Топ самых интересных CVE за март 2026 года

Всем привет! Подводим итоги марта по части самых интересных CVE. Дайджест был бы неполным без десяточки от Cisco: небезопасная десериализация под RCE в Cisco FMC, активно эксплуатируемая с конца января. Отдельно также отметилась компрометация цепочки поставок сканера уязвимостей Aqua Trivy с далеко идущими последствиями, включая кражу исходников у той же Cisco. В ИИ-платформе Langflow критическая уязвимость под внедрение кода без аутентификации, в Chrome два нулевых дня в Skia и V8, а в Microsoft Excel эксплойт Copilot под утечку данных без участия пользователя. Об этом и других ключевых уязвимостях марта читайте под катом!

https://habr.com/ru/articles/1019978/

#cve #vulnerability #vulnerability_assessment #vulnerabilities #vulnerability_research #уязвимости #уязвимость_нулевого_дня #уязвимости_и_их_эксплуатация

Топ самых интересных CVE за февраль 2026 года

Всем привет! Разбираем ключевые CVE ушедшего месяца в нашей традиционной подборке. Февраль отметился RCE в продуктах BeyondTrust — 9.9 по CVSS с активно идущей эксплуатацией. Фичевый блоут привёл к RCE в блокноте Windows: вектором атаки через произвольные команды стала добавленная поддержка Markdown, и это вызвало шквал критики в адрес Microsoft. Помимо этого, в Google Chrome исправили первый 0-day 2026-го c идущим эксплойтом, а символические ссылки на этот раз подвели Apple: во множестве её продуктов состояние гонки при их обработке. В Content API Ghost закрыли внедрение SQL, в Gogs — обход двухфакторки, а в продуктах от Microsoft — полдюжины эксплуатируемых нулевых дней. Об этом и других интересных уязвимостях февраля читайте под катом!

https://habr.com/ru/companies/tomhunter/articles/1006514/

#cve #vulnerability #vulnerability_assessment #vulnerabilities #vulnerability_research #уязвимости #уязвимость_нулевого_дня #уязвимости_и_их_эксплуатация

Ok, so I have this HP-server in my garage that I've had for years.
I decided to plug it in, add drives and connect the iLO port.

Ofcourse, I have forgotten the iLO password - and I dont have a monitor that I can use to reset it via the BIOS.

I do remember this vulnerability from a couple of years ago, that where I could get the password (or change it) for the Administrator user with a curl post request.
But I can't find it.

Help

#linux #curl #hp #ilo #infosec #vulnerability_research #vulnerability #askfedi #askfediverse

Топ самых интересных CVE за январь 2026 года

Всем привет! Открываем год большой подборкой самых интересных CVE. В январе десяточку по CVSS выбил побег из песочницы в системе обмена сообщениями Firefox и Thunderbird — вредоносный код на странице или в письме ведёт к RCE. Произвольным кодом также отметились инструмент «untgz» библиотеки zlib, FreeRDP, Oracle WebLogic Proxy Plug-in и некоторые компоненты Microsoft. Кроме того, в сервере пакета GNU Inetutils «telnetd» закрыли тривиальный эксплойт под RCE, остававшийся незамеченным 11 лет. Конечно же, не обошлись без RCE и продукты от Cisco — затронута её телефония. Об этом и других ключевых CVE первого месяца 2026-го читайте под катом!

https://habr.com/ru/companies/tomhunter/articles/992358/

#cve #vulnerability #vulnerability_assessment #vulnerabilities #vulnerability_research #уязвимости #уязвимость_нулевого_дня #уязвимости_и_их_эксплуатация

Топ самых интересных CVE за декабрь 2025 года

Всем привет! Закрываем год подборкой главных CVE декабря. Звездой месяца, несомненно, стала React2Shell — единственный плюс, что её исправили в начале декабря, а не на праздники, как MongoBleed. Кроме того, в Fortinet закрыли уязвимость на обход аутентификации, а в продуктах Apple в WebKit, который помимо прочего использует Google Chrome на iOS, исправили CVE на use-after-free. В компонентах Apache Tika нашли CVE под произвольный код, а в Gogs остаётся неисправленным нулевой день также под RCE, эксплойт которого активно идёт уже давно. Обо всём этом и других ключевых уязвимостях последнего месяца уходящего года читайте под катом!

https://habr.com/ru/companies/tomhunter/articles/980578/

#cve #vulnerability #vulnerability_assessment #vulnerabilities #vulnerability_research #уязвимости #уязвимость_нулевого_дня #уязвимости_и_их_эксплуатация

Топ самых интересных CVE за ноябрь 2025 года

Всем привет! Пока мир знакомится с новогодним подарком в лице React2Shell и ловит флешбэки в ноябрь 2021-го, давайте подведём итоги этого ноября дайджестом главных CVE прошлого месяца и вспомним его добрым словом. В ОС Android версий с 13 по 16 включительно закрыли 0-click под RCE, связанный с недостаточной проверкой входных данных. Схожую уязвимость обнаружили и в библиотеке Javascript expr-eval c произвольным кодом в контексте приложения. Произвольными командами отметился и Cisco UCCX. Критических CVE под разное произвольное в ноябре в целом было много: пострадали также 7-Zip, Gladinet Triofox, Fortinet FortiWeb и Google Chrome. Обо всём этом и других ключевых уязвимостях последнего осеннего месяца читайте под катом!

https://habr.com/ru/companies/tomhunter/articles/972146/

#cve #vulnerability #vulnerability_assessment #vulnerabilities #vulnerability_research #уязвимости #уязвимость_нулевого_дня #уязвимости_и_их_эксплуатация

Топ самых интересных CVE за октябрь 2024 года

Всем привет! Это наша традиционная подборка самых интересных CVE ушедшего месяца. В октябре десяточку по CVSS выбил Zimbra — в сервере RCE от неаутентифицированных злоумышленников с несложным эксплойтом и проверкой концепции. Помимо этого, месяц отметился многочисленными критическими уязвимостями. В Kubernetes Image Builder учётка по умолчанию с доступом к виртуалкам. В GitLab EE очередной эксплойт под запуск pipeline jobs произвольными юзерами. В одном API FortiManager отсутствует аутентификация, а в Firefox исправили Use-After-Free — обе под произвольный код. А также у нас куча исправленных Microsoft уязвимостей, несколько с активным эксплойтом и под RCE. Об этом и других ключевых CVE октября читайте под катом!

https://habr.com/ru/companies/tomhunter/articles/852170/

#cve #vulnerability #vulnerability_assessment #vulnerability_scanning #vulnerabilities #vulnerability_research #information_security #уязвимости #анализ_уязвимостей #пентест

Топ самых интересных CVE за сентябрь 2024 года

Всем привет!Подводим итоги сентября нашей подборкой самых интересных CVE. Так, первый осенний месяц принёс исправления пяти нулевых дней в продуктах от Microsoft, которые активно эксплойтят в сетевых дебрях. Десяточкой по CVSS отметились уязвимости в FreeBSD под RCE и в Progress LoadMaster под выполнение команд. В GitLab CE/EE снова нашли CVE под неавторизированный запуск pipeline jobs. Уязвимостями под произвольный код также отметились VMware vCenter Server, SolarWinds ARM, EPM от Ivanti и Adobe Acrobat Reader. Об этом и других серьёзных уязвимостях сентября читайте под катом!

https://habr.com/ru/companies/tomhunter/articles/844650/

#cve #vulnerability #vulnerabilities #vulnerability_assessment #vulnerability_scanning #vulnerability_research #information_security #пентест #уязвимости #анализ_уязвимостей

Топ самых интересных CVE за август 2024 года

Всем привет! Публикуем нашу традиционную подборку самых интересных CVE ушедшего месяца. В августе десяткой по CVSS отметился плагин GiveWP для WordPress под удалённый код от неавторизированных злоумышленников, а 9.8 выбил LiteSpeed Cache со слабым алгоритмом хеширования. Месяц был богат на критические уязвимости: в GitHub Enterprise Server и SAP BusinessObjects исправили обход аутентификации, а в OpenVPN обнаружили сразу четыре уязвимости под RCE и LPE, две из них — на 9.8 баллов. Россыпь уязвимостей, эксплуатируемых злоумышленниками, была исправлена в продуктах от Microsoft, включая нашумевшую CVE-2024-38063 в IPv6. Об этом и других интересных уязвимостях августа читайте под катом!

https://habr.com/ru/companies/tomhunter/articles/838572/

#cve #vulnerability #vulnerability_assessment #vulnerabilities #vulnerability_scanning #vulnerability_research #information_security #пентест #уязвимости #анализ_уязвимостей

Топ самых интересных CVE за июль 2024 года

Всем привет! Подводим итоги июля дайджестом самых интересных CVE прошлого месяца. В Telegram была закрыта уязвимость, позволявшая загружать вредоносные .apk под видом видеофайлов. Июль был богат на нулевые дни в Gogs: в популярном Git-сервисе три критических бага, пока не получивших патчей. В OpenSSH исправили две RCE-уязвимости, а в GitLab CE/EE — критическую на запуск pipeline jobs произвольным пользователем. Десяточкой по CVSS отметилась уязвимость в системе аутентификации Cisco SSM On-Prem, позволяющая злоумышленнику менять пароли в системе вплоть до администраторов. Максимальный рейтинг также получила CVE на обход плагина авторизации в Docker Engine. Об этом и других интересных уязвимостях ушедшего месяца читайте под катом!

https://habr.com/ru/companies/tomhunter/articles/828932/

#cve #vulnerability #vulnerabilities #vulnerability_scanning #vulnerability_research #vulnerability_assessment #information_security #пентест #уязвимости #анализ_защищенности