CVE-2026-107812 élevée Nginx UI: Self-upgrade runs an unsigned binary verified only by a same-origin digest → RCE via a compromised mirror or MITM au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-107811 élevée 0xJacky/nginx-ui /api/nodes Leaks Cluster Node Tokens and Allows Cross-Node Impersonation as initUser au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-107810 élevée Nginx UI: Backup restore follows crafted symlinks into the live Nginx configuration path before restore flags are applied au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-107809 élevée Nginx-UI AuthRequired token cookie fallback enables CSRF against management APIs au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-107808 élevée Nginx UI: Authentication bypass: password login does not enforce a passkey-only second factor (2FA bypass) au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-107807 élevée Nginx UI: Node Secret Credential Exposure via URL Query Parameter au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-102554 élevée com.google.guava/guava: Google Guava: Denial of Service via unthrottled memory allocation during deserialization au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-95702 élevée gvisor.dev/gvisor: gVisor: Arbitrary code execution via use-after-free in VFS au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-108106 élevée org.xerial.snappy/snappy-java: snappy-java: Denial of Service via unbounded memory allocation during decompression au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-107806 élevée Nginx UI: Authenticated Remote Code Execution via Backup Restore App Config Overwrite au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-107805 élevée Nginx UI: Unauthenticated signed-request body staging can exhaust temporary storage au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-97791 élevée org.apache.cxf/cxf-rt-ws-security: Apache CXF: Authentication bypass via shared token validation state au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-97468 élevée org.apache.cxf/cxf-rt-ws-security: org.apache.cxf/cxf-services-sts-core: Apache CXF: Authentication bypass via hash collision in token cache au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-78384 élevée org.apache.cxf/cxf-core: Apache CXF: Denial of Service via uncontrolled data decompression au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-108039 élevée org.apache.cxf/cxf-core: Apache CXF: Denial of Service via unrestricted XML parsing au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-107937 élevée org.apache.cxf/cxf-core: Apache CXF: Denial of Service via large multipart attachment headers au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-107935 élevée gvisor-tap-vsock: gvisor-tap-vsock: unathenticated arbitrary file deletion on the host via /expose au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-98378 élevée kernel: bpf: Skip unsettled links in link iterator au moins depuis le 24 oct. 2026 build de 07:11 UTC 9 oct. 2026 CVE-2026-97031 élevée crypto/tls: golang: crypto/tls: Denial of Service via multiple ECH outer extension references au moins depuis le 24 oct. 2026 build de 07:11 UTC 8 oct. 2026 CVE-2026-78669 élevée net/http: net/http/internal/http2: golang.org/x/net/http2: net/http: Denial of Service via excessive HTTP/2 SETTINGS frames au moins depuis le 24 oct. 2026 build de 07:11 UTC 8 oct. 2026 CVE-2026-78667 élevée net/http: golang: golang: Denial of Service via crafted HTTP Range headers au moins depuis le 24 oct. 2026 build de 07:11 UTC 8 oct. 2026 CVE-2026-107728 élevée strawberry-graphql: strawberry-graphql: Authorization bypass via improper permission evaluation au moins depuis le 24 oct. 2026 build de 07:11 UTC 8 oct. 2026 CVE-2026-89091 élevée ansible-core: ansible-core: ansible-galaxy collection install symlink path escape allows arbitrary file write / code execution au moins depuis le 24 oct. 2026 build de 07:11 UTC 8 oct. 2026 CVE-2026-107726 élevée com.hazelcast/hazelcast: Hazelcast: Arbitrary member memory access by low-privileged client au moins depuis le 24 oct. 2026 build de 07:11 UTC 8 oct. 2026 CVE-2026-107725 élevée com.hazelcast/hazelcast: Hazelcast: arbitrary code execution via missing authorization checks in IMap Predicates API au moins depuis le 24 oct. 2026 build de 07:11 UTC 8 oct. 2026 CVE-2026-107724 élevée fast-jwt treats raw public JWK JSON as an HMAC secret, enabling HS256 token forgery au moins depuis le 24 oct. 2026 build de 07:11 UTC 8 oct. 2026 CVE-2026-107723 élevée fast-jwt : Silent claim-validator bypass when JWT payload is a JSON array au moins depuis le 24 oct. 2026 build de 07:11 UTC 8 oct. 2026 CVE-2026-107720 élevée fast-jwt: createVerifier accepts unsigned JWTs when key is '' or null and algorithms is explicitly set au moins depuis le 24 oct. 2026 build de 07:11 UTC 8 oct. 2026 CVE-2026-107716 élevée banks: Banks: Information disclosure via symbolic link traversal au moins depuis le 24 oct. 2026 build de 07:11 UTC 8 oct. 2026 CVE-2026-107392 élevée music-metadata: uncatchable process crash parsing a crafted `.dsf` (residual of GHSA-v6c2-xwv6-8xf7) au moins depuis le 24 oct. 2026 build de 07:11 UTC 8 oct. 2026 CVE-2026-107391 élevée music-metadata: MP4 stsd sample-entry size==0 causes a synchronous infinite loop (DoS) — unreleased regression on master au moins depuis le 24 oct. 2026 build de 07:11 UTC 8 oct. 2026 CVE-2026-106432 élevée php-pecl-mongodb: php-pecl-mongodb: Denial of Service via heap buffer overflow in BSON encoder au moins depuis le 24 oct. 2026 build de 07:11 UTC 8 oct. 2026 CVE-2026-107385 élevée MariaDB Connector/Node.js: SQL injection in the text protocol when the session uses NO_BACKSLASH_ESCAPES au moins depuis le 24 oct. 2026 build de 07:11 UTC 8 oct. 2026 CVE-2026-107384 élevée MariaDB Connector/Node.js: SQL injection through object keys in SET expansion (permitSetMultiParamEntries) au moins depuis le 24 oct. 2026 build de 07:11 UTC 8 oct. 2026 CVE-2026-107383 élevée MariaDB Connector/Node.js exposes uninitialized process memory through malformed GeoJSON parameters au moins depuis le 24 oct. 2026 build de 07:11 UTC 8 oct. 2026 CVE-2026-97147 élevée openstack-mistral: mistral: Cross-project resource tampering via missing ownership check in action definition and environment update paths au moins depuis le 24 oct. 2026 build de 07:11 UTC 8 oct. 2026 CVE-2026-93858 élevée openstack-mistral: mistral: OS command injection via unvalidated proxy_command in std.ssh_proxied action au moins depuis le 24 oct. 2026 build de 07:11 UTC 8 oct. 2026 CVE-2026-107378 élevée CairoSVG is an SVG converter based on Cairo, a 2D graphics library. Pr ... au moins depuis le 24 oct. 2026 build de 07:11 UTC 8 oct. 2026 CVE-2026-107377 élevée datamodel-code-generator: Protobuf weak-import path traversal allows files to be written outside the temporary directory au moins depuis le 24 oct. 2026 build de 07:11 UTC 8 oct. 2026 CVE-2026-107375 élevée JHipster: SQL Injection in the Parameter of JHipster-Generated Reactive (WebFlux + R2DBC) Applicationssort au moins depuis le 24 oct. 2026 build de 07:11 UTC 8 oct. 2026 CVE-2026-107303 élevée JHipster: Generated Applications Allow Stored XSS via Unrestricted Blob ContentType Opened as Same-Origin Blob au moins depuis le 24 oct. 2026 build de 07:11 UTC 8 oct. 2026 CVE-2026-107302 élevée msgpack5: Truncated map32 headers throw an unexpected error au moins depuis le 24 oct. 2026 build de 07:11 UTC 8 oct. 2026 CVE-2026-107300 élevée msgpack5: Many buffered values can exhaust the streaming decoder stack au moins depuis le 24 oct. 2026 build de 07:11 UTC 8 oct. 2026 CVE-2026-107295 élevée pydantic-ai-slim: pydantic-ai-slim: Unauthorized tool execution via missing Content-Type validation au moins depuis le 24 oct. 2026 build de 07:11 UTC 8 oct. 2026 CVE-2026-93017 élevée insights-operator: gather ServiceAccount has cluster-wide Secret read plus nodes/proxy and cluster-reader au moins depuis le 24 oct. 2026 build de 07:11 UTC 8 oct. 2026 CVE-2026-107286 élevée pydantic-ai: pydantic-ai: Denial of Service via unreleased concurrency slots in streaming requests au moins depuis le 24 oct. 2026 build de 07:11 UTC 8 oct. 2026 CVE-2026-89322 élevée Vault ACL Policy Evaluation May Allow Bypass of Deny Restrictions au moins depuis le 24 oct. 2026 build de 07:11 UTC 7 oct. 2026 CVE-2026-107279 élevée org.asynchttpclient/async-http-client: AsyncHttpClient: Mutual authentication bypass via Digest auth-int negotiation au moins depuis le 24 oct. 2026 build de 07:11 UTC 7 oct. 2026 CVE-2026-107232 élevée org.asynchttpclient/async-http-client: async-http-client: Information disclosure via transmission of credentials after failed proxy CONNECT au moins depuis le 24 oct. 2026 build de 07:11 UTC 7 oct. 2026 CVE-2026-107231 élevée org.asynchttpclient/async-http-client: async-http-client: Credential exposure via authentication downgrade au moins depuis le 24 oct. 2026 build de 07:11 UTC 7 oct. 2026 