В платформе для управления проектами OpenProject появилась уязвимость BDU:2026-17516 (CVE-2026-34717). Пользователь с обычной учётной записью может внедрить команды SQL и выполнить на сервере произвольный код.
Локально развёртываемая версия VeloCloud Orchestrator (VCO) On-Prem, компонент платформы VMware SD-WAN by VeloCloud, содержит уязвимость внедрения SQL-кода (SQL-инъекции).
Уязвимость в компоненте расширений браузеров Google Chrome и Microsoft Edge позволяет удалённому злоумышленнику вызвать отказ в обслуживании. Инструментом служит специально подготовленная HTML-страница.
Python-фреймворк Mercury до версии 3.2.5 включительно позволяет удалённому злоумышленнику выполнить произвольный код на сервере. Учётные данные не нужны: проверка прав в обработчике веб-сокетов отсутствует.
Обход авторизации между пространствами имён в consul-k8s даёт возможность получить в Consul права компонента, к которому доступа быть не должно. Ошибка кроется в правилах привязки списков контроля доступа
В ядре Drupal нашлась уязвимость компонента Field UI. Она позволяет злоумышленнику, действующему по сети, выполнить на сервере произвольный код. Ни учетная запись, ни действия пользователя не требуются.
Две уязвимости в ядре PHP затрагивают механизм, который отслеживает ход загрузки файлов через веб-формы. Ошибка работы с памятью позволяет удалённому злоумышленнику выполнить собственный код на сервере.
Ядро Linux содержит уязвимость в модуле ipset, который хранит наборы IP-адресов для правил фильтрации трафика. Ошибка даёт удалённому злоумышленнику возможность влиять на конфиденциальность, целостность
Плагин twofactor_gauthenticator добавляет в веб-почту Roundcube второй фактор проверки, то есть одноразовый код из приложения-аутентификатора. В плагине нашли несколько уязвимостей, и любая из них позволяет
Уязвимости в macOS связаны с управлением памятью, проверкой прав доступа и разбором файлов. Локальный или удалённый атакующий может повысить привилегии, обойти ограничения песочницы (изолированной среды)
