Schwachstellen verstehen. Anwendungen schützen.

Hoch 20.10.2026

CVE-2026-111768

MCP TypeScript SDK: Eine HTTP-Anfrage innerhalb des Standard-Größenlimits konnte während der Validierung den Serverspeicher erschöpfen

In betroffenen Versionen des MCP TypeScript SDK kann eine HTTP-Anfrage innerhalb der Standardgrößenbegrenzung während der Validierung den Serverspeicher erschöpfen. Dies ermöglicht es Angreifern, den Serverprozess über Denial-of-Service zum Absturz zu bringen.

npm

@modelcontextprotocol/sdk, @modelcontextprotocol/server

Hoch 20.10.2026

CVE-2026-111770

MCP TypeScript-Server-SDK: Geteilte Transport- oder Server-Instanzen lieferten Nachrichten eines HTTP-Clients an einen anderen aus

Eine Schwachstelle im MCP TypeScript Server SDK führt dazu, dass Nachrichten bei geteilten Server- oder Transport-Instanzen an falsche HTTP-Clients ausgeliefert werden können.

npm

@modelcontextprotocol/server

Kritisch 08.10.2026

CVE-2026-107722

fast-jwt: Incomplete patch of CVE-2026-34950: Non-whitespace key-prefix re-enables RSA→HS256 algorithm confusion

npm

fast-jwt

Mittel 05.10.2026

CVE-2026-74866

@fastify/busboy vulnerable to CRLF injection via multipart Content-Disposition filename and name

npm

@fastify/busboy

Hoch 02.10.2026

CVE-2026-19481

@fastify/busboy vulnerable to Denial of Service via prototype-named multipart part header

npm

@fastify/busboy

Hoch 02.10.2026

CVE-2026-19484

@fastify/busboy vulnerable to Denial of Service via oversized multipart boundary

npm

@fastify/busboy

Mittel 30.09.2026

CVE-2026-92081

fastify vulnerable to Denial of Service via unhandled exception on HTTP/2 trailer responses

npm

fastify

Hoch 30.09.2026

CVE-2026-84504

fastify vulnerable to request body replacement via an async validation result collision

npm

fastify

Hoch 30.09.2026

CVE-2026-76169

fastify vulnerable to authentication bypass via malformed URLs reaching encapsulated not-found handlers

npm

fastify

Hoch 30.09.2026

CVE-2026-84469

fastify vulnerable to request validation bypass via skipped boolean false schemas

npm

fastify

Hoch 30.09.2026

CVE-2026-84428

fastify vulnerable to header validation bypass via incomplete schema case normalization

npm

fastify

Hoch 30.09.2026

ghsa-9c5c-9qcx-q35q

@nestjs/platform-fastify: Path-scoped middleware bypass via absolute-form request targets

npm

@nestjs/platform-fastify

Mittel 22.09.2026

CVE-2026-58271

@sync-in/server vulnerable to TOTP Brute-Force via `POST /api/app/sync/register`

npm

@sync-in/server

Hoch 09.09.2026

CVE-2026-59179

@openhop/server: Path Traversal in Flow ID File Operations

npm

@openhop/server

Mittel 02.09.2026

CVE-2026-16732

fastify vulnerable to X-Forwarded-* spoofing under trustProxy hop-count

npm

fastify

Mittel 02.09.2026

CVE-2026-18504

fastify vulnerable to schema validation bypass via root primitive coercion mismatch

npm

fastify

Mittel 24.07.2026

CVE-2026-7120

@fastify/static vulnerable to Authorization Bypass via Non-Canonical URL Paths

npm

@fastify/static

Hoch 24.07.2026

CVE-2026-15074

@fastify/static vulnerable to route guard bypass via path traversal

npm

@fastify/static

Hoch 18.06.2026

CVE-2026-55388

piscina: Prototype Pollution Gadget → RCE via inherited options.filename

npm

piscina

Hoch 15.06.2026

CVE-2026-54281

Nest: Middleware Bypass on Fastify via Trailing Slash

npm

@nestjs/platform-fastify

Hoch 15.06.2026

CVE-2026-49982

tmp: Type-confusion bypass of _assertPath allows path traversal via non-string prefix/postfix/template

npm

tmp

Mittel 22.05.2026

CVE-2026-8723

qs has a remotely triggerable DoS: qs.stringify crashes with TypeError on null/undefined entries in comma-format arrays when encodeValuesOnly is set

npm

qs

Hoch 08.05.2026

CVE-2026-7768

@fastify/accepts-serializer Vulnerable to Denial of Service via Unbounded Accept Header Cache Growth

npm

@fastify/accepts-serializer

Mittel 05.05.2026

CVE-2026-42039

Axios: unbounded recursion in toFormData causes DoS via deeply nested request data

npm

axios