CVE-2026-92883 élevée Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') in GitLab au moins depuis le 24 oct. 2026 build de 07:11 UTC 13 oct. 2026 CVE-2026-81839 élevée Incorrect Authorization in GitLab au moins depuis le 24 oct. 2026 build de 07:11 UTC 13 oct. 2026 CVE-2026-16301 élevée Incorrect Authorization in GitLab au moins depuis le 24 oct. 2026 build de 07:11 UTC 13 oct. 2026 CVE-2026-14814 élevée Permissive Regular Expression in GitLab au moins depuis le 24 oct. 2026 build de 07:11 UTC 13 oct. 2026 CVE-2026-84312 élevée Nginx UI: Casdoor SSO callback uses a constant `state` parameter (login CSRF) au moins depuis le 24 oct. 2026 build de 07:11 UTC 12 oct. 2026 CVE-2026-103658 élevée aspell: aspell: Arbitrary code execution via crafted dictionary file au moins depuis le 24 oct. 2026 build de 07:11 UTC 12 oct. 2026 CVE-2026-84360 élevée Nginx UI: OTP secure-session step-up can be bypassed via MCP configuration tools au moins depuis le 24 oct. 2026 build de 07:11 UTC 12 oct. 2026 CVE-2026-84319 élevée Nginx UI: MCP configuration tools bypass restricted directive validation and allow secondary authenticated users to execute NJS in Nginx worker context au moins depuis le 24 oct. 2026 build de 07:11 UTC 12 oct. 2026 CVE-2026-84318 élevée Nginx UI: MCP `nginx_config_add` Bypasses Directive Validation — Authenticated RCE au moins depuis le 24 oct. 2026 build de 07:11 UTC 12 oct. 2026 CVE-2026-84317 élevée Nginx UI: MCP nginx_config_add skips config directive validation → authenticated nginx directive injection (RCE on the official image) au moins depuis le 24 oct. 2026 build de 07:11 UTC 12 oct. 2026 CVE-2026-84316 élevée Nginx UI: nginx config directive denylist (ValidateConfigFile) is bypassable via same-line ";" separation → authenticated directive injection (RCE on the official image) au moins depuis le 24 oct. 2026 build de 07:11 UTC 12 oct. 2026 CVE-2026-84315 élevée Nginx UI OTP secure-session step-up is missing on sensitive mutation routes au moins depuis le 24 oct. 2026 build de 07:11 UTC 12 oct. 2026 CVE-2026-84314 élevée Nginx UI: Account Takeover via Missing `RequireSecureSession` on User Management Endpoint au moins depuis le 24 oct. 2026 build de 07:11 UTC 12 oct. 2026 CVE-2026-84313 élevée Nginx UI: TOTP / passkey enrolment requires no re-authentication, enabling persistent account takeover au moins depuis le 24 oct. 2026 build de 07:11 UTC 12 oct. 2026 CVE-2026-109380 élevée modern-tar: modern-tar: Denial of Service via memory exhaustion from crafted archives au moins depuis le 24 oct. 2026 build de 07:11 UTC 12 oct. 2026 CVE-2026-95837 élevée github.com/containerd/containerd: containerd: Privilege escalation via crafted container checkpoint restore au moins depuis le 24 oct. 2026 build de 07:11 UTC 12 oct. 2026 CVE-2026-41510 élevée Coraza: Silent argument drop at ArgumentLimit allows bypass of ARGS-targeted rules via parameter flooding au moins depuis le 24 oct. 2026 build de 07:11 UTC 12 oct. 2026 CVE-2026-87744 élevée io.quarkus:quarkus-hibernate-orm-rest-data-panache: Missing Authorization in Quarkus REST Data Panache via Dropped Security Annotations au moins depuis le 24 oct. 2026 build de 07:11 UTC 12 oct. 2026 CVE-2026-65954 élevée Arbitrary code execution au moins depuis le 24 oct. 2026 build de 07:11 UTC 12 oct. 2026 CVE-2026-57143 élevée PraisonAI: Server-Side Request Forgery (SSRF) in SearxNG / search_web tools via attacker-controlled searxng_url parameter au moins depuis le 24 oct. 2026 build de 07:11 UTC 12 oct. 2026 CVE-2026-103061 élevée gleam: gleam: Arbitrary directory deletion via path traversal in package metadata au moins depuis le 24 oct. 2026 build de 07:11 UTC 12 oct. 2026 CVE-2026-75888 élevée openshift/console: openshift/console: Authenticated SSRF via Helm chart URL fetch au moins depuis le 24 oct. 2026 build de 07:11 UTC 12 oct. 2026 CVE-2026-109301 élevée Parse Server before 8.6.95 and 9.0.0 before 9.10.2 Denial of Service via File Pointer Without URL au moins depuis le 24 oct. 2026 build de 07:11 UTC 12 oct. 2026 CVE-2026-109242 élevée freerdp: FreeRDP: Denial of Service via uninitialized progressive tile handling au moins depuis le 24 oct. 2026 build de 07:11 UTC 12 oct. 2026 CVE-2026-96612 élevée hex: hex: Arbitrary code execution via path traversal in dependency application names au moins depuis le 24 oct. 2026 build de 07:11 UTC 12 oct. 2026 CVE-2026-108094 élevée mutter: mutter: client-triggered use-after-free in Wayland color-management ICC image description path au moins depuis le 24 oct. 2026 build de 07:11 UTC 12 oct. 2026 CVE-2026-52903 élevée manageiq: YAML safe_load production fallback to unsafe_load enables RCE via deserialization au moins depuis le 24 oct. 2026 build de 07:11 UTC 12 oct. 2026 CVE-2026-108976 élevée emacs: zero-click local command execution via TRAMP au moins depuis le 24 oct. 2026 build de 07:11 UTC 11 oct. 2026 CVE-2026-108859 élevée github.com/mark3labs/mcp-go: mcp-go: Denial of Service via unbounded HTTP request body buffering au moins depuis le 24 oct. 2026 build de 07:11 UTC 11 oct. 2026 CVE-2026-62376 élevée Vikunja: Plaintext storage of password-reset/email-confirm tokens in database enables account takeover on DB read access au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-62367 élevée Vikunja: OIDC email-fallback account linking ignores email_verified, enabling local-account takeover au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-57458 élevée Vikunja: Scoped API token can mint unrestricted OAuth session credentials au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-108260 élevée @tinacms/web-components: `tina-markdown` writes rich-text link URLs into `href` without scheme validation, allowing stored XSS au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-108259 élevée Tina: Code injection via unescaped Git branch name in generated client source au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 GHSA-m687-p538-r5hp élevée Vikunja: Permissive Cross-domain Security Policy trusts every localhost origin which should not be trusted au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-107840 élevée yopass Prometheus metrics middleware allows remote memory exhaustion through unbounded method labels au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-107839 élevée ageLANServer: Unbounded JSON Array Allocation in AoE3 Cloud `getFileURL` Endpoint Leads to Remote Denial of Service au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-107826 élevée Coraza JSON body processor: argument-limit truncation reopens an unbounded-depth gjson.Valid stack overflow (process crash) au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-107823 élevée mariadb: mariadb: Privilege escalation via unescaped newlines in view parser au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-107818 élevée mariadb: mariadb: Privilege escalation via environment variable injection during service restart au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-55797 élevée github.com/argoproj/argo-cd/v3: github.com/argoproj/argo-cd/v2: argo-cd: Arbitrary command execution via crafted SSH repository proxy configuration au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-107815 élevée mariadb: mariadb: Arbitrary code execution via CONNECT engine out-of-bounds write au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2025-61560 élevée github.com/argoproj/argo-cd: argo-cd: Rate limit bypass via race condition in SessionManager au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 GHSA-68w4-83fh-f2w8 élevée pyload-ng: getUserData/get_userdata exposed at Perms.ANY allow any authenticated account to brute-force the administrator password au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 GHSA-jq7h-wrvp-3rgx élevée pyLoad: Privilege revocation and password change through the REST API do not invalidate the user's session au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 GHSA-889w-m37p-88m5 élevée pyLoad: Api.set_user_permission never invalidates the target's session au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 GHSA-fr26-jjhm-638c élevée pyLoad: Tar extraction creates device nodes and FIFOs (member types not filtered; tarfile extractall without filter=) au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 GHSA-r44w-v6gf-x3p6 élevée pyLoad has an authentication bypass in API key validation (check_apikey cache) au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-107814 élevée mariadb: mariadb: Arbitrary code execution via insecure service account home directory au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-107813 élevée Nginx UI: Incomplete fix of CVE-2026-84315 - the api/cluster router was not - wrapped in RequireSecureSession, so those sensitive mutations run without OTP step-up au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 