Последние новости: Обзор уязвимостей

198 CVE за выходные. Протокол BACnet передаёт данные автоматизации зданий без шифрования (CVSS 9.1). WordPress получил семь ошибок повышения привилегий за четыре дня, SQL-инъекцию через cookie, обходящую WAF, и захват администратора через проверку подстроки strpos().

Экстренный патч вне квартального цикла — Oracle считает угрозу слишком острой. CVE-2026-21992 почти дословно повторяет ошибку, которую эксплуатировали в ноябре 2025. Spring Boot закрыла два обхода аутентификации. В FastGPT нашли способ протащить вредоносный Docker-образ.

Три ошибки WordPress с оценками 9.3–9.8 и без патча. Одинаковая SSRF появилась сразу в трёх менеджерах проектов за месяц. ИИ-агент OpenClaw набрал 15 записей о безопасности за март. В автопилоте дронов PX4 переполнение буфера по MAVLink без аутентификации.

В подборке 104 CVE выделяются SQL-инъекция в ИИ-платформе Spring AI, обход проверки доверия в стандарте ONNX (патча нет, CVSS 9.1) и обход аутентификации в медицинском расширении KiviCare (CVSS 9.8). Инфраструктура ИИ и медицинские данные под ударом.

В дневной подборке 45 CVE выделяются два RCE в SIEM-платформе Wazuh (CVSS 9.1 каждая), утечка ключей шифрования ScreenConnect (9.0), три KVM-ошибки (9.3) и обход шлюза одобрения Apache Airflow. Инструменты защиты сами превращаются в точки входа.

252 уязвимости за один день, включая два выхода из песочницы Chrome Mojo. Один принёс исследователю рекордные $250 000, другой использовала APT-группировка TaxOff. В Unraid снова нашли цепочку root-доступа в том же файле, что и шесть лет назад.

124 новые уязвимости за сутки, три критических. Veeam Backup с четырьмя уязвимостями (CVSS до 9.8), среди которых активно эксплуатируемая группировками-вымогателями Akira, Fog и Frag.

420 новых CVE за сутки. Обход аутентификации в плагине Tutor LMS Pro для WordPress (CVSS 9.8) позволяет войти под любым пользователем. SQL-инъекция в системе автоматизации АЗС «Нефтепродукттехника» открывает базу данных заправки.

Очередная уязвимость аннотаций ingress-nginx (CVSS 8.8) продолжает годовую цепочку проблем контроллера Kubernetes. Семь CVE в модемах Unisoc обрушивают связь Android-смартфонов удалённо. Budibase позволяет выполнять команды ОС через PostgreSQL.

117 новых CVE за 9 марта, ни одной критической. Из заметного: подмена DLL в UltraVNC с готовым эксплойтом и молчащим разработчиком, плюс две уязвимости в камерах Tiandy, которая игнорирует уведомления с 2017 года.

За сутки опубликованы 226 уязвимости. В RustDesk Client до 1.4.5 нашли шесть уязвимостей CVSS 9.1–9.3 на всех платформах, от CSRF через URI-схему до обхода проверки TLS-сертификатов.

За сутки опубликованы 182 уязвимости. Cisco выпустила мартовский пакет обновлений для Secure Firewall с двумя уязвимостями CVSS 10.0 в FMC — обе дают root без аутентификации. Apache ActiveMQ Artemis уязвим для перехвата сообщений (CVSS 9.3), а D-Link DIR-513 получил два …

За сутки опубликована 101 уязвимость, 14 из них затрагивают российскую инфраструктуру. Apache Ranger получил критическую RCE с оценкой 9.8, Django уязвим для DoS через URLField на Windows, D-Link DIR-868L останется без патча, а семь плагинов WordPress содержат XSS, SQL-инъекции и …