Лента угроз
Активно эксплуатируемые уязвимости (CISA KEV), сначала новые — для каждой указаны вероятность эксплуатации (EPSS) и серьёзность (CVSS), чтобы вы могли с точки зрения защиты решить «нужно ли исправлять это прямо сейчас?».
Читать разбор
- CVE-2026-123039 — локальное повышение привилегий до root в Check Point Gaia OS, эксплуатируется в реальных атаках: разбор и исправление (в KEV, срок 16 ноября) →
- CVE-2026-119618 — повреждение кучи и удалённое выполнение кода в mod_http2 Apache HTTP Server (затронуты 2.4.55–2.4.70, исправлено в 2.4.71): разбор и исправление →
- CVE-2026-6460 — путаница типов в PostgreSQL ведёт к выполнению произвольного кода (CVSS 8.8; исправлено в 18.7, 17.12, 16.16, 15.20 и 14.25): разбор и исправление →
- CVE-2026-76954 — SQL-инъекция в Auth API Synology DSM (без аутентификации, CVSS 9.8; исправлено в 7.2.1-69057-13 и других): разбор и исправление →
- CVE-2026-121653 — SQL-инъекция в Ivanti Endpoint Manager (удалённое выполнение кода без аутентификации, CVSS 9.8): разбор и исправление (исправлено в 2024 SU8) →
- CVE-2026-126187 — удалённое выполнение кода без аутентификации в React Server Components (react-server-dom-* исправлено в 19.0.9, 19.1.10, 19.2.9 и 19.3.1): разбор и исправление →
- CVE-2026-111793 — обход ограничения типов файлов в Openwave Webtop Media Transcoder: разбор и исправление (исправлено в 1.1.22.0, атаки наблюдались, внесена в KEV) →
- CVE-2026-116606 и CVE-2026-111560 — обход аутентификации и внедрение команд ОС в Barracuda Email Security Gateway: разбор и исправление (внесены в KEV, срок 13 ноября, нужна проверка на компрометацию) →
- CVE-2026-124194 — уязвимость подмены в Microsoft Outlook приводит к утечке хеша NTLMv2: разбор и исправление (исправлено в ноябрьском плановом обновлении, внесена в KEV) →
- CVE-2026-125350 — use-after-free в XML в Google Chrome, эксплуатируемая в реальных атаках: разбор и исправление (исправлено в 157.0.8103.50, внесена в KEV) →
- CVE-2026-20320 — XXE в Cisco BroadWorks позволяет неаутентифицированному атакующему читать конфигурационную информацию: разбор и исправление (исправлено в RI.2026.07, внесена в KEV) →
- CVE-2026-102895 — GPUStack позволяет неаутентифицированному атакующему действовать как администратор: разбор и исправление (CVSS 9.8, исправлено в 2.2.0, эксплуатируется) →
- CVE-2026-116779 — обработка SIP MESSAGE во FreeSWITCH позволяет атакующим выполнять команды API и ОС: разбор и исправление (исправлено в 1.11.3, эксплуатируется, есть в KEV) →
- CVE-2026-123218 — обход авторизации в IBM Aspera Faspex 5 позволяет атакующему получить права администратора: разбор и исправление (исправлено в 5.0.19 PL1, есть в KEV) →
- CVE-2026-123551 — WebSocket уведомлений OpenAM позволяет неаутентифицированному атакующему читать токены сеансов: разбор и исправление (CVSS 10.0, исправлено в 16.1.4) →
- CVE-2026-45247 — неаутентифицированный RCE в расширении Magento через PHP object injection →
UnrealIRCd UnrealIRCd contains an improper neutralization of delimiters vulnerability that allows any user on a network with two or more linked servers to inject server-to-server commands that are executed with server authority.
Добавлено в KEV: 2026-11-13Официально (NVD) →The Gaia OS DynamicCLI daemon runs as root and listens on a world-writable local socket (/tmp/dynamic_socket) without authenticating connecting processes. An authenticated local user can send a command to the socket and have it executed as root.
Обход аутентификации в Barracuda Email Security Gateway версий ранее 9.4.0.030 позволяет неаутентифицированному удалённому злоумышленнику вызвать функцию импорта конфигурации и восстановить специально сформированный совместимый архив резервной копии, что приводит к несанкционированному изменению глобальной конфигурации устройства.
Использование после освобождения в компоненте XML в Google Chrome до версии 157.0.8103.50 позволяло удалённому злоумышленнику выполнить произвольный код внутри песочницы с помощью специально подготовленной HTML-страницы. (Уровень серьёзности по классификации Chromium: High)
Неправильная нейтрализация метасимволов оболочки в поле конфигурации часового пояса в определённых продуктах-устройствах Barracuda, использующих общий код Barracuda, позволяет аутентифицированному администратору внедрять команды ОС, которые выполняются с правами root при последующей обработке специально сформированного значения часового пояса.
Добавлено в KEV: 2026-11-10Официально (NVD) →Уязвимость в XML-парсере Open Client Interface (OCI) Cisco BroadWorks может позволить неаутентифицированному удалённому злоумышленнику считывать конфиденциальную информацию о конфигурации затронутой системы. Уязвимость обусловлена некорректной обработкой XML-элементов: по умолчанию разрешено разрешение внешних сущностей. Злоумышленник может эксплуатировать эту уязвимость, отправив специально сформированное XML-сообщение сервису Open Client Interface – Provisioning (OCI-P). Успешная эксплуатация может позволить злоумышленнику просматривать конфиденциальные файлы из файловой системы с привилегиями пользователя Cisco BroadWorks.
Продукт ui не предупреждает пользователя о небезопасных действиях в Microsoft Office Outlook, что позволяет неавторизованному злоумышленнику выполнять спуфинг по сети.
Продукт Openwave Webtop Media Transcoder не обеспечивает соблюдение ограничений на типы файлов, заданных администратором, для ограничения типов файлов, подлежащих конвертации. Это может позволить аутентифицированному пользователю обрабатывать и конвертировать непредусмотренные типы документов при обходе интерфейса Webmail.
Служба sshd в OpenSSH до версии 10.6p2 в Linux, при использовании библиотеки musl libc без PAM, не содержит обходного решения для уязвимости обхода аутентификации по паролю (связанной с некорректной интерпретацией того, предназначена ли строка быть хешем пароля). Для некоторых конфигураций учётных записей любой пароль длиной от 256 до 1024 символов принимается успешно. Примером платформы, использующей musl libc без PAM, является Alpine Linux.
Добавлено в KEV: 2026-11-09Официально (NVD) →FreeSWITCH — это программный телекоммуникационный стек, позволяющий перейти от проприетарных телефонных коммутаторов к программной реализации, работающей на стандартном оборудовании. До версии 1.11.3 функция sofia_presence_handle_sip_i_message() разбивала имя получателя (поле To) входящего SIP MESSAGE по знаку плюс и воспринимала левую часть как селектор протокола чата. Выбор протокола api передавал управление в switch_api_execute(), что позволяло узлу, чей MESSAGE был принят, выполнять API-команды FreeSWITCH, включая команды, передающие данные в системную командную оболочку, с привилегиями демона. Приём входящих чат-сообщений включён в стандартных профилях internal и external, и достаточно любой аутентифицированной учётной записи профиля; стандартные пользователи каталога без пароля в уязвимых конфигурациях могут также устранить это ограничение. Уязвимость позволяет получить доступ к раскрытию конфигурации и учётных данных, произвольно управлять вызовами и выполнять команды. Эксплуатация этой уязвимости зафиксирована в реальных атаках. Проблема исправлена в версии 1.11.3.
GPUStack — это открытый менеджер кластеров GPU для раздачи AI-моделей и выделения GPU-инстансов. До версии 2.2.0 функция get_current_user в файле gpustack/api/auth.py при отключённом параметре force_auth_localhost (значение по умолчанию) рассматривала запросы с петлевого (loopback) источника как запросы встроенного администратора. Функция client_ip_getter принимала в качестве такого источника как пир обратного прокси на том же хосте, так и значение петлевого адреса, переданное клиентом в заголовке X-GPUStack-Real-IP. Благодаря этому удалённый запрос мог выглядеть как исходящий с 127.0.0.1. Обход аутентификации предоставлял неаутентифицированный административный доступ, включая изменение пользователей и моделей, создание постоянных API-ключей администратора, раскрытие секретов рабочих узлов и облачных провайдеров, а также выполнение кода через POST /v2/inference-backends/from-yaml. Эксплуатация уязвимости в реальных условиях зафиксирована на развёртывании версии 2.1.1. Проблема устранена в версии 2.2.0.
IBM Aspera Faspex 5.0.0 по 5.0.19 может позволить авторизованному пользователю сформировать специальное сообщение, которое обходит проверку авторизации пользователя и предоставляет полные административные привилегии.
Уязвимость в механизме обеспечения аутентификации службы SSLVPN в SonicOS может позволить пользователю, имеющему действительные учетные данные для альтернативного метода аутентификации, обойти средства контроля аутентификации SAML. Успешная эксплуатация также может привести к обходу многофакторной аутентификации (MFA), принудительно применяемой через SAML.
Добавлено в KEV: 2026-11-06Официально (NVD) →Проблема устранена за счет улучшенных проверок. Исправление внесено в Safari 17.5, iOS 16.7.8 и iPadOS 16.7.8, iOS 17.5 и iPadOS 17.5, macOS Sonoma 14.5, tvOS 17.5, watchOS 10.5. Злоумышленник, обладающий возможностью произвольного чтения и записи, может обойти механизм Pointer Authentication.
Добавлено в KEV: 2026-11-04Официально (NVD) →WordPress Core уязвим для удалённого выполнения кода (RCE) в версиях с 4.7 по 7.1.3. Причиной является предсказуемые, доступные из веба пути для промежуточного размещения (staging), которые используются при полном обновлении пакета ядра. Это позволяет неаутентифицированным злоумышленникам выполнять код на сервере во время окна обновления.
Добавлено в KEV: 2026-11-03Официально (NVD) →Ivanti Connect Secure 22.8R2.4 неправильно обрабатывает доверие, которое вызываемый брокер dsinvoked оказывает данным конфигурации DSCache, что приводит к повышению привилегий до root; уязвимость эксплуатировалась в реальных атаках в октябре 2026 года.
Добавлено в KEV: 2026-10-30Официально (NVD) →Ivanti Connect Secure содержит уязвимость, связанную с генерацией предсказуемых чисел или идентификаторов, которая позволяет удалённому аутентифицированному злоумышленнику загружать файлы с контролируемым злоумышленником содержимым в известное расположение на диске. Данная уязвимость может быть использована в цепочке совместно с CVE-2026-104935 и CVE-2026-111357.
Добавлено в KEV: 2026-10-30Официально (NVD) →GitLab устранил проблему в GitLab CE/EE, затрагивающую все версии начиная с 19.2 до 19.2.8, с 19.3 до 19.3.5 и с 19.4 до 19.4.2, которая при определённых условиях могла позволить неаутентифицированному пользователю выполнить произвольный код на сервере GitLab через специально сформированное регулярное выражение в конфигурации CI/CD из-за недостаточной проверки регулярных выражений.
Добавлено в KEV: 2026-10-29Официально (NVD) →Уязвимость в службе удалённого доступа SSL VPN программных продуктов Cisco Secure Firewall Adaptive Security Appliance (ASA) и Cisco Secure Firewall Threat Defense (FTD) может позволить неаутентифицированному удалённому злоумышленнику вызвать непредвиденную перезагрузку устройства, что приведёт к отказу в обслуживании (DoS). Уязвимость обусловлена логическими ошибками при настройке вторичной аутентификации для группы туннелей (tunnel group). Злоумышленник может использовать уязвимость, отправив специально сформированный запрос при подключении к SSL VPN удалённого доступа. Успешная эксплуатация позволяет злоумышленнику вызвать перезагрузку уязвимого устройства и, как следствие, отказ в обслуживании.
Добавлено в KEV: 2026-10-29Официально (NVD) →Ядро Linux: исправлена следующая уязвимость. net: skbuff: сохранять маркер shared-frag при объединении skb_try_coalesce() может переносить постраничные фрагменты (paged frags) из @from в @to. Если у @from установлен флаг SKBFL_SHARED_FRAG, результирующий skb @to может содержать те же фрагменты, принадлежащие внешнему владельцу или основанные на page cache, однако маркер shared-frag при этом теряется. Это нарушает инвариант, на который опираются последующие обработчики, модифицирующие данные на месте. В частности, входная обработка ESP проверяет skb_has_shared_frag() перед тем, как решить, можно ли для нелинейного непклонированного skb пропустить skb_cow_data(). Если при объединении приёма TCP shared-фрагменты были перенесены в skb без маркера, ESP может получить false из skb_has_shared_frag() и выполнить расшифровку на месте поверх фрагментов, основанных на page cache. Нужно распространять флаг SKBFL_SHARED_FRAG при передаче постраничных фрагментов в skb_try_coalesce(). Путь копирования в тейлрум не требует этого маркера, поскольку он копирует байты в линейные данные @to, а не передаёт дескрипторы фрагментов.
Добавлено в KEV: 2026-10-28Официально (NVD) →VMware ESX содержит уязвимость, связанную с недостаточным журналированием событий. Злоумышленник с правами администратора может использовать эту проблему для выполнения определённых операций без их регистрации в журналах.
Добавлено в KEV: 2026-10-28Официально (NVD) →Переполнение буфера в декодере Brotli (c/dec/decode.c) в версиях Google Brotli с 1.0.3 по 1.2.0 на всех платформах позволяет удалённому неаутентифицированному злоумышленнику повредить память соседнего состояния декодера, раскрыть конфиденциальное содержимое памяти, вызвать отказ в обслуживании или потенциально выполнить произвольный код с помощью специально сформированного потока, сжатого алгоритмом Brotli. Пользователям необходимо обновить все библиотеки и исполняемые файлы Brotli версий с 1.0.3 по 1.2.0 до последней доступной версии: 1.0.10, 1.1.1 или 1.2.1.
Добавлено в KEV: 2026-10-27Официально (NVD) →Adobe Commerce подвержен уязвимости типа «Неограниченная загрузка файла с опасным типом» (Unrestricted Upload of File with Dangerous Type), которая может привести к выполнению произвольного кода в контексте текущего пользователя и потенциально позволить получить повышенный доступ или контроль над учетной записью или сеансом жертвы. Эксплуатация этой проблемы требует взаимодействия с пользователем: жертва должна перейти по специально сформированной вредоносной ссылке или взаимодействовать с скомпрометированной веб-страницей. Область воздействия изменена (Scope is changed).
Добавлено в KEV: 2026-10-27Официально (NVD) →PHP использует longjmp() для обработки ошибок нехватки памяти (OOM), чтобы покинуть текущий контекст и прервать обработку запроса. Некоторые контексты могут некорректно учитывать такой сценарий и оставлять память запроса в неинициализированном состоянии перед выполнением выделения памяти. Последующая процедура очистки запроса может читать эту память или ветвиться по её содержимому. Несколько стратегий вызова OOM могут стабильно воспроизводить это условие и приводить к удалённому выполнению кода (RCE).
Добавлено в KEV: 2026-10-26Официально (NVD) →PHP содержит различное глобальное состояние, которое временно указывает на память запроса. В некоторых сценариях глобальное состояние может быть некорректно сброшено или повторно заполнено после сброса. В таком случае глобальное состояние может ссылаться на память запроса даже после её освобождения. Последующие запросы могут читать или ветвиться по этому устаревшему состоянию до того, как оно будет полностью инициализировано. Существует несколько стратегий, которые могут вызвать это условие и привести к удалённому выполнению кода (RCE).
Добавлено в KEV: 2026-10-26Официально (NVD) →Collabora Online Built-in CODE Server до версии 26.4.303 (richdocumentscode), приложение Nextcloud, допускает удалённое выполнение кода; уязвимость эксплуатируется в реальных атаках в сентябре и октябре 2026 года и отличается от CVE-2025-66208. Это внедрение команд ОС в proxy.php, которое возникает, когда сервер CODE не запущен (например, если продукт был недавно перезапущен). Уязвимость не присутствует в отдельных серверах Collabora Online; затронута только данная конфигурация с CODE Server.
Добавлено в KEV: 2026-10-23Официально (NVD) →VeloCloud Orchestrator (VCO) в исполнении on-prem содержит уязвимость, которая может позволить удалённому злоумышленнику получить доступ к привилегированной внутренней функциональности и воздействовать на хост VCO. Успешная эксплуатация может привести к компрометации конфиденциальности, целостности и доступности оркестратора и данных, которыми он управляет. В уязвимых системах любой аутентифицированный пользователь может получить привилегии оператора и выдать себя за локального пользователя-оператора уровня «superuser». Это включает доступ к функциональности, предназначенной только для внутреннего использования и не предполагающей удалённого доступа. Облачные (Hosted), в том числе выделенные (Dedicated), версии VCO были затронуты уязвимостью и уже исправлены.
Добавлено в KEV: 2026-10-23Официально (NVD) →Plex Media Server до версии 1.43.3.10861 позволяет пользователю с правами администратора записывать произвольные файлы, которые могут быть выполнены при загрузке. Параметр настроек TranscoderH264Options без изменений добавляется к строке параметров x264 при каждой транскодировке. При запуске все файлы .so выполняются без проверки подписи, флага исполнения и таблицы символов.
Добавлено в KEV: 2026-10-20Официально (NVD) →SiteGuard Server Edition содержит уязвимость внедрения команд ОС, которая может позволить злоумышленнику выполнять произвольные команды операционной системы с привилегиями root или SYSTEM на системе, где работает уязвимый продукт.
Добавлено в KEV: 2026-10-20Официально (NVD) →Уязвимость обнаружена в Siemens Software Center (все версии до V4.0.9.8). Затронутое приложение загружает библиотеки динамической компоновки (DLL) из неконтролируемого пути поиска. Это может позволить аутентифицированному локальному злоумышленнику разместить специально подготовленную DLL в каталоге, который просматривает приложение, что приведёт к выполнению произвольного кода с привилегиями затронутого приложения.
Добавлено в KEV: 2026-10-20Официально (NVD) →Plex Media Server до версии 1.43.3.10861 некорректно нейтрализует значения URL, включаемые в «searchOne», что позволяет злоумышленнику вызывать функции других плагинов и передавать собственные параметры.
Добавлено в KEV: 2026-10-20Официально (NVD) →Plex Media Server до версии 1.43.3.10861 допускает SSRF через эндпоинт '/player/timeline'. Злоумышленник, использующий любое значение X-Plex-Token, может передать полный URL в параметре 'protocol' и заставить сервер Plex выполнить POST-запрос на указанный им адрес.
Добавлено в KEV: 2026-10-20Официально (NVD) →Plex Media Server до версии 1.43.3.10861 позволяет аутентифицированному пользователю запрашивать произвольные внутренние или внешние адреса через параметр пути '/video/:/transcode/universal'.
Добавлено в KEV: 2026-10-20Официально (NVD) →Уязвимость существует во внутренних компонентах продукта BeyondTrust Remote Support. Эти компоненты не проверяли должным образом источник получаемых сообщений. При определённых условиях это могло позволить злоумышленнику выполнять операции с файлами на устройстве.
Добавлено в KEV: 2026-10-16Официально (NVD) →Недостаточное ограничение пути к каталогу (обход каталогов, «Path Traversal») [CWE-22] в Fortinet FortiOS 7.6.0–7.6.4, FortiOS 7.4.0–7.4.9, FortiOS 7.2 (все версии), FortiOS 7.0 (все версии), FortiOS 6.4 (все версии), FortiPAM 1.7.0, FortiPAM 1.6 (все версии), FortiPAM 1.5 (все версии), FortiPAM 1.4 (все версии), FortiPAM 1.3 (все версии), FortiPAM 1.2 (все версии), FortiPAM 1.1 (все версии), FortiPAM 1.0 (все версии), FortiProxy 7.6.0–7.6.4, FortiProxy 7.4.0–7.4.11, FortiProxy 7.2 (все версии), FortiProxy 7.0 (все версии), FortiSwitchManager 7.2.0–7.2.7, FortiSwitchManager 7.0.0–7.0.6 может позволить аутентифицированному злоумышленнику с профилем администратора и как минимум правами на чтение и запись записывать или удалять произвольные файлы с помощью определённых команд CLI.
Добавлено в KEV: 2026-10-16Официально (NVD) →Это уязвимость в Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible и Fisheye. Уязвимость типа «произвольный доступ к файлам» позволяет неаутентифицированному злоумышленнику получать доступ к определённым файлам в корневом каталоге веб-приложения в затронутых версиях. Эксплуатация требует предварительного знания точного имени и пути целевого файла; уязвимость не позволяет злоумышленникам перечислять или выводить список содержимого каталогов. В некоторых конфигурациях могут присутствовать чувствительные файлы, что делает уязвимость крайне серьёзной. Уязвимость позволяет неаутентифицированному удалённому злоумышленнику получать доступ к определённым файлам в корневом каталоге веб-приложения в затронутых версиях. Необходимо устранить уязвимость в затронутых версиях следующих продуктов: - Bitbucket Data Center, начиная с версии 4.6.0; исправленные версии: 9.4.26, 10.2.8, 10.5.1 - Confluence Data Center, начиная с версии 5.10.0; исправленные версии: 9.2.26, 10.2.19 - Crowd Data Center, начиная с версии 2.11.0; исправленные версии: 6.3.7, 7.0.3, 7.1.7, 7.2.4 - Jira Software Data Center, начиная с версии 7.1.0; исправленные версии: 9.12.40, 10.3.26, 11.3.12 - Jira Service Management Data Center, начиная с версии 3.1.0; исправленные версии: 5.12.40, 10.3.26, 11.3.12 - Bamboo Data Center, начиная с версии 7.0.1; исправленные версии: 10.2.24, 12.1.12 - Crucible; исправленная версия: 4.9.15 - Fisheye; исправленная версия: 4.9.15 Эксплуатация требует предварительного знания точного имени и пути целевого файла. Уязвимость не предоставляет возможности перечислять или выводить список содержимого каталогов.
Добавлено в KEV: 2026-10-15Официально (NVD) →Обнаружена уязвимость в Ahsay AhsayCBS до версии 10.3.2 включительно. Уязвимость затрагивает некоторый код файла /rps/api/json/UpdateReceivers.do компонента Replication Receiver. Манипуляция аргументом random может привести к внедрению команд ОС (OS command injection). Атака может быть проведена удалённо. Опубликованный эксплойт доступен и может быть использован. Устранить проблему можно обновлением до версии 10.3.4. Рекомендуется обновить уязвимый компонент.
Добавлено в KEV: 2026-10-14Официально (NVD) →Уязвимость обнаружена в Ahsay AhsayCBS до версии 10.3.2 включительно. Она затрагивает функцию checkSysPwd файла com/ahsay/obs/api/ApiStructsAction.java компонента API. Манипуляция с аргументом random приводит к некорректной аутентификации. Атака может быть инициирована удалённо. Эксплойт в настоящее время опубликован и может быть использован. Устранить проблему можно обновлением до версии 10.3.4. Рекомендуется обновить уязвимый компонент.
Добавлено в KEV: 2026-10-14Официально (NVD) →Уязвимость в функции Advanced Malware Protection (AMP) Cisco Secure Email Gateway может позволить неаутентифицированному удалённому злоумышленнику записывать произвольные файлы в базовую операционную систему. Уязвимость вызвана некорректной обработкой вложений электронной почты при включённой службе репутации файлов. Злоумышленник может использовать эту уязвимость, отправив электронное письмо с специально сформированным вложением через уязвимое устройство. Успешная эксплуатация может позволить злоумышленнику записывать произвольные файлы и выполнять команды с привилегиями root в базовой операционной системе.
Добавлено в KEV: 2026-10-14Официально (NVD) →Удалённое выполнение кода (RCE) в интерфейсе управления программного обеспечения PAN-OS® компании Palo Alto Networks позволяет аутентифицированному злоумышленнику с сетевым доступом выполнить произвольный код с привилегиями root на межсетевом экране. Риск безопасности, создаваемый данной проблемой, minimizes ограничением доступа к интерфейсу управления только доверенными внутренними IP-адресами в соответствии с рекомендуемыми нами руководствами по развёртыванию с учётом лучших практик: https://live.paloaltonetworks.com/t5/community-blogs/tips-amp-tricks-how-to-secure-the-management-access-of-your-palo/ba-p/464431 . Данная уязвимость применима к программному обеспечению PAN-OS на межсетевых экранах серий PA и VM-Series, а также на Panorama (виртуальной и серии M). Cloud NGFW и Prisma® Access не подвержены данной уязвимости.
Добавлено в KEV: 2026-10-14Официально (NVD) →
Приоритет = KEV (активно эксплуатируется) + EPSS (вероятность эксплуатации в течение 30 дней) + CVSS (серьёзность). Это лента для защиты — без эксплойт-кода и PoC. Каждый CVE ссылается на официальный источник (NVD).