24 октября 2026
В Xiaozhi-esp32-server до версии 0.9.8 обнаружена уязвимость небезопасной прямой ссылки на объект (IDOR) в обработчике DeviceController.getAddressBook. Аутентифицированный пользователь может прочитать адресную книгу чужих устройств, зная их MAC-адрес...
24 октября 2026
В Grav с 2.0.15 до 2.2.13 обнаружена уязвимость обхода allowlist, позволяющая редакторам страниц вызывать произвольные публичные статические методы через директивы `data-*@` с ключами `unset-name@` или целочисленными ключами. Проблема затрагивает сай...
24 октября 2026
В BookStack до версии 26.09.2 обнаружена уязвимость некорректной авторизации в AttachmentController. Аутентифицированные пользователи с правами на вложения могут перебирать последовательные ID и получать доступ к файлам чужих черновиков. Уровень опас...
24 октября 2026
В плагине Ad Inserter для WordPress (версии до 2.8.18 включительно) обнаружена уязвимость отражённого межсайтового скриптинга (Reflected XSS). Проблема связана с недостаточной нейтрализацией пользовательского ввода при генерации веб-страниц. Уязвимос...
24 октября 2026
В Cervantes v1.3-beta обнаружена уязвимость типа IDOR (CVSS 4.3, MEDIUM). Аутентифицированный злоумышленник может просматривать чувствительные данные чужих проектов и изменять статусы findings, а также переносить их в свои проекты. Затрагивает конфид...
24 октября 2026
В плагине WP Social Feed Gallery для WordPress (версии до 5.0.13 включительно) обнаружена уязвимость класса Broken Access Control, связанная с отсутствием проверки авторизации. Проблема позволяет эксплуатировать некорректно настроенные уровни контрол...