Średnia
CVE-2026-77362
Archiwum podatności
Poznaj podatności. Chroń swoje aplikacje.
Dowiedz się, które luki zagrażają Twoim technologiom i jak je usunąć. Znajdziesz tu opisy zagrożeń, podatne wersje i konkretne zalecenia - od CMS-ów i wtyczek po biblioteki aplikacji.
Archiwum podatności 425
Wyczyść filtry
Krytyczna
ghsa-673q-mjm6-r5xr
Next.js: Zdalne wykonywanie kodu bez uwierzytelnienia w funkcjach `use cache` zwracających tablice typowane
Krytyczna luka w aplikacjach Next.js korzystających z App Router z komponentem Cache Component umożliwia nieuwierzytelnione zdalne wykonanie kodu, gdy funkcje zwracają wiele tablic typowanych. Zalecana jest natychmiastowa aktualizacja do wersji 16.4.1 lub nowszej.
Niska
CVE-2026-114127
Astro: Arbitrary CSS injection in Astro View Transitions
Średnia
CVE-2026-110871
Nodemailer: Quadratic (O(n^2)) DKIM header unfolding lets a large folded header cause remote denial of service during signing
Średnia
CVE-2026-114129
stream-json: FlexAssembler string/RegExp path filters join the full key stack per container start, giving O(depth^2) CPU denial of service
Wysoka
CVE-2026-111758
markdown-it: Kwadratowy czas renderowania pojedynczej wielowierszowej definicji odnośnika przy domyślnych opcjach (regresja od 14.0)
Luka typu denial of service w bibliotece markdown-it pozwala zdalnym atakującym zablokować pętlę zdarzeń Node.js za pomocą spreparowanych wielowierszowych definicji odnośników. Niezamknięte definicje powodują kwadratowy czas przetwarzania przy domyślnych ustawieniach.
Wysoka
CVE-2026-111768
MCP TypeScript SDK: Pojedyncze żądanie HTTP w domyślnym limicie rozmiaru mogło wyczerpać pamięć serwera podczas walidacji
W podatnych wersjach MCP TypeScript SDK pojedyncze żądanie HTTP mieszczące się w domyślnym limicie rozmiaru może wyczerpać pamięć serwera podczas walidacji, doprowadzając do odmowy usługi i awarii procesu.
Średnia
CVE-2026-113659
ApostropheCMS: Client-side Prototype Pollution w apos.http.parseQuery prowadzące do DOM-based XSS przeciwko uwierzytelnionym użytkownikom
Podatność typu client-side prototype pollution w ApostropheCMS umożliwia wykonanie dowolnego kodu JavaScript w sesji uwierzytelnionego użytkownika, jeśli ofiara otworzy spreparowany odnośnik. Może to prowadzić do przejęcia konta oraz pełnego skompromitowania instancji CMS.
Średnia
CVE-2026-113660
ApostropheCMS: Pominięcie autoryzacji na poziomie obiektu w exist-in-locale ujawnia identyfikatory zastrzeżonych wersji roboczych
W ApostropheCMS przed wersją 4.33.0 interfejs API exist-in-locale umożliwia uwierzytelnionym użytkownikom sprawdzanie istnienia zastrzeżonych dokumentów i wersji roboczych oraz pobieranie ich identyfikatorów bez odpowiedniej autoryzacji na poziomie obiektu.
Niska
CVE-2026-113657
ApostropheCMS sanitize-html: Pominięcie prefiksu przestrzeni nazw animacji SMIL umożliwia wstrzyknięcie URI javascript: (XSS)
Błąd pomijania prefiksu przestrzeni nazw w sanitize-html pozwala elementom animacji SVG SMIL obejść filtrowanie adresów URL, co może umożliwić atak cross-site scripting, jeśli dozwolone są tagi SVG.
Wysoka
CVE-2026-113666
ApostropheCMS: Usuwanie składowych prototypu przez wykluczenie w projekcji w @apostrophecms/db-connect powoduje odmowę usługi dla całego procesu
W ApostropheCMS uwierzytelniony użytkownik korzystający z adaptera SQLite lub PostgreSQL może usunąć metody z prototypu za pomocą projekcji wykluczających, wywołując trwałą odmowę usługi w całym procesie Node.
Średnia
CVE-2026-113654
ApostropheCMS sanitize-html: obszar odrzucania nonTextTags kończy się przedwcześnie przy domyślnym zamknięciu, zezwalając na renderowanie zawartości <noscript>
W pakiecie sanitize-html przed wersją 2.18.0 domyślne zamknięcie wewnątrz elementów takich jak <noscript> powoduje przedwczesne zakończenie obszaru odrzucania i nieoczekiwane renderowanie zawartości jako kodu HTML.
Wysoka
CVE-2026-111752
@angular/router: Odmowa usługi poprzez niedopasowane dopasowywanie tras outletów o pustej ścieżce w renderowaniu po stronie serwera (SSR)
Luka typu odmowa usługi w Angular Router dotyczy renderowania po stronie serwera (SSR) w Node.js. Nieuwierzytelnieni atakujący mogą przesyłać spreparowane adresy URL z pustymi segmentami outletów, co doprowadza do wyczerpania pamięci lub zasobów procesora i awarii procesu roboczego.
Wysoka
CVE-2026-107723
fast-jwt : Silent claim-validator bypass when JWT payload is a JSON array
Średnia
CVE-2026-107391
music-metadata: MP4 stsd sample-entry size==0 causes a synchronous infinite loop (DoS) — unreleased regression on master
Średnia
CVE-2026-107387
music-metadata: Uncontrolled memory allocation in APEv2 parser
Średnia
CVE-2026-107388
music-metadata: ID3v2 tag size not validated before allocation, causing memory exhaustion DoS
Średnia
CVE-2026-107389
music-metadata: EBML parser trusts element lengths, allowing memory exhaustion or process abort
Wysoka
CVE-2026-107383
MariaDB Connector/Node.js exposes uninitialized process memory through malformed GeoJSON parameters
Krytyczna
CVE-2026-106445
Handlebars: JavaScript Injection via Own Property Check Bypass
Wysoka
CVE-2026-107375
JHipster: SQL Injection in the Parameter of JHipster-Generated Reactive (WebFlux + R2DBC) Applicationssort
Wysoka
CVE-2026-107303
JHipster: Generated Applications Allow Stored XSS via Unrestricted Blob ContentType Opened as Same-Origin Blob
Średnia
CVE-2026-107298
msgpack5: Deeply nested input can exhaust the decoder stack
Wysoka
CVE-2026-105860
Payload has a tenant authorization bypass in Multi-Tenant Plugin
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.