CVE-2026-96893 alta Improper Neutralization of Input Used for LLM Prompting in GitLab como mínimo desde el 24 oct 2026 build de las 07:11 UTC 13 oct 2026 CVE-2026-92883 alta Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') in GitLab como mínimo desde el 24 oct 2026 build de las 07:11 UTC 13 oct 2026 CVE-2026-81839 alta Incorrect Authorization in GitLab como mínimo desde el 24 oct 2026 build de las 07:11 UTC 13 oct 2026 CVE-2026-16301 alta Incorrect Authorization in GitLab como mínimo desde el 24 oct 2026 build de las 07:11 UTC 13 oct 2026 CVE-2026-14814 alta Permissive Regular Expression in GitLab como mínimo desde el 24 oct 2026 build de las 07:11 UTC 13 oct 2026 CVE-2026-84312 alta Nginx UI: Casdoor SSO callback uses a constant `state` parameter (login CSRF) como mínimo desde el 24 oct 2026 build de las 07:11 UTC 12 oct 2026 CVE-2026-103658 alta aspell: aspell: Arbitrary code execution via crafted dictionary file como mínimo desde el 24 oct 2026 build de las 07:11 UTC 12 oct 2026 CVE-2026-84360 alta Nginx UI: OTP secure-session step-up can be bypassed via MCP configuration tools como mínimo desde el 24 oct 2026 build de las 07:11 UTC 12 oct 2026 CVE-2026-84319 alta Nginx UI: MCP configuration tools bypass restricted directive validation and allow secondary authenticated users to execute NJS in Nginx worker context como mínimo desde el 24 oct 2026 build de las 07:11 UTC 12 oct 2026 CVE-2026-84318 alta Nginx UI: MCP `nginx_config_add` Bypasses Directive Validation — Authenticated RCE como mínimo desde el 24 oct 2026 build de las 07:11 UTC 12 oct 2026 CVE-2026-84317 alta Nginx UI: MCP nginx_config_add skips config directive validation → authenticated nginx directive injection (RCE on the official image) como mínimo desde el 24 oct 2026 build de las 07:11 UTC 12 oct 2026 CVE-2026-84316 alta Nginx UI: nginx config directive denylist (ValidateConfigFile) is bypassable via same-line ";" separation → authenticated directive injection (RCE on the official image) como mínimo desde el 24 oct 2026 build de las 07:11 UTC 12 oct 2026 CVE-2026-84315 alta Nginx UI OTP secure-session step-up is missing on sensitive mutation routes como mínimo desde el 24 oct 2026 build de las 07:11 UTC 12 oct 2026 CVE-2026-84314 alta Nginx UI: Account Takeover via Missing `RequireSecureSession` on User Management Endpoint como mínimo desde el 24 oct 2026 build de las 07:11 UTC 12 oct 2026 CVE-2026-84313 alta Nginx UI: TOTP / passkey enrolment requires no re-authentication, enabling persistent account takeover como mínimo desde el 24 oct 2026 build de las 07:11 UTC 12 oct 2026 CVE-2026-109380 alta modern-tar: modern-tar: Denial of Service via memory exhaustion from crafted archives como mínimo desde el 24 oct 2026 build de las 07:11 UTC 12 oct 2026 CVE-2026-95837 alta github.com/containerd/containerd: containerd: Privilege escalation via crafted container checkpoint restore como mínimo desde el 24 oct 2026 build de las 07:11 UTC 12 oct 2026 CVE-2026-41510 alta Coraza: Silent argument drop at ArgumentLimit allows bypass of ARGS-targeted rules via parameter flooding como mínimo desde el 24 oct 2026 build de las 07:11 UTC 12 oct 2026 CVE-2026-87744 alta io.quarkus:quarkus-hibernate-orm-rest-data-panache: Missing Authorization in Quarkus REST Data Panache via Dropped Security Annotations como mínimo desde el 24 oct 2026 build de las 07:11 UTC 12 oct 2026 CVE-2026-65954 alta Arbitrary code execution como mínimo desde el 24 oct 2026 build de las 07:11 UTC 12 oct 2026 CVE-2026-57143 alta PraisonAI: Server-Side Request Forgery (SSRF) in SearxNG / search_web tools via attacker-controlled searxng_url parameter como mínimo desde el 24 oct 2026 build de las 07:11 UTC 12 oct 2026 CVE-2026-103061 alta gleam: gleam: Arbitrary directory deletion via path traversal in package metadata como mínimo desde el 24 oct 2026 build de las 07:11 UTC 12 oct 2026 CVE-2026-75888 alta openshift/console: openshift/console: Authenticated SSRF via Helm chart URL fetch como mínimo desde el 24 oct 2026 build de las 07:11 UTC 12 oct 2026 CVE-2026-109301 alta Parse Server before 8.6.95 and 9.0.0 before 9.10.2 Denial of Service via File Pointer Without URL como mínimo desde el 24 oct 2026 build de las 07:11 UTC 12 oct 2026 CVE-2026-109242 alta freerdp: FreeRDP: Denial of Service via uninitialized progressive tile handling como mínimo desde el 24 oct 2026 build de las 07:11 UTC 12 oct 2026 CVE-2026-96612 alta hex: hex: Arbitrary code execution via path traversal in dependency application names como mínimo desde el 24 oct 2026 build de las 07:11 UTC 12 oct 2026 CVE-2026-108094 alta mutter: mutter: client-triggered use-after-free in Wayland color-management ICC image description path como mínimo desde el 24 oct 2026 build de las 07:11 UTC 12 oct 2026 CVE-2026-52903 alta manageiq: YAML safe_load production fallback to unsafe_load enables RCE via deserialization como mínimo desde el 24 oct 2026 build de las 07:11 UTC 12 oct 2026 CVE-2026-108976 alta emacs: zero-click local command execution via TRAMP como mínimo desde el 24 oct 2026 build de las 07:11 UTC 11 oct 2026 CVE-2026-108859 alta github.com/mark3labs/mcp-go: mcp-go: Denial of Service via unbounded HTTP request body buffering como mínimo desde el 24 oct 2026 build de las 07:11 UTC 11 oct 2026 CVE-2026-62376 alta Vikunja: Plaintext storage of password-reset/email-confirm tokens in database enables account takeover on DB read access como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-62367 alta Vikunja: OIDC email-fallback account linking ignores email_verified, enabling local-account takeover como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-57458 alta Vikunja: Scoped API token can mint unrestricted OAuth session credentials como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-108260 alta @tinacms/web-components: `tina-markdown` writes rich-text link URLs into `href` without scheme validation, allowing stored XSS como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-108259 alta Tina: Code injection via unescaped Git branch name in generated client source como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 GHSA-m687-p538-r5hp alta Vikunja: Permissive Cross-domain Security Policy trusts every localhost origin which should not be trusted como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-107840 alta yopass Prometheus metrics middleware allows remote memory exhaustion through unbounded method labels como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-107839 alta ageLANServer: Unbounded JSON Array Allocation in AoE3 Cloud `getFileURL` Endpoint Leads to Remote Denial of Service como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-107826 alta Coraza JSON body processor: argument-limit truncation reopens an unbounded-depth gjson.Valid stack overflow (process crash) como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-107823 alta mariadb: mariadb: Privilege escalation via unescaped newlines in view parser como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-107818 alta mariadb: mariadb: Privilege escalation via environment variable injection during service restart como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-55797 alta github.com/argoproj/argo-cd/v3: github.com/argoproj/argo-cd/v2: argo-cd: Arbitrary command execution via crafted SSH repository proxy configuration como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-107815 alta mariadb: mariadb: Arbitrary code execution via CONNECT engine out-of-bounds write como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2025-61560 alta github.com/argoproj/argo-cd: argo-cd: Rate limit bypass via race condition in SessionManager como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 GHSA-68w4-83fh-f2w8 alta pyload-ng: getUserData/get_userdata exposed at Perms.ANY allow any authenticated account to brute-force the administrator password como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 GHSA-jq7h-wrvp-3rgx alta pyLoad: Privilege revocation and password change through the REST API do not invalidate the user's session como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 GHSA-889w-m37p-88m5 alta pyLoad: Api.set_user_permission never invalidates the target's session como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 GHSA-fr26-jjhm-638c alta pyLoad: Tar extraction creates device nodes and FIFOs (member types not filtered; tarfile extractall without filter=) como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 GHSA-r44w-v6gf-x3p6 alta pyLoad has an authentication bypass in API key validation (check_apikey cache) como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-107814 alta mariadb: mariadb: Arbitrary code execution via insecure service account home directory como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 