Średnia
CVE-2026-112944
Archiwum podatności
Poznaj podatności. Chroń swoje aplikacje.
Dowiedz się, które luki zagrażają Twoim technologiom i jak je usunąć. Znajdziesz tu opisy zagrożeń, podatne wersje i konkretne zalecenia - od CMS-ów i wtyczek po biblioteki aplikacji.
Archiwum podatności 129
Wyczyść filtry
Średnia
CVE-2026-112950
Vitest: Obejście listy dozwolonych przekierowań w @vitest/mocker poprzez znaki ukośnika odwrotnego w systemie Windows
Luka typu path traversal w systemie Windows pozwala klientom mającym dostęp do serwera Vite obejść listę dozwolonych przekierowań za pomocą ukośników odwrotnych. Umożliwia to odczyt plików spoza katalogu głównego Vite, do których dostęp ma proces serwera.
Średnia
CVE-2026-62197
OpenClaw: Wykrywanie CDP przeglądarki może akceptować zablokowane adresy URL WebSocket
Wykrywanie CDP w OpenClaw może akceptować zablokowane adresy WebSocket, co pozwala wywołującym o niższym zaufaniu łączyć się z celami sieciowymi, które powinny być blokowane przez politykę.
Krytyczna
CVE-2026-114125
Storybook: Brak weryfikacji pochodzenia w Storybook preview umożliwia wstrzyknięcie kodu przez złośliwe witryny
Brak weryfikacji pochodzenia w Storybook preview pozwala złośliwej witrynie na nieautoryzowane modyfikacje plików na uruchomionym serwerze deweloperskim. W określonych warunkach i przy interakcji użytkownika może to doprowadzić do wykonania dowolnego kodu na maszynie programisty.
Niska
CVE-2026-112945
Vite: Wykonywanie skryptów cross-origin poprzez niestandardowe oprogramowanie pośredniczące Vite
Luka w Vite umożliwia wykonywanie skryptów cross-origin, gdy serwer deweloperski przekazuje niezmodyfikowany URL żądania do niestandardowego oprogramowania pośredniczącego. Pozwala to atakującemu na uruchomienie skryptów w kontekście strony serwowanej przez serwer deweloperski.
Średnia
CVE-2026-112947
Vite: Pierwsze 4 bajtów plików spoza ustawienia `server.fs` jest ujawniane przez `?vite-wasm-instance`
Na serwerach deweloperskich Vite działających w środowisku Node.js lub Deno spreparowane żądania mogą ujawnić początkowe bajty plików spoza dozwolonych ścieżek dostępu za pośrednictwem komunikatów o błędach parsera WebAssembly.
Średnia
CVE-2026-112946
Vite: Pliki spoza `server.fs.allow` mogły być serwowane, gdy ścieżki projektu odpowiadają ścieżkom systemowym na maszynach innych niż Windows
W środowisku Vite na systemach innych niż Windows pliki spoza katalogu głównego projektu mogą zostać udostępnione, jeśli importowana ścieżka odpowiada bezwzględnej ścieżce systemowej, a serwer deweloperski jest dostępny w sieci. Aktualizacja do poprawionej wersji rozwiązuje ten problem.
Średnia
CVE-2026-111753
@angular/common: Wyciek tokena XSRF przez rozbieżność w parsowaniu adresów URL w kliencie HTTP Angulara (Niekompletna poprawka dla CVE-2025-66035)
Rozbieżność w parsowaniu adresów URL w kliencie HTTP frameworka Angular może prowadzić do wycieku tokenów XSRF do zewnętrznych domen. Atakujący może wykorzystać przechwycone tokeny do wykonywania nieautoryzowanych operacji w ramach sesji uwierzytelnionego użytkownika.
Wysoka
CVE-2026-112942
launch-editor: obejście sprawdzania istnienia `fs.existsSync()` w systemie Windows
Luka w launch-editor pozwala na ominięcie weryfikacji istnienia pliku w systemie Windows przy użyciu spreparowanej ścieżki. W połączeniu z błędami ucieczki znaków może to umożliwić wstrzyknięcie poleceń systemu operacyjnego, gdy atakujący kontroluje parametr pliku.
Średnia
CVE-2026-112943
launch-editor: escapeCmdArgs() pomija ucieczkę % w systemie Windows
W systemie Windows launch-editor nie przetwarza poprawnie znaków procenta, co przy manipulacji plikami, zmiennymi środowiskowymi lub strumieniami NTFS może prowadzić do wykonania poleceń.
Średnia
CVE-2026-113653
ApostropheCMS: Dostęp publiczny do obiektów @apostrophecms/user poprzez relacje
W ApostropheCMS reguła viewRole nie obejmuje ogółu użytkowników, co może pozwolić na dostęp do obiektów użytkowników poprzez zdefiniowane relacje w nieprawidłowo skonstruowanych szablonach.
Wysoka
CVE-2026-104416
Ghost: Invite Token Disclosure in Ghost Admin API
Wysoka
CVE-2026-106105
Quasar Framework: Development TLS private keys are cached with overly permissive filesystem permissions
Wysoka
CVE-2026-106106
Quasar Framework: SSR/SSG dev error page discloses the full shell environment and its </script> escape is bypassable
Wysoka
CVE-2026-106107
Quasar Framework: App Vite SSR and SSG nonce attributes are not safely constrained
Średnia
CVE-2026-106108
Quasar Framework: App Vite SSG page output paths can escape the configured distribution directory
Średnia
CVE-2026-106109
Quasar Framework: App Vite build cleanup can recursively remove unsafe configured output directories
Wysoka
CVE-2026-106104
Quasar Framework: Super-linear regex backtracking on User-Agent lets one request stall a Quasar SSR server
Krytyczna
CVE-2026-106102
Quasar Framework: Stored/Reflected XSS via unescaped SSR meta tag rendering in getHead()
Krytyczna
CVE-2026-102829
simple-git: `VISUAL` editor environment variable is omitted from unsafe editor detection
Krytyczna
CVE-2026-104848
Tinypool: Prototype Pollution gadget in worker options leads to Remote Code Execution
Wysoka
CVE-2026-114081
Trigger.dev: Cross-tenant SQL injection in the TSQL query compiler (POST /api/v1/query) via unsanitized window-function name
Wysoka
ghsa-456v-xq2p-r4cj
code-ollama: `grep_search` Command Injection via Unescaped `$()` Shell Substitution (CWE-78)
Średnia
CVE-2026-84992
md-editor-v3: XSS via fenced-code language rendering bypass
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.