVSS 7,2Эксплойта нетEPSS 0 %boldgrid · w3 total cache4 дня назад
- CVE-2026-11584028Наблюдать
VikRentCar Car Rental Management System <= 1.4.9 - Unauthenticated Stored Cross-Site Scripting via 'poplink' Parameter
ВысокаяCVSS 7,2Эксплойта нетEPSS 0 %e4jvikwp · vikrentcar car rental management system4 дня назад
- CVE-2026-11652228Наблюдать
Relevanssi <= 4.28.5 - Unauthenticated Stored Cross-Site Scripting via Comment Content via Late Entity Decode
ВысокаяCVSS 7,2Эксплойта нетEPSS 0 %comesio · relevanssi – a better search4 дня назад
- CVE-2026-11654828Наблюдать
VikRentCar Car Rental Management System <= 1.4.10 - Unauthenticated Stored Cross-Site Scripting via 'optionals' Parameter
ВысокаяCVSS 7,2Эксплойта нетEPSS 0 %e4jvikwp · vikrentcar car rental management system4 дня назад
- CVE-2026-11655736Наблюдать
WP Booking System <= 2.1.0.5 - Missing Authorization to Unauthenticated Arbitrary Calendar Note Deletion via wpbs_calendar_remove_note AJAX Action
КритическаяCVSS 9,1Эксплойта нетEPSS 0 %murgroland · wp booking system – booking calendar4 дня назад
- CVE-2026-11807028Наблюдать
Welcart e-Commerce <= 2.12.5 - Unauthenticated Stored Cross-Site Scripting via 'gid' Parameter
ВысокаяCVSS 7,2Эксплойта нетEPSS 0 %uscnanbu · welcart e-commerce4 дня назад
- CVE-2026-11906528Наблюдать
Shipping Zones by Drawing for WooCommerce <= 3.3.0 - Unauthenticated Stored Cross-Site Scripting via 'szbd-picked' Checkout Parameter
ВысокаяCVSS 7,2Эксплойта нетEPSS 0 %arosoft · shipping zones by drawing for woocommerce4 дня назад
- CVE-2026-11908928Наблюдать
ThirstyAffiliates <= 3.12.1 - Unauthenticated Stored Cross-Site Scripting via Comment Content via <ta> Tag
ВысокаяCVSS 7,2Эксплойта нетEPSS 0 %supercleanse · thirstyaffiliates – affiliate links, link branding, link tracking & marketing plugin4 дня назад
- CVE-2026-11916228Наблюдать
User Submitted Posts <= 20260916 - Unauthenticated Stored DOM-Based Cross-Site Scripting via 'user-submitted-content' Parameter via Block-Comment Shortcode Spli
ВысокаяCVSS 7,2Эксплойта нетEPSS 0 %specialk · user submitted posts – enable users to submit posts from the front end4 дня назад
- CVE-2026-11916330Наблюдать
FunnelKit Automations <= 3.8.5.2 - Unauthenticated SQL Injection via 'bwfan_cart_id' Parameter
ВысокаяCVSS 7,5Эксплойта нетEPSS 0 %teamfunnelkit · funnelkit automations – email marketing automation and crm for wordpress & woocommerce4 дня назад
- CVE-2026-12004030Наблюдать
Mail logging & Catcher <= 2.2.0 - Authenticated (Subscriber+) Sensitive Information Exposure to Privilege Escalation to Mail Log Viewer / Password-Reset Email D
ВысокаяCVSS 7,5Эксплойта нетEPSS 0 %wardee · mail logging & catcher4 дня назад
- CVE-2026-8927036Наблюдать
Popup Builder <= 4.4.5 - Missing Authorization to Unauthenticated Arbitrary Popup Post Trashing via 'post_type' and 'sg_popup_preview_id' Parameters
КритическаяCVSS 9,1Эксплойта нетEPSS 0 %popupbuilder · popup builder – create highly converting, mobile friendly marketing popups.4 дня назад
- CVE-2026-10389832Наблюдать
Wp Social Login and Register Social Counter <= 3.2.2 - Unauthenticated Authentication Bypass via Insufficient Email Verification in Social Login Callback
ВысокаяCVSS 8,1Эксплойта нетEPSS 0 %roxnor · wp social login and register social counter4 дня назад
- CVE-2026-10401235Наблюдать
Rox Appointment Booking <= 1.3.1 - Unauthenticated Privilege Escalation via Mass Assignment to Mass Assignment via '/public/booking' Endpoint
ВысокаяCVSS 8,8Эксплойта нетEPSS 0 %roxnor · rox appointment booking – event, calendar & appointment scheduling4 дня назад
- CVE-2026-10775928Наблюдать
WPO365 | MICROSOFT 365 GRAPH MAILER <= 6.2 - Unauthenticated Stored Cross-Site Scripting via Email Subject via wp_mail
ВысокаяCVSS 7,2Эксплойта нетEPSS 0 %wpo365 · wpo365 | microsoft 365 graph mailer4 дня назад
- CVE-2026-11651239Наблюдать
Project Manager <= 4.1.1 - Unauthenticated Remote Code Execution via 'id' Parameter Function Injection
КритическаяCVSS 9,8Proof of conceptEPSS 0 %wedevs · project manager – ai powered project management, task management, kanban board & time tracker4 дня назад
- CVE-2026-11805728Наблюдать
Shield Security <= 22.3.2 - Unauthenticated Stored Cross-Site Scripting via Request Path (REQUEST_URI) in Traffic Log
ВысокаяCVSS 7,2Эксплойта нетEPSS 0 %paultgoodchild · shield security – smart bot blocking, brute-force login protection & file scanning4 дня назад
- CVE-2026-11909639Наблюдать
Uncanny Toolkit for LearnDash <= 3.8.2 - Unauthenticated Authentication Bypass via 'email' Parameter
КритическаяCVSS 9,8Эксплойта нетEPSS 0 %uncannyowl · uncanny toolkit for learndash4 дня назад
- CVE-2026-12007035Наблюдать
User Frontend <= 4.3.13 - Authenticated (Subscriber+) Privilege Escalation via post_content Parameter
ВысокаяCVSS 8,8Эксплойта нетEPSS 0 %wedevs · user frontend – membership, user registration, user profile, user directory & content restriction with frontend post submission4 дня назад
- CVE-2026-10388236Наблюдать
Acadlix LMS <= 1.1.9 - Unauthenticated Arbitrary File Deletion via 'delete_file_data.file_path' Parameter
КритическаяCVSS 9,1Эксплойта нетEPSS 0 %acadlix · acadlix lms – ai quiz maker, online exam & course plugin for wordpress4 дня назад
- CVE-2026-11053028Наблюдать
FeedWordPress <= 2026.0517 - Unauthenticated Stored Cross-Site Scripting via Syndicated Feed Content
ВысокаяCVSS 7,2Эксплойта нетEPSS 0 %radgeek · feedwordpress4 дня назад
- CVE-2026-11421734Наблюдать
Konflux-ci: github token plaintext exposure in ci/cd scripts
ВысокаяCVSS 8,6Эксплойта нетEPSS 0 %4 дня назад
- CVE-2026-11608635Наблюдать
Konflux-ci: jq filter injection in github workflow issue management
ВысокаяCVSS 8,8Эксплойта нетEPSS 0 %4 дня назад
- CVE-2026-11696433Наблюдать
Konflux-ci: remote code execution via eval() in manifest scripts
ВысокаяCVSS 8,4Эксплойта нетEPSS 0 %4 дня назад
- CVE-2026-11768132Наблюдать
Konflux-ci: ui proxy skips backend tls verification on non-openshift clusters, leaking a token that can impersonate anyone
ВысокаяCVSS 8,0Эксплойта нетEPSS 0 %4 дня назад
- CVE-2026-11823539Наблюдать
SimpleForm <= 3.10.2 - Unauthenticated Arbitrary File Upload via Trailing-Dot Filename via Unknown File Key in simpleform_get_submit_data
КритическаяCVSS 9,8Эксплойта нетEPSS 0 %wpazleen · simpleform – form maker to chat apps with quiz, poll and multi lead notifications4 дня назад
- CVE-2026-12007528Наблюдать
WP Activity Log <= 5.6.1 - Unauthenticated Stored Cross-Site Scripting
ВысокаяCVSS 7,2Эксплойта нетEPSS 0 %melapress · wp activity log4 дня назад
- CVE-2026-10919730Наблюдать
WP Directory Kit <= 1.6.0 - Unauthenticated SQL Injection via 'idfield' Parameter
ВысокаяCVSS 7,5Эксплойта нетEPSS 0 %wpdirectorykit · wp directory kit4 дня назад
- CVE-2026-12011428Наблюдать
Debug Log Manager <= 2.5.2 - Unauthenticated Stored Cross-Site Scripting via 'log_js_errors' AJAX Endpoint
ВысокаяCVSS 7,2Эксплойта нетEPSS 0 %qriouslad · debug log manager – conveniently monitor and inspect errors4 дня назад
- CVE-2026-12019430Наблюдать
Json-glib: json-glib: infinite loop in json_path_query() with negative jsonpath slice step
ВысокаяCVSS 7,5Эксплойта нетEPSS 0 %red hat · red hat enterprise linux 104 дня назад
- CVE-2026-7601035Наблюдать
Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery <= 4.4.1 - Authenticated (Custom+) Remote Code Execution via XML-RPC 'meta_data' Mass Assignment a
ВысокаяCVSS 8,8Эксплойта нетEPSS 0 %smub · photo gallery, sliders, proofing and themes – nextgen gallery4 дня назад
- RUSTSEC-2026-043432Наблюдать
`ant-releases`: extracting a release archive can write files outside the destination directory (path traversal / zip-slip)
ВысокаяCVSS 8,2Эксплойта нет4 дня назад
- CVE-2026-10221233Наблюдать
Pre-Auth Heap Buffer Overflow in the Multipart Request
ВысокаяCVSS 8,4Эксплойта нетEPSS 0 %opengear · im72004 дня назад
- CVE-2026-12020137Наблюдать
Jpom 2.10.0 through 2.11.12 Authentication Bypass via JPOM-USER-TOKEN Header
КритическаяCVSS 9,3Эксплойта нетEPSS 0 %dromara · jpom4 дня назад
- CVE-2026-12020228Наблюдать
Highflame ramparts 0.8.1 through 0.8.10 Skill Bundle Scan Bypass via Nested .pyc
ВысокаяCVSS 7,1Эксплойта нетEPSS 0 %highflame-ai · ramparts4 дня назад
- CVE-2026-12020334Наблюдать
ShowDoc 2.8.14 before 3.9.6 Code Injection via Mock Templates
ВысокаяCVSS 8,7Эксплойта нетEPSS 0 %showdoc · showdoc4 дня назад
- CVE-2026-12020529Наблюдать
Thelia before 3.1.0 Stored XSS via Coupon Condition Customer Name
ВысокаяCVSS 7,4Эксплойта нетEPSS 0 %thelia · thelia4 дня назад
- CVE-2026-12020728Наблюдать
Thelia Page Module before 2.0.4 CSRF via Page Tag, Document and Image Delete Routes
ВысокаяCVSS 7,0Эксплойта нетEPSS 0 %thelia · thelia page module4 дня назад
- CVE-2026-12020830Наблюдать
libheif 1.18.0 before 1.23.3 Heap Buffer Overflow via unci Mixed-Interleave Decoder
ВысокаяCVSS 7,7Эксплойта нетEPSS 0 %strukturag · libheif4 дня назад
- CVE-2026-12020937Наблюдать
AJ-Report through 1.7.1 Authentication Bypass leading to RCE via Share-Token
КритическаяCVSS 9,3Эксплойта нетEPSS 0 %anji-plus · aj-report4 дня назад
- CVE-2026-11814729Наблюдать
Visual Studio Spoofing Vulnerability
ВысокаяCVSS 7,4Эксплойта нетEPSS 0 %microsoft · microsoft visual studio 2017 version 15.94 дня назад
- CVE-2026-11863639Наблюдать
Apache MINA: Unsafe Deserialization (CWE-502) in JavaNativeMessageDecoder
КритическаяCVSS 9,8Эксплойта нетEPSS 0 %apache software foundation · apache mina3 дня назад
- CVE-2026-12013532Наблюдать
Apache Thrift: Java TProtocolUtil.skip() does not limit the recursion depth by default
ВысокаяCVSS 8,2Эксплойта нетEPSS 0 %apache software foundation · apache thrift3 дня назад