Schwachstellen verstehen. Anwendungen schützen.

Kritisch 22.10.2026

ghsa-cg2g-xh64-v4q7

DOMPurify SAFE_FOR_TEMPLATES-Bypass: Aufgeteilte Template-Ausdrücke verbleiben in Inhalten angehängter Shadow-Roots in DOM-Ausgabemodi

Eine Umgehung der Bereinigung von Template-Ausdrücken in DOMPurify erlaubt es aufgeteilten Ausdrücken in Shadow-Roots, die Filterung in DOM-Rückgabemodi zu überstehen. Wertet eine Anwendung die bereinigten Inhalte anschließend aus, kann dies zu Cross-Site-Scripting oder Template-Injection führen.

npm

dompurify

Mittel 22.10.2026

CVE-2026-114133

Nuxt server islands render `useHeadSafe` input without sanitisation

npm

nuxt

Mittel 22.10.2026

CVE-2026-114121

Electron: openExternal permission requests can be attributed to the wrong origin

npm

electron

Niedrig 22.10.2026

CVE-2026-114122

Electron: Frame subscription trusts GPU-supplied frame geometry

npm

electron

Niedrig 22.10.2026

CVE-2026-114124

Electron: Off-screen rendering on macOS trusts GPU-supplied frame geometry

npm

electron

Mittel 22.10.2026

CVE-2026-113798

Electron: Pointer lock permission requests can be attributed to the wrong frame

npm

electron

Niedrig 22.10.2026

CVE-2026-113797

Electron: Extension tabs.query returns tab URLs and titles without the tabs permission

npm

electron

Mittel 22.10.2026

CVE-2026-113796

Electron: SameSite cookie restrictions are not applied to windows opened from links

npm

electron

Mittel 22.10.2026

CVE-2026-114131

Nuxt: Route rules are matched against the raw request path, so a percent-encoded segment can bypass `appMiddleware` on dynamic and catch-all routes

npm

nuxt

Niedrig 22.10.2026

CVE-2026-107832

fastify is vulnerable to header validation bypass via case-sensitive propertyNames

npm

fastify

Mittel 22.10.2026

CVE-2026-114128

Astro: Reflected/Stored XSS via unescaped <script>/<style> tag content in JSX/MDX rendering

npm

astro

Niedrig 22.10.2026

CVE-2026-114127

Astro: Arbitrary CSS injection in Astro View Transitions

npm

astro

Mittel 22.10.2026

CVE-2026-111997

ip-address: Address6 matches a zone identifier in quadratic time ahead of its length limit, allowing a single long string to stall the process

npm

ip-address

Niedrig 22.10.2026

ghsa-c6gr-qvv4-5v3f

DOMPurify: SMIL attributeName=href guard is skipped when PARSER_MEDIA_TYPE is application/xhtml+xml

npm

dompurify

Mittel 22.10.2026

CVE-2026-110871

Nodemailer: Quadratic (O(n^2)) DKIM header unfolding lets a large folded header cause remote denial of service during signing

npm

nodemailer

Mittel 22.10.2026

CVE-2026-114129

stream-json: FlexAssembler string/RegExp path filters join the full key stack per container start, giving O(depth^2) CPU denial of service

npm

stream-json

Mittel 21.10.2026

CVE-2026-112954

ApostropheCMS: Unauthenticated publicApiProjection bypass via search and sort query builders in the public REST API

npm

apostrophe

Mittel 21.10.2026

CVE-2026-113650

ApostropheCMS sanitize-html: unbounded recursion when re-sanitizing the fallback of a discarded iframe (stack overflow, nestingLimit not enforced)

npm

sanitize-html

Mittel 20.10.2026

CVE-2026-112944

launch-editor: Editor CLI flag misinterpretation causing arbitrary command execution for some editors

npm

launch-editor, vite, vite-plus

Mittel 20.10.2026

CVE-2026-113661

ApostropheCMS: Incomplete CVE-2026-53606: `meta http-equiv=refresh` `content` still ships `javascript:` / `data:` URLs

npm

sanitize-html

Niedrig 20.10.2026

CVE-2026-113651

ApostropheCMS: Path traversal in uploadfs

npm

uploadfs

Mittel 20.10.2026

CVE-2026-113655

ApostropheCMS: Same-parent page reorder in @apostrophecms/page move() re-ranks a restricted parent's children without create authorization

npm

apostrophe

Mittel 15.10.2026

CVE-2026-104150

AdonisJS HTTP Server: Uncontrolled Resource Consumption and Inefficient Regular Expression Complexity

npm

@adonisjs/http-server

Mittel 21.10.2026

CVE-2026-112950

Vitest: Windows-Backslash-Traversal umgeht Fix der Redirect-Allowlist in @vitest/mocker

Eine Path-Traversal-Schwachstelle unter Windows ermöglicht es Clients, die Zugriff auf einen Vite-Server haben, die Redirect-Zulassungsliste mithilfe von Backslashes zu umgehen. Dadurch können Dateien außerhalb des Vite-Stammverzeichnisses gelesen werden, auf die der Serverprozess Zugriff hat.

npm

@vitest/mocker