CVE-2026-107706

Dolibarr ERP CRM before 24.0.2 contains an incorrect authorization vulnerability in htdocs/core/ajax/updateextrafield.php that checks only read permission before writing extrafield values. Authenticated users with read-only access can POST objectType, objectId, field and value parameters to...

CVE-2026-107395

Indico is an event management system that uses Flask-Multipass, a multi-backend authentication system for Flask. Prior to 3.3.13, an authenticated user can misuse the legacy session export API to retrieve details for a restricted session without access to that session, as long as the containing...

CVE-2026-107706 Dolibarr before 24.0.2 Incorrect Authorization via updateextrafield.php

Dolibarr ERP CRM before 24.0.2 contains an incorrect authorization vulnerability in htdocs/core/ajax/updateextrafield.php that checks only read permission before writing extrafield values. Authenticated users with read-only access can POST objectType, objectId, field and value parameters to...

CVE-2026-77578

CVE-2026-77578 — Произвольное локальное чтение файлов в Xibo CMS Обзор CVE-2026-77578 — это уязвимость произвольного локального чтения файлов с аутентификацией в Xibo CMS. Аутентифицированный пользователь с правами администратора или доступом к шаблонам модулей может импортировать специально...

CVE-2026-67401-cPanel-EmailTrack-SQLi

CVE-2026-67401 — cPanel & WHM EmailTrack SQL Injection → Root RCE IOC Scanner, Mitigation Tool & Remediation Guide for the cPanel EmailTrack SQL Injection Vulnerability Keywords: CVE-2026-67401, cPanel exploit, cPanel SQL injection, WHM vulnerability, EmailTrack SQLi, Track Delivery SQL injection...

CVE-2026-67401

CVE-2026-67401 SQL-инъекция в cPanel EmailTrack. Аутентифицированный пользователь cPanel с почтовыми привилегиями записывает произвольные файлы от имени root через SQLite ATTACH DATABASE. Один запрос до root. Не тестировалось на реальной цели, код собран только из публичной информации и базового...

CVE-2025-8110

CVE-2025-8110 - Обход symlink в Gogs - произвольная запись в файл от имени пользователя процесса Gogs Gogs //contents/. Gogs следует по symlink и записывает управляемые атакующим байты в цель ссылки с привилегиями процесса Gogs. Когда Gogs запущен от root, это произвольная запись в файл от root —...

CVE-2026-29782-OpenSTAManager-RCE

CVE-2026-29782 — OpenSTAManager auth-SQLi → PHP object injection → RCE PoC для удалённого выполнения кода вOpenSTAManager ≤ 2.10.1. oauth2.php ищет строку zzoauth2 по управляемому атакующим GET-параметру state и вызывает unserialize для её столбца accesstoken без ограниченияallowedclasses...

CVE-2023-4861-PoC

CVE-2023-4861 PoC Этот репозиторий содержит proof of concept на Python для CVE-2023-4861 — проблемы аутентифицированного удалённого выполнения кода в плагине WordPress File Manager Pro - Filester. Сводка по уязвимости CVE: CVE-2023-4861 Продукт: File Manager Pro - Filester filester Уязвимые верси...

CVE-2025-2945-pgAdmin-RCE

CVE-2025-2945 — RCE в Query Tool pgAdmin 4 с аутентификацией CVSS 3.1: 9.9 Critical · Затрагивает: pgAdmin 4 8.10 – 9.1 · Исправлено в: 9.2 4 апреля 2025 CWE-95 Некорректная нейтрализация директив в динамически вычисляемом коде / Eval Injection Эксплойт proof-of-concept для CVE-2025-2945 —...

CVE-2026-12948

CVE-2026-12948 Сводка об уязвимости В веб-интерфейсе управления Digi PortServer TS 4 H MEI была обнаружена уязвимость хранимого межсайтового скриптинга XSS. Специально сформированный аутентифицированный запрос позволяет навсегда записать скрипт-полезную нагрузку в хранилище конфигурации устройств...

CVE-2026-39902

Отчет об уязвимости: Аутентифицированный RCE ввод данных Исследователь: K | Продукт: Cacti ≤ 1.2.30 01 Сводка уязвимости Поле| Значение ---|--- Продукт| Cacti — Полное решение для построения графиков на основе RRDtool Затронутаяые версияи| ≤ 1.2.30 Тип уязвимости| Внедрение команд ОС CWE-78 Векто...

CVE-2026-36358

CVE-2026-36358 PoC - Juzaweb CMS v.5.0.0 （XSS） Сначала настройте платформу обычным образом и зарегистрируйте аккаунт. Здесь зарегистрированная мной учётная запись администратора — [email protected] / 123456. После настройки платформы вы увидите главную страницу сайта. Перейдите по адресу...

CVE-2026-106430

The MongoDB C++ Driver discards content after an embedded NUL byte in certain field and collection names accepted by the collection API. This can cause the driver and the calling application to interpret the same name differently. An authenticated actor who can influence a name passed by an...

CVE-2026-84274

The IBM Guardium Data Protection 12.2.2 version is affected by a sensitive information exposure vulnerability (CWE-200 ). During SECRET and API_KEY rotation processing, the edge-controller and edge-manager components log sensitive credential material at the INFO level. An authenticated attacker w...

EUVD-2026-95166

IBM Guardium Data Protection 12.2 is affected by a command injection vulnerability in the SUID-root sshconfigwrapper component. An authenticated high-privileged user can inject arbitrary commands through attacker-controlled arguments, resulting in command execution with root privileges...

CVE-2026-106433 Heap corruption via duplicate masterKey fields in MongoDB libmongocrypt

Improper state management in MongoDB libmongocrypt can cause provider-specific data to be treated as an incompatible type when cleaning up a key document containing duplicate masterKey fields. An authenticated actor who can modify key vault documents, or a server that returns such a key document,...

CVE-2026-106433

Improper state management in MongoDB libmongocrypt allows for heap corruption when cleaning up a key document that contains duplicate masterKey fields. This flaw causes provider-specific data to be treated as an incompatible type, leading to invalid memory access and invalid frees in the client p...

CVE-2026-106433

Improper state management in MongoDB libmongocrypt can cause provider-specific data to be treated as an incompatible type when cleaning up a key document containing duplicate masterKey fields. An authenticated actor who can modify key vault documents, or a server that returns such a key document,...

CVE-2026-106433 Heap corruption via duplicate masterKey fields in MongoDB libmongocrypt

Improper state management in MongoDB libmongocrypt can cause provider-specific data to be treated as an incompatible type when cleaning up a key document containing duplicate masterKey fields. An authenticated actor who can modify key vault documents, or a server that returns such a key document,...