CVE-2026-104979 Plane: Cross-tenant stored XSS in intake enables account takeover

Plane is an open-source project management tool. Prior to 1.4.0, IntakeIssuePublicViewSet.create in Plane v1.3.1 writes descriptionhtml through Issue.objects.create... without calling validatehtmlcontent from nh3. Any authenticated user, including a new user with no workspace memberships, can pla...

CVE-2026-63030

CVE-2026-63030 WordPress REST API путаница маршрутов batch + SQL-инъекция , приводящая к полной цепочке эксплуатации создание администратора без аутентификации → удаленное выполнение кода PoC. Предназначено только для авторизованного тестирования безопасности, воспроизведения уязвимости и...

CVE-2026-93319 A malicious frontend can cause a daemon panic

A malicious external BuildKit frontend can send requests using the internal API that can create conditions for a data race that can cause the BuildKit daemon to panic...

wp2shell-rce

WP2Shell RCE Утилита для оценки и сканирования, предназначенная для обнаружения подверженности цепочке эксплойтов WP2Shell в установках WordPress Core — как на отдельных конечных точках, так и на больших списках целей. ⚠️ Дисклеймер Сканируйте только те системы, которые принадлежат вам или которые...

CVE-2026-104973 Plane: DNS Rebinding Bypass of CVE-2026-30242 SSRF Fix in Webhook Delivery

Plane is an open-source project management tool. Prior to 1.4.0, the fix for CVE-2026-30242 validates webhook IP addresses only when the webhook is created in apps/api/plane/app/serializers/webhook.py. The delivery task in apps/api/plane/bgtasks/webhooktask.py performs a separate DNS resolution...

CVE-2026-104973

The open-source project management tool Plane is vulnerable to a Server-Side Request Forgery (SSRF) via a DNS rebinding bypass. Prior to version 1.4.0 , the application only validated webhook IP addresses during creation in apps/api/plane/app/serializers/webhook.py. However, the delivery task in ...

CVE-2025-32044

CVE-2025-32044 — Раскрытие пользовательских данных через неавторизованный REST API Moodle Утечка аргументов стек-трейса → Имена, Email, Хэши паролей Обзор CVE-2025-32044 — это уязвимость высокого уровня серьезности CVSS 7.5 неавторизованного раскрытия информации в Moodle LMS 4.5.0 – 4.5.2...

CVE-2024-42327_Zabbix_SQLI

CVE-2024-42327 - Уязвимость SQL-инъекции в Zabbix SQLI не слепая и не основанная на времени POC для CVE-2024-42327 — аутентифицированная SQL-инъекция в Zabbix через метод API user.get. Этот POC не основан на времени, в отличие от некоторых других POC, которые я встречал. Описание CVE Уязвимость...

NextPass

🚀 NextPass Le générateur de dictionnaires de mots de passe axé sur la confidentialité et l'IA. Next Pass est un générateur spécialisé de dictionnaires de mots de passe qui utilise à la fois la logique basée sur des règles et les grands modèles de langage LLM pour générer des mots de passe. Conçu...

wp2shell

wp2shell Exécution de code à distance sans authentification contre WordPress Core. Enchaîne CVE-2026-60137 SQLi dans le paramètre authornotin / authorexclude de WPQuery avec CVE-2026-63030 confusion de route batch de l'API REST pour une RCE sans authentification. Versions affectées Plage| Statut...

CVE-2026-78412

Velociraptor's WatchEvent gRPC API can specify the OrgId of the org from which events should be streamed. The server checks the API permissions against the caller's Org instead of the requested Org. This allows a user with API access in one org to read events from another org for which they have ...

CVE-2026-104966

Plane is an open-source project management tool. Prior to 1.4.0, two endpoint families fail to verify that nested resource identifiers belong to the workspace and project named in the URL. An authenticated user can read or modify estimates from another workspace through PATCH...

CVE-2026-104968

Plane is an open-source project management tool. Prior to 1.4.0, GET /api/workspaces/slug/entity-search/?querytype=usermention returns workspace-member display names, UUIDs, and avatar URLs to any authenticated user who knows the workspace slug, even when the caller is not a workspace member. The...

CVE-2026-104960

Plane is an open-source project management tool. Prior to 1.4.0, Plane exposes the workspace-scoped GET /api/assets/v2/workspaces/workspaceslug/download/assetid/ endpoint for project-bound FileAsset objects without enforcing access to the asset's owning project. An authenticated user who belongs ...

CVE-2026-104962

Plane is an open-source project management tool. Prior to 1.4.0, GET /api/v1/workspaces/slug/projects/projectid/members/ returns the complete project-member roster, including each member's email address, first and last name, display name, avatar, and role. ProjectMemberPermission gates the...

CVE-2026-104893

Plane is an open-source project management tool. Prior to 1.4.0, GET /api/users/api-tokens/ allows an authenticated user to retrieve API-token records, while PATCH /api/users/api-tokens/tokenid/ allows the user to modify the token's allowedratelimit field without server-side validation or a maxim...

CVE-2025-8110-gogs-poc

CVE-2025-8110 — Gogs: Произвольная запись файлов PoC Доказательство концепции для аутентифицированной произвольной записи файлов в Gogs. Отправляя репозиторий, содержащий символическую ссылку, указывающую за пределы репозитория, а затем обновляя содержимое этой ссылки через API, аутентифицированн...

CVE-2026-57811

CVE-2026-57811 — Realtyna Organic IDX + WPL Real Estate Неаутентифицированное удалённое выполнение кода -red.svg Критическое неаутентифицированное удалённое выполнение кода CVSS 10.0 — Realtyna Organic IDX + WPL Real Estate ≤ 5.2.0 Этот инструмент эксплуатирует CVE-2026-57811 , критическую...

CVE-2026-104968 Plane: Cross-workspace member enumeration via /api/workspaces/{slug}/entity-search/

Plane is an open-source project management tool. Prior to 1.4.0, GET /api/workspaces/slug/entity-search/?querytype=usermention returns workspace-member display names, UUIDs, and avatar URLs to any authenticated user who knows the workspace slug, even when the caller is not a workspace member. The...

CVE-2026-104968 Plane: Cross-workspace member enumeration via /api/workspaces/{slug}/entity-search/

Plane is an open-source project management tool. Prior to 1.4.0, GET /api/workspaces/slug/entity-search/?querytype=usermention returns workspace-member display names, UUIDs, and avatar URLs to any authenticated user who knows the workspace slug, even when the caller is not a workspace member. The...