Эксплуатируемые и новые серьёзные CVE: ноябрь 2026 г.

WordPress AI Engine plugin <= 3.9.1 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

meow apps · ai engineСегодня

WordPress Calculated Fields Form plugin <= 5.5.2.8 - Cross Site Scripting (XSS) vulnerability

• Без аутентификации
• XSS

codepeople · calculated fields formСегодня

Busybox: httpd stack buffer overflow via an "i:" rule in a subdirectory httpd.conf

• RCE
• Ошибки памяти

red hat · red hat enterprise linux 6Сегодня

Busybox: stack buffer overflow in udhcpc6 send_d6_renew() and send_d6_release()

• RCE без входа
• Ошибки памяти

red hat · red hat enterprise linux 6Сегодня

WordPress STAGGS plugin <= 3.3.0 - Remote Code Execution (RCE) vulnerability

• RCE без входа

staggs · staggsСегодня

6Storage Rentals <= 2.31.0 - Authenticated (Subscriber+) Authentication Bypass to Administrator Account Takeover via 'six_storage_online_api_url' Option Poisoni

• Обход аутентификации

sixstorage · 6storage rentalsСегодня

Reset Database <= 1.1.3 - Authenticated (Subscriber+) Privilege Escalation to Missing Capability and Nonce Check in process_reset()

maltesesolutions · reset databaseСегодня

WordPress Kit (formerly ConvertKit) plugin <= 3.5.0 - Broken Access Control vulnerability

• Без аутентификации
• Нарушение контроля доступа (IDOR)

kit · kit (formerly convertkit)Сегодня

WordPress RestroPress plugin <= 3.4.11 - Cross Site Request Forgery (CSRF) vulnerability

• Без аутентификации
• CSRF

magnigenie · restropressСегодня

Apache Roller: XML external entity processing in AtomPub entry parsing

• XXE

apache software foundation · apache rollerСегодня

Apache Roller: Cross-site request forgery through GET requests to administrative actions

• Без аутентификации
• CSRF

apache software foundation · apache rollerСегодня

WordPress Edwiser Bridge plugin <= 4.3.4 - Cross Site Request Forgery (CSRF) vulnerability

• Без аутентификации
• CSRF

wisdmlabs · edwiser bridgeСегодня

Ninja Forms - File Uploads <= 3.3.36 - Unauthenticated Arbitrary File Deletion via 'files[].data.file_path' Parameter via 'extra.saveProgress'

• Без аутентификации
• Обход пути

saturdaydrive · ninja forms - file uploadsСегодня

BlueprintUE Self-Hosted Edition 1.0.0 before 4.3.5 Storage Exhaustion via Anonymous Blueprints

• Без аутентификации
• Отказ в обслуживании

blueprintue · blueprintue-self-hosted-editionСегодня

Contao 4.0.0 before 5.3.54, 5.4.0 before 5.7.17, and 6.0.0 before 6.0.6 Filemount Bypass via Edit-Multiple

• Нарушение контроля доступа (IDOR)

contao · contaoСегодня

An attacker who gains the ability to execute arbitrary code on a system with TrueConf Server (Linux) versions from 4.7.2 up to, but not incl

• RCE
• Локальное повышение привилегий

trueconf · trueconf serverСегодня

WordPress Quality theme <= 3.3 - Cross Site Request Forgery (CSRF) vulnerability

• Без аутентификации
• CSRF

webriti · qualityСегодня

WordPress ElitePress theme <= 3.2.1 - Cross Site Request Forgery (CSRF) vulnerability

• Без аутентификации
• CSRF

webriti · elitepressСегодня

WordPress Rambo theme <= 3.0 - Cross Site Request Forgery (CSRF) vulnerability

• Без аутентификации
• CSRF

webriti · ramboСегодня

WordPress Heroic theme <= 1.4.2 - Cross Site Request Forgery (CSRF) vulnerability

• Без аутентификации
• CSRF

webriti · heroicСегодня

WordPress Wallstreet Agency theme <= 1.3.4 - Cross Site Request Forgery (CSRF) vulnerability

• Без аутентификации
• CSRF

webriti · wallstreet agencyСегодня

WordPress Spasalon theme <= 3.0 - Cross Site Request Forgery (CSRF) vulnerability

• Без аутентификации
• CSRF

webriti · spasalonСегодня

WordPress vice theme <= 1.4 - Cross Site Request Forgery (CSRF) vulnerability

• Без аутентификации
• CSRF

webriti · viceСегодня

WordPress vdequator theme <= 1.2.7 - Cross Site Request Forgery (CSRF) vulnerability

• Без аутентификации
• CSRF

webriti · vdequatorСегодня

WordPress Mazino theme <= 1.1 - Cross Site Request Forgery (CSRF) vulnerability

• Без аутентификации
• CSRF

webriti · mazinoСегодня

WordPress vdperanto theme <= 2.2 - Cross Site Request Forgery (CSRF) vulnerability

• Без аутентификации
• CSRF

webriti · vdperantoСегодня

WordPress Leo theme <= 1.7.4 - Cross Site Request Forgery (CSRF) vulnerability

• Без аутентификации
• CSRF

webriti · leoСегодня

WordPress Shk Corporate theme <= 2.4.3 - Cross Site Request Forgery (CSRF) vulnerability

• Без аутентификации
• CSRF

webriti · shk corporateСегодня

WordPress Appointment Dark theme <= 1.3.4 - Cross Site Request Forgery (CSRF) vulnerability

• Без аутентификации
• CSRF

webriti · appointment darkСегодня

Cross-instance user impersonation through image renderer JWTs

• Утечка информации

grafana · grafana ossСегодня

Privilege escalation through folder move in the folders API

grafana · grafana enterpriseСегодня

Folder permission bypass in the Git Sync repository files API

• Утечка информации

grafana · grafana enterpriseСегодня

Quay: red hat quay: unauthenticated registry signing-key takeover via service key rotation

• Без аутентификации

red hat · red hat quay 3Сегодня

Critical Remote Code Execution (RCE) vulnerability reported in Windchill

• RCE без входа
• Десериализация

ptc · windchillСегодня

Unauthenticated Payment Status Manipulation in Sipay Electronic Money's WordPress (WooCommerce)

• Без аутентификации
• Обход аутентификации

sipay electronic money and payment services inc. · woocommerce virtual pos moduleСегодня

Switch Engine (EXOS) JSON-RPC Authorization Bypass Allows Read-Only Users to Disclose Sensitive Information

• Нарушение контроля доступа (IDOR)

extreme networks · switch engine (exos)Сегодня

soapbar: verify_envelope_bsp accepts an unauthenticated embedded certificate (signature forgery / authentication bypass)

• Без аутентификации
• Обход аутентификации
• Слабая криптография

hitoshyamamoto · soapbarСегодня

Quay: quay: sql like wildcard injection in robot listing leaks cross-tenant robot tokens

• SQL-инъекция

red hat · red hat openshift update serviceСегодня

Cross-Site Scripting in DropDownButton and SplitButton Items in Kendo UI for jQuery

• Без аутентификации
• XSS

progress software · kendo ui for jqueryСегодня

Cross-Site Scripting via the spriteCssClass Field in Kendo UI for jQuery

• Без аутентификации
• XSS

progress software · kendo ui for jqueryСегодня

Cross-Site Scripting in Kendo UI for jQuery ActionSheet Header Labels

• Без аутентификации
• XSS

progress software · kendo ui for jqueryСегодня

Cross-Site Scripting During Kendo UI for jQuery Custom SVG Icon Sanitization

• Без аутентификации
• XSS

progress software · kendo ui for jqueryСегодня

Cross-Site Scripting in Kendo UI for jQuery Grid and TreeList Column Reordering

• Без аутентификации
• XSS

progress software · kendo ui for jqueryСегодня

Cross-Site Scripting in Kendo UI for jQuery PivotGrid Axis Chips

• Без аутентификации
• XSS

progress software · kendo ui for jqueryСегодня

Cross-Site Scripting in Kendo UI for jQuery PropertyGrid Values and Descriptions

• Без аутентификации
• XSS

progress software · kendo ui for jqueryСегодня

An improper permissions vulnerability was reported in Lenovo System Update that could allow a local authenticated user to execute code with

• Локальное повышение привилегий

lenovo · system updateСегодня

A deserialization of untrusted data vulnerability was discovered in Lenovo System Update that could allow a local authenticated user to exec

• Десериализация
• Локальное повышение привилегий

lenovo · system updateСегодня

During an internal security assessment, a potential vulnerability was discovered in Lenovo PC Manager, distributed exclusively in the Chines

• Локальное повышение привилегий

lenovo · pc managerСегодня

ClassFactory Race Condition and Retained Assembly Memory in Telerik UI for ASP.NET MVC

• Без аутентификации
• Обход аутентификации
• Состояние гонки

progress software · telerik ui for asp.net mvcСегодня

External Control of Configuration Setting in Telerik Report Server

• Без аутентификации

progress software · telerik report serverСегодня

Uncontrolled Resource Consumption in Telerik UI for ASP.NET Core Server-side Aggregation

• Без аутентификации
• Обход аутентификации
• Отказ в обслуживании

progress software · telerik ui for asp.net coreСегодня

An authorization bypass in Revive Adserver 6.0.0 through 6.0.8 allows an authenticated manager restricted to one agency to access or modify

• Нарушение контроля доступа (IDOR)

revive · adserverСегодня

Blind SQL injection in Revive Adserver 6.0.8 and earlier allows an authenticated manager restricted to one agency to extract arbitrary datab

• SQL-инъекция

revive · adserverСегодня

OWASP CRS: ReDoS in shared unix-shell-evasion regex-assembly include (12 RCE rules) - PCRE2 backtracking-limit exhaustion causes detection bypass and CPU DoS

• RCE без входа
• Отказ в обслуживании

coreruleset · corerulesetСегодня

OWASP CRS: XML Attribute Value Bypass

• RCE без входа
• XSS

coreruleset · corerulesetСегодня

aeon: Privileged GitHub Actions workflow allowed fork-controlled code execution

• RCE без входа

aeon-toolkit · aeonСегодня

Dell Ansible Storage for PowerFlex, versions prior to 3.2.0, contains an Improper Certificate Validation vulnerability in the API client com

• Без аутентификации
• Слабая криптография

dell · ansible storage for powerflexСегодня

Dell Ansible Storage for PowerStore, versions prior to 3.9.0, contains an Improper Certificate Validation vulnerability in the API client co

• Без аутентификации
• Слабая криптография

dell · ansible storage for powerstoreСегодня

Dell Terraform for ObjectScale and Powerstore, versions prior to 1.1.1 (ObjectScale) and versions 1.2.1 through 1.3.0 (PowerStore) contains

• Утечка информации

dell · terraform provider for objectscaleСегодня

Dell Ansible Storage for Unity , versions prior to 1.2.13 contains an Improper Certificate Validation vulnerability in the UnityRESTConnecto

• Без аутентификации
• Слабая криптография

dell · ansible storage for unityСегодня

Xfsprogs: xfsprogs: local privilege escalation via command injection in xfs_admin

• RCE
• Локальное повышение привилегий
• Инъекция команд

red hat · red hat enterprise linux 10Сегодня

Pappl-retrofit: directory traversal in the add-ppdfiles and delete-ppdfiles actions

• RCE
• Обход пути

openprinting · pappl-retrofitСегодня

Node.js is vulnerable to a remote HTTP/2 denial of service via a reachable assertion in Http2Session teardown

• Без аутентификации

nodejs · nodeСегодня

Node.js is vulnerable to cross-connection memory disclosure via TLS write re-entrancy in the HTTPS request parser

• Без аутентификации
• Ошибки памяти

nodejs · nodeСегодня

Node.js is vulnerable to an HTTP/2 memory and file-descriptor leak via a protocol error during session shutdown

• Без аутентификации
• Отказ в обслуживании

nodejs · nodeСегодня

Node.js is vulnerable to HTTP/2 response memory disclosure via a use-after-free during stream teardown

• Без аутентификации
• Ошибки памяти

nodejs · nodeСегодня

Node.js is vulnerable to a client certificate authentication bypass via TLS 1.2 renegotiation servername change

• Обход аутентификации

nodejs · nodeСегодня

Node.js is vulnerable to an HTTP/2 use-after-free via respondWithFile() stream reset during a pending write

• Без аутентификации
• Ошибки памяти
• Отказ в обслуживании

nodejs · nodeСегодня

Node.js is vulnerable to a remotely triggerable uncaught exception in TLS servers via deferred handshake callbacks

• Без аутентификации
• Ошибки памяти
• Отказ в обслуживании

nodejs · nodeСегодня

OpsTree REMS through 1.0.0 Authentication Bypass via is_local_auth Flag

• Без аутентификации
• Обход аутентификации

opstree solutions · remsСегодня

OpsTree REMS through 1.0.0 Missing Authentication via /api/v1/databases Governance API

• Без аутентификации
• Обход аутентификации

opstree solutions · remsСегодня

@tinacms/mdx before 2.4.2 Code Injection via MDX Serializer Rich-Text Values

• RCE

tinacms · @tinacms/mdxСегодня

Traccar 3.15 before 6.17.0 Authentication Bypass via Empty LDAP Password

• Без аутентификации
• Обход аутентификации

traccar · traccarСегодня

Spatie Browsershot 2.2.0 before 5.5.0 Local File Read via setHtml()

• Без аутентификации
• Обход пути

spatie · browsershotСегодня

Webmin through 2.670 Privilege Escalation via acl/save_group.cgi

webmin · webminСегодня

Webmin through 2.670 Users File Injection via acl/cert_issue.cgi

webmin · webminСегодня

geojson-vt: Uncontrolled Recursion in Nested GeoJSON GeometryCollection

• Без аутентификации
• Отказ в обслуживании

maplibre · geojson-vtСегодня

Probo: Cross-tenant IDOR via unvalidated FK references

• Нарушение контроля доступа (IDOR)

getprobo · proboСегодня

Fider: Cross-Tenant Authentication Bypass via Missing tenant_id Filter in getVerificationByKey

• Обход аутентификации
• Нарушение контроля доступа (IDOR)

getfider · fiderСегодня

sync-rpc: Arbitrary remote code execution vulnerability

• RCE без входа
• Обход аутентификации

forbeslindesay · sync-rpcСегодня

Fider: Server-Side Request Forgery (SSRF) via Webhook URL

• SSRF

getfider · fiderСегодня

Probo: Vertical privilege escalation

getprobo · proboСегодня

Cockpit: cockpit: denial of service via unbounded fragmented websocket messages

• Без аутентификации
• Отказ в обслуживании

red hat · red hat enterprise linux 10Сегодня

Dell OpenManage Ansible Modules, versions 2.1.2 through 10.0.3, contains an Improper Certificate Validation vulnerability in the iDRACRedfis

• Без аутентификации
• Слабая криптография

dell · openmanage ansible modulesСегодня

Dell OpenManage Ansible Modules, versions 5.0.0 through 10.0.3, contains an Improper Certificate Validation vulnerability in the iDRACConnec

• Без аутентификации
• Слабая криптография

dell · openmanage ansible modulesСегодня

Dell OpenManage Ansible Modules, versions 9.2.0 through 10.0.3, contains an Improper Certificate Validation vulnerability in the SessionAPI

• Без аутентификации
• Слабая криптография

dell · openmanage ansible modulesСегодня

Dell OpenManage Ansible Modules, versions 2.0.2 through 10.0.3, contains an Improper Neutralization of Special Elements in Data Query Logic

• SQL-инъекция

dell · openmanage ansible modulesСегодня

Dell OpenManage Ansible Modules, versions 6.0.0 through 10.0.3, contains an Improper Neutralization of Special Elements in Output Used by a

dell · openmanage ansible modulesСегодня

Dell Terraform Provider for PowerFlex, versions 1.5.0 through 1.8.0, contains an Improper Certificate Validation vulnerability in the SSH cl

• Без аутентификации
• Слабая криптография

dell · terraform provider for powerflexСегодня

Dell Terraform Provider for PowerStore, versions prior to 1.3.1 , contains a  vulnerability that may cause sensitive authentication data to

• Без аутентификации
• Утечка информации

dell · terraform provider for powerstoreСегодня

AsiaInfo BSS Platform 9.2 before 9.2.38 has a stored cross-site scripting (XSS) vulnerability in the menu icon upload function.

• XSS

asiainfo · bss platformСегодня

Pre-account hijacking via planted password

• Без аутентификации
• Обход аутентификации

xauendevs · lagarto chivatoСегодня

Cockpit: cockpit: local privilege escalation via insecure symlink handling in public key addition helper

• Локальное повышение привилегий

red hat · red hat enterprise linux 10Сегодня

Missing authorization on the external management API in mcp-gateway-registry enables privilege escalation to registry administrator

aws · mcp-gateway-registryСегодня

ideon: SSRF protection bypass via IPv6 transition addresses (NAT64 / 6to4 / IPv4-mapped) in link preview

• SSRF

3xpyth0n · ideonСегодня

NextScan 1.1.0 through 1.2.0 Hardcoded JWT Key Authentication Bypass in ns-admin

• Без аутентификации
• Обход аутентификации
• Зашитые учётные данные

tongcheng-security-team · nextscanСегодня

Hydro @hydrooj/ui-default before 4.59.1 Stored XSS via Markdown language- Class

• XSS

hydro-dev · @hydrooj/ui-defaultСегодня

Rote 1.2.0 through 2.6.0 Account Takeover via OAuth Account Merge Endpoint

• Нарушение контроля доступа (IDOR)

rabithua · roteСегодня

NextScan 1.1.0 through 1.2.0 Hardcoded Credentials in ns-admin Agent and External APIs

• Без аутентификации
• Зашитые учётные данные

tongcheng-security-team · nextscanСегодня

Rote through 2.6.0 Privilege Escalation via Admin Settings API JWT Secret Exposure

rabithua · roteСегодня