CVE-2026-107812 alta Nginx UI: Self-upgrade runs an unsigned binary verified only by a same-origin digest → RCE via a compromised mirror or MITM como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-107811 alta 0xJacky/nginx-ui /api/nodes Leaks Cluster Node Tokens and Allows Cross-Node Impersonation as initUser como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-107810 alta Nginx UI: Backup restore follows crafted symlinks into the live Nginx configuration path before restore flags are applied como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-107809 alta Nginx-UI AuthRequired token cookie fallback enables CSRF against management APIs como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-107808 alta Nginx UI: Authentication bypass: password login does not enforce a passkey-only second factor (2FA bypass) como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-107807 alta Nginx UI: Node Secret Credential Exposure via URL Query Parameter como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-102554 alta com.google.guava/guava: Google Guava: Denial of Service via unthrottled memory allocation during deserialization como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-95702 alta gvisor.dev/gvisor: gVisor: Arbitrary code execution via use-after-free in VFS como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-108106 alta org.xerial.snappy/snappy-java: snappy-java: Denial of Service via unbounded memory allocation during decompression como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-107806 alta Nginx UI: Authenticated Remote Code Execution via Backup Restore App Config Overwrite como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-107805 alta Nginx UI: Unauthenticated signed-request body staging can exhaust temporary storage como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-97791 alta org.apache.cxf/cxf-rt-ws-security: Apache CXF: Authentication bypass via shared token validation state como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-97468 alta org.apache.cxf/cxf-rt-ws-security: org.apache.cxf/cxf-services-sts-core: Apache CXF: Authentication bypass via hash collision in token cache como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-78384 alta org.apache.cxf/cxf-core: Apache CXF: Denial of Service via uncontrolled data decompression como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-108039 alta org.apache.cxf/cxf-core: Apache CXF: Denial of Service via unrestricted XML parsing como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-107937 alta org.apache.cxf/cxf-core: Apache CXF: Denial of Service via large multipart attachment headers como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-107935 alta gvisor-tap-vsock: gvisor-tap-vsock: unathenticated arbitrary file deletion on the host via /expose como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-98378 alta kernel: bpf: Skip unsettled links in link iterator como mínimo desde el 24 oct 2026 build de las 07:11 UTC 9 oct 2026 CVE-2026-97031 alta crypto/tls: golang: crypto/tls: Denial of Service via multiple ECH outer extension references como mínimo desde el 24 oct 2026 build de las 07:11 UTC 8 oct 2026 CVE-2026-78669 alta net/http: net/http/internal/http2: golang.org/x/net/http2: net/http: Denial of Service via excessive HTTP/2 SETTINGS frames como mínimo desde el 24 oct 2026 build de las 07:11 UTC 8 oct 2026 CVE-2026-78667 alta net/http: golang: golang: Denial of Service via crafted HTTP Range headers como mínimo desde el 24 oct 2026 build de las 07:11 UTC 8 oct 2026 CVE-2026-107728 alta strawberry-graphql: strawberry-graphql: Authorization bypass via improper permission evaluation como mínimo desde el 24 oct 2026 build de las 07:11 UTC 8 oct 2026 CVE-2026-89091 alta ansible-core: ansible-core: ansible-galaxy collection install symlink path escape allows arbitrary file write / code execution como mínimo desde el 24 oct 2026 build de las 07:11 UTC 8 oct 2026 CVE-2026-107726 alta com.hazelcast/hazelcast: Hazelcast: Arbitrary member memory access by low-privileged client como mínimo desde el 24 oct 2026 build de las 07:11 UTC 8 oct 2026 CVE-2026-107725 alta com.hazelcast/hazelcast: Hazelcast: arbitrary code execution via missing authorization checks in IMap Predicates API como mínimo desde el 24 oct 2026 build de las 07:11 UTC 8 oct 2026 CVE-2026-107724 alta fast-jwt treats raw public JWK JSON as an HMAC secret, enabling HS256 token forgery como mínimo desde el 24 oct 2026 build de las 07:11 UTC 8 oct 2026 CVE-2026-107723 alta fast-jwt : Silent claim-validator bypass when JWT payload is a JSON array como mínimo desde el 24 oct 2026 build de las 07:11 UTC 8 oct 2026 CVE-2026-107720 alta fast-jwt: createVerifier accepts unsigned JWTs when key is '' or null and algorithms is explicitly set como mínimo desde el 24 oct 2026 build de las 07:11 UTC 8 oct 2026 CVE-2026-107716 alta banks: Banks: Information disclosure via symbolic link traversal como mínimo desde el 24 oct 2026 build de las 07:11 UTC 8 oct 2026 CVE-2026-107392 alta music-metadata: uncatchable process crash parsing a crafted `.dsf` (residual of GHSA-v6c2-xwv6-8xf7) como mínimo desde el 24 oct 2026 build de las 07:11 UTC 8 oct 2026 CVE-2026-107391 alta music-metadata: MP4 stsd sample-entry size==0 causes a synchronous infinite loop (DoS) — unreleased regression on master como mínimo desde el 24 oct 2026 build de las 07:11 UTC 8 oct 2026 CVE-2026-106432 alta php-pecl-mongodb: php-pecl-mongodb: Denial of Service via heap buffer overflow in BSON encoder como mínimo desde el 24 oct 2026 build de las 07:11 UTC 8 oct 2026 CVE-2026-107385 alta MariaDB Connector/Node.js: SQL injection in the text protocol when the session uses NO_BACKSLASH_ESCAPES como mínimo desde el 24 oct 2026 build de las 07:11 UTC 8 oct 2026 CVE-2026-107384 alta MariaDB Connector/Node.js: SQL injection through object keys in SET expansion (permitSetMultiParamEntries) como mínimo desde el 24 oct 2026 build de las 07:11 UTC 8 oct 2026 CVE-2026-107383 alta MariaDB Connector/Node.js exposes uninitialized process memory through malformed GeoJSON parameters como mínimo desde el 24 oct 2026 build de las 07:11 UTC 8 oct 2026 CVE-2026-97147 alta openstack-mistral: mistral: Cross-project resource tampering via missing ownership check in action definition and environment update paths como mínimo desde el 24 oct 2026 build de las 07:11 UTC 8 oct 2026 CVE-2026-93858 alta openstack-mistral: mistral: OS command injection via unvalidated proxy_command in std.ssh_proxied action como mínimo desde el 24 oct 2026 build de las 07:11 UTC 8 oct 2026 CVE-2026-107378 alta CairoSVG is an SVG converter based on Cairo, a 2D graphics library. Pr ... como mínimo desde el 24 oct 2026 build de las 07:11 UTC 8 oct 2026 CVE-2026-107377 alta datamodel-code-generator: Protobuf weak-import path traversal allows files to be written outside the temporary directory como mínimo desde el 24 oct 2026 build de las 07:11 UTC 8 oct 2026 CVE-2026-107375 alta JHipster: SQL Injection in the Parameter of JHipster-Generated Reactive (WebFlux + R2DBC) Applicationssort como mínimo desde el 24 oct 2026 build de las 07:11 UTC 8 oct 2026 CVE-2026-107303 alta JHipster: Generated Applications Allow Stored XSS via Unrestricted Blob ContentType Opened as Same-Origin Blob como mínimo desde el 24 oct 2026 build de las 07:11 UTC 8 oct 2026 CVE-2026-107302 alta msgpack5: Truncated map32 headers throw an unexpected error como mínimo desde el 24 oct 2026 build de las 07:11 UTC 8 oct 2026 CVE-2026-107300 alta msgpack5: Many buffered values can exhaust the streaming decoder stack como mínimo desde el 24 oct 2026 build de las 07:11 UTC 8 oct 2026 CVE-2026-107295 alta pydantic-ai-slim: pydantic-ai-slim: Unauthorized tool execution via missing Content-Type validation como mínimo desde el 24 oct 2026 build de las 07:11 UTC 8 oct 2026 CVE-2026-93017 alta insights-operator: gather ServiceAccount has cluster-wide Secret read plus nodes/proxy and cluster-reader como mínimo desde el 24 oct 2026 build de las 07:11 UTC 8 oct 2026 CVE-2026-107286 alta pydantic-ai: pydantic-ai: Denial of Service via unreleased concurrency slots in streaming requests como mínimo desde el 24 oct 2026 build de las 07:11 UTC 8 oct 2026 CVE-2026-89322 alta Vault ACL Policy Evaluation May Allow Bypass of Deny Restrictions como mínimo desde el 24 oct 2026 build de las 07:11 UTC 7 oct 2026 CVE-2026-107279 alta org.asynchttpclient/async-http-client: AsyncHttpClient: Mutual authentication bypass via Digest auth-int negotiation como mínimo desde el 24 oct 2026 build de las 07:11 UTC 7 oct 2026 CVE-2026-107232 alta org.asynchttpclient/async-http-client: async-http-client: Information disclosure via transmission of credentials after failed proxy CONNECT como mínimo desde el 24 oct 2026 build de las 07:11 UTC 7 oct 2026 CVE-2026-107231 alta org.asynchttpclient/async-http-client: async-http-client: Credential exposure via authentication downgrade como mínimo desde el 24 oct 2026 build de las 07:11 UTC 7 oct 2026 