CVE-2026-107335 Improper Handling of Highly Compressed Data in Malcolm

Malcolm's upload-processing pipeline scripts/safe-extract.py enforces entry-count, nesting-depth, and total-uncompressed-byte limits when extracting container archives zip/tar/rar/7z via libarchive, but those limits are not applied when the uploaded file is a single-stream compressed format .gz,...

CVE-2026-1953

CVE-2026-1953 | Хранимый XSS — Nukegraphic CMS v3.1.2 Обзор Хранимая межсайтовая уязвимость Stored XSS существует в Nukegraphic CMS v3.1.2. Проблема позволяет аутентифицированному пользователю внедрить вредоносный JavaScript в поле имени профиля , которое сохраняется в базе данных бэкенда и...

CVE-2026-36340

CVE-2026-36340 Уязвимость удалённого выполнения кода RCE в Krayin CRM v2.1.5 Уязвимость удалённого выполнения кода RCE в Krayin CRM v2.1.5 CVE: CVE-2026-36340 Серьёзность: Критическая Затронутый продукт: Krayin CRM v2.1.5 Тип уязвимости: Удалённое выполнение кода RCE Требуется аутентификация: Да...

CVE-2026-34036

CVE-2026-34036 Скрипт доказательства концепции для CVE-2026-34036 — аутентифицированного локального включения файлов / LFI в Dolibarr. Уязвимость доступна через core/ajax/selectobject.php. Аутентифицированный пользователь может злоупотребить параметром objectdesc, чтобы заставить приложение читат...

CVE-2026-33229

CVE-2026-33229 — XWiki RCE через обход песочницы Apache Velocity Уязвимость удалённого выполнения кода в XWiki Platform , которая позволяет аутентифицированному пользователю с правами на написание скриптов полностью обойти песочницу Apache Velocity — без необходимости использования Java Reflectio...

CVE-2025-60378

CVE-2025-60378: RISE Ultimate Project Manager & CRM의 저장형 HTML 인젝션 ⚠️ 보안 권고 인보이스, 메시징 및 자동화 커뮤니케이션에 영향을 미치는 치명적인 저장형 HTML 인젝션 취약점 -ff6600 📋 개요 RISE Ultimate Project Manager & CRM에서 인증된 사용자가 인보이스 품목, 고객 메모 및 메시징 모듈에 악성 HTML을 주입할 수 있는 치명적인 저장형 HTML 인젝션 취약점이 발견되었습니다. 주입된 콘텐츠는 데이터베이스에 영구 저장되며 고객 대상 이메일...

exploit-CVE-2026-2670

exploit-CVE-2026-2670 CVE-2026-2670 – PoC-эксплойт для командной инъекции в Advantech WISE-6610 Proof-of-concept эксплойт, демонстрирующий уязвимость командной инъекции в промышленном сотовом маршрутизаторе Advantech WISE-6610. Уязвимость существует в конечной точке /cgi-bin/luci/admin/openvpnapp...

Weblate-CVE-2026-24126

Weblate — Произвольное чтение файлов через внедрение аргумента SSH Host Обнаружено: Alejandro Baño · Январь 2026 Подтверждено: Примечания к выпуску Weblate 5.16 Обзор Конечная точка управления SSH-ключами Weblate передаёт параметр host, предоставленный аутентифицированным администратором, напряму...

CVE-2024-57487-and-CVE-2024-57488

Уязвимости системы онлайн-аренды автомобилей Этот репозиторий содержит сведения об уязвимостях, выявленных в проекте Code-Projects Online Car Rental System версии 1.0. Уязвимостям присвоены идентификаторы CVE, а также прилагаются подробные отчёты, помогающие понять и устранить проблемы. Уязвимост...

CVE-2026-23885

Security Advisory: CVE-2026-23885 Аутентифицированное удалённое выполнение кода RCE в AlchemyCMS 1. Краткое резюме Критическая уязвимость, связанная с некорректной нейтрализацией директив в динамически вычисляемом коде CWE-95 , была обнаружена в фреймворке AlchemyCMS. Уязвимость позволяет...

EUVD-2026-95117

Malcolm's nginx based reverse proxy contains a URL path normalization inconsistency between its Lua based role-based access control RBAC authorization layer and nginx's own request routing logic. An authenticated user can craft a specially formatted request path to bypass role-based restrictions...

CVE-2026-0709

Hikvision Wireless AP – Инструмент для проверки CVE-2026-0709 аутентифицированное RCE Этот инструмент представляет собой proof‑of‑concept на Python для проверки беспроводных точек доступа Hikvision на наличие CVE‑2026‑0709 — аутентифицированной уязвимости внедрения команд, которая может привести ...

LongBow

Эксплойт локального удаленного выполнения команд на роутере Archer TP-Link VR1600V CVE-2023-31756 Обзор Этот скрипт на Python демонстрирует уязвимость локального удаленного выполнения команд в роутерах Archer TP-Link VR1600V V1/V2. Эксплойт позволяет получить доступ к операционной системе роутера...

CVE-2026-16348

TP-Link Archer BE800 V1 — аутентифицированное RCE через инъекцию VPN-ключа CVE: CVE-2026-16348 CVSS: 8.5 High — CVSS:4.0/AV:A/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L Требуется аутентификация: действительные учётные данные администратора Сетевое положение: сеть удалённо, если открыт...

CVE-2025-60880

CVE-2025-60880: Межсайтовый скриптинг XSS с сохранением в админ-панели Bagisto Уязвимость межсайтового скриптинга XSS с сохранением существует в пути создания товаров в админ-панели Bagisto 2.3.6, что позволяет атакующему загрузить специально созданный SVG-файл, содержащий вредоносный код...

CVE-2026-10631

An authorization bypass in the EWS FindItem handler of Zimbra Collaboration Suite 10.1.0 through 10.1.19 allows an authenticated user with EWS enabled to read complete mailbox items, including raw MIME and attachments, from arbitrary local accounts without a share or delegation grant...

CVE-2026-31844

Koha CVE-2026-31844: Аутентифицированная SQL-инъекция Обзор Этот репозиторий содержит ответственный PoC для CVE-2026-31844 — уязвимости аутентифицированной SQL-инъекции высокой степени серьёзности в библиотечной системе Koha. Уязвимость существует в функции GetDistinctValues в C4/Search.pm, котор...

CVE-2025-56381

CVE-2025-56381 — Аутентифицированная SQL-инъекция в ERPNext / Frappe через параметры orderby и groupby 📌 Краткое описание ERPNext v15.67.0 и Frappe Framework v15.72.4 содержат множественные аутентифицированные уязвимости SQL-инъекции в конечной точке API frappe.desk.reportview.get. Вредоносный вв...

CVE-2025-8081-Elementor

CVE-2025-8081 — Уязвимость произвольного чтения файлов в Elementor Критическая уязвимость произвольного чтения файлов в плагине Elementor для WordPress, которая позволяет аутентифицированным администраторам читать любые файлы, доступные веб-серверу, включая конфиденциальные файлы конфигурации,...

CVE-2021-43857

CVE-2021-43857 Gerapy до версии 0.9.8 уязвим для удалённого выполнения кода. Эта проблема исправлена в версии 0.9.8. CVE-2021-43857 — это уязвимость с приоритетом Critical CVSS 9.8, приводящая к удалённому выполнению кода. Эта уязвимость затрагивает все версии до 0.9.8. Протестировано только на...