🔍 Наиболее интересные уязвимости

🐛 CVE-2026-27834, обнаруженная в Piwigo (до версии 16.3.0), приводит к SQL Injection. Проблема заключалась в прямой конкатенации параметра filter в SQL-запрос без очистки, что позволяло администраторам выполнять произвольные SQL-команды. В исправлении добавили экранирование параметра filter с помощью метода pwg_db_real_escape_string()

🐛 CVE-2026-32113, обнаруженная в Discourse (версии с 2026.1.0-latest до 2026.1.3), приводит к Open Redirect. Проблема заключалась в том, что во время действия Enter в StaticController выполнялось перенаправление на URL адрес из cookie без проверки, что позволяло злоумышленникам использовать произвольные адреса в качестве точек назначения перехода. В исправлении ввели проверку допустимости URL перед перенаправлением с помощью метода valid_sso_redirect_uri().

🐛 CVE-2026-34725, обнаруженная в DbGate (версии с 7.0.0 до 7.1.5), приводит к Cross-site Scripting (XSS). Проблема заключалась в рендеринге SVG-иконок как HTML без очистки, что позволяло выполнять произвольный JS код в пространстве другого пользователя или локально в Electron-приложении. В исправлении добавили санитизацию SVG-иконок с помощью метода DOMPurify.sanitize()

🐛 CVE-2026-35216, обнаруженная в Budibase (версии до 3.33.4), приводит к OS Commanding. Проблема заключалась в том, что неаутентифицированный злоумышленник мог через публичный webhook-trigger передавать пользовательские данные, которые в дальнейшем превращались в единую shell-команду, что позвляло выполнять произвольные системные команды. В исправлении отказались от выполнения одной динамически собранной shell-команды, разделили запуск на отдельные command и args, запретили шаблонные подстановки в имени команды и оставили динамические значения только в виде массива строковых аргументов.

🐛 CVE-2026-26058, обнаруженная в Zulip (версии с 1.4.0 до 11.6), приводит к Path Traversal. Уязвимость обусловлена тем, что при импорте данных приложение доверяло путям и именам файлов из uploads/records.json без очистки, что позвяло прочитать произвольные файлы из файловой системы. В исправлении была добавлена санитизация записей из records.json: теперь абсолютные пути запрещаются, путь приводится к каноническому виду через realpath(), проверяется, что он остается внутри каталога импорта, а имя файла отдельно очищается перед дальнейшей обработкой.

🔍 Наиболее интересные уязвимости

🐛 CVE-2026-39974, обнаруженная в n8n-MCP (до версии 2.47.4), приводит к Server-side Request Forgery (SSRF). Проблема заключалась в том, что пользователь с валидным AUTH_TOKEN мог через HTTP-заголовки передать произвольный URL, по которому сервер выполнял HTTP-запрос, что может привести к доступу к произвольным сервисам. В исправлении была добавлена валидация n8nApiUrl с помощью метода SSRFProtection.validateWebhookUrl().

🐛 CVE-2026-35463, обнаруженная в pyLoad (версия 0.5.0b3.dev96 и ранее), приводит к OS Command Injection. Проблема заключалась в том, что путь к исполняемому файлу в плагине AntiVirus передавался напрямую в subprocess.Popen(), что позволяло пользователю с правами SETTINGS внедрить произвольные команды. В исправлении вынесли чувствительные настройки в отдельный список ADMIN_ONLY_PLUGIN_OPTIONS и запретили изменять AntiVirus/avfile и AntiVirus/avargs всем, кто не является администратором

🐛 CVE-2026-35209, обнаруженная в defu (до версии 6.1.5), приводит к Prototype Pollution. Проблема заключалась в том, что при передаче произвольных данных первым аргументом в _defu() специально подготовленный payload с ключом позволял переопределять ожидаемые значения по умолчанию в результирующем объекте. В исправлении заменили Object.assign на объектный spread { ...defaults }.

🐛 CVE-2026-39408, обнаруженная в Hono (версии до 4.12.12), приводит к Path Traversal. Проблема заключалась в том, что специально сформированные значения в ssgParams позволяли выходить за пределы заданной директории при генерации статических сайтов. В исправлении была добавлена функция ensureWithinOutDir(): перед записью путь теперь нормализуется через joinPaths(), после чего проверяется, что итоговый filePath совпадает с output-директорией или находится строго внутри нее.

🐛 CVE-2026-27634, обнаруженная в Piwigo (версии до 16.3.0), приводит к SQL Injection. Проблема заключалась в прямой конкатенации параметров даты в SQL-запросах без экранирования или проверки типов, что позволяло неаутентифицированному злоумышленнику внедрить и выполнить произвольный SQL код. В исправлении была добавлена функция is_valid_mysql_datetime() для валидации значений параметров.