Poznaj podatności. Chroń swoje aplikacje.

Wysoka 21.10.2026

CVE-2026-113722

virtualenv: Generowane skrypty startowe konsoli POSIX interpretują ścieżki docelowe jako składnię powłoki

Luka w virtualenv sprawia, że ścieżka docelowa środowiska może zostać zinterpretowana jako składnia powłoki przez generowane skrypty startowe POSIX. Jeśli atakujący wpłynie na ścieżkę docelową, uruchomienie skryptu może doprowadzić do wykonania poleceń z uprawnieniami wywołującego użytkownika.

Python (PyPI)

virtualenv

Średnia 22.10.2026

CVE-2026-114603

OpenTelemetry Python: Unbounded tracestate parsing in opentelemetry-api

Python (PyPI)

opentelemetry-api

Średnia 21.10.2026

CVE-2026-113724

virtualenv: Deletion recovery can change a symlink target's mode

Python (PyPI)

virtualenv

Średnia 21.10.2026

CVE-2026-113716

virtualenv: Builtin creation follows linked environment directories

Python (PyPI)

virtualenv

Średnia 15.10.2026

CVE-2026-104250

unstructured: Stored XSS via unescaped HTML generation

Python (PyPI)

unstructured

Średnia 21.10.2026

CVE-2026-112394

Pillow: Dekodery P;2L i P;4L mogą odczytać od 1 do 3 bajtów poza przekazanym rozmiarem bufora

Luka typu out-of-bounds read w bibliotece Pillow pozwala wybranym dekoderom odczytać dane z pamięci sterty poza buforem podczas przetwarzania obrazów o określonych wymiarach. Może to prowadzić do ujawnienia zawartości pamięci w zdekodowanych pikselach lub awarii aplikacji.

Python (PyPI)

pillow

Wysoka 21.10.2026

CVE-2026-112392

Pillow: Dereferencja wskaźnika NULL w ImagingExpand poprzez filtry rangowe na obrazach o zerowym rozmiarze

Zastosowanie w Pillow filtrów rangowych, medianowych, minimalnych lub maksymalnych do obrazów o zerowej szerokości lub wysokości wywołuje dereferencję wskaźnika NULL, powodując awarię procesu Pythona i odmowę usługi.

Python (PyPI)

pillow

Krytyczna 21.10.2026

CVE-2026-112900

Pillow: Wstrzykiwanie argumentów przy wywołaniu Ghostscript, potencjalnie prowadzące do RCE

Brak sanityzacji nazw plików przekazywanych do narzędzia Ghostscript w bibliotece Pillow pozwala na wstrzyknięcie argumentów wiersza poleceń, co może prowadzić do zdalnego wykonania kodu.

Python (PyPI)

pillow

Krytyczna 20.10.2026

CVE-2026-112403

Pillow: Przepełnienie bufora na stercie w ImagingJpegDecode

Luka przepełnienia bufora na stercie w Pillow pozwala atakującym na zapis poza zakresem podczas dekodowania spreparowanych bezstratnych obrazów JPEG przy użyciu skalowania draft. Problem występuje, gdy libjpeg-turbo ignoruje żądanie skalowania, powodując uszkodzenie pamięci lub błąd.

Python (PyPI)

pillow

Wysoka 20.10.2026

CVE-2026-112895

Pillow: Nieograniczona rekursja podczas parsowania drzewa stron lub łańcucha trailer w PDF (niekompletna poprawka dla CVE-2026-42310)

Nieograniczona rekursja w Pillow podczas parsowania drzew stron lub łańcuchów trailer w plikach PDF może prowadzić do odmowy usługi oraz wyczerpania zasobów CPU i pamięci.

Python (PyPI)

pillow

Krytyczna 20.10.2026

ghsa-6q48-6c7w-9gw2

certifi zawiera główne urzędy certyfikacji emSign ze skompromitowanymi kluczami pośrednich CA

Pakiety certifi zawierały certyfikat główny ze skompromitowanymi kluczami pośrednich urzędów CA. Atakujący na ścieżce sieciowej może wystawiać fałszywe certyfikaty oraz przechwytywać lub modyfikować ruch TLS klientów.

Python (PyPI)

certifi

Średnia 15.10.2026

CVE-2026-102682

Pipecat: Publiczne wystawienie runnera deweloperskiego może umożliwić nieuwierzytelnione tworzenie sesji botów

Wystawienie deweloperskiego runnera Pipecat na działanie niezaufanych sieci pozwala nieuwierzytelnionym użytkownikom na tworzenie sesji botów i płatnych pokojów Daily. Może to prowadzić do wyczerpania zasobów lokalnych oraz limitów usług zewnętrznych.

Python (PyPI)

pipecat-ai

Niska 16.10.2026

CVE-2026-68549

Przejście przez katalogi w argumencie „revision -m” w ClickMigrate

Luka typu path traversal w ClickMigrate pozwala osobie atakującej z kontrolą nad nazwą migracji na utworzenie pliku w dowolnej lokalizacji z prawem do zapisu poza docelowym katalogiem.

Python (PyPI)

clickmigrate

Niska 14.10.2026

CVE-2026-59180

Apprise przekazuje skonfigurowane nagłówki uwierzytelniania przez przekierowania HTTP cross-origin

Wtyczki i moduły pobierania HTTP w Apprise domyślnie podążają za przekierowaniami, przesyłając skonfigurowane nagłówki uwierzytelniania. W przypadku przejęcia celu lub ataku man-in-the-middle poufne dane uwierzytelniające mogą zostać ujawnione zewnętrznemu hostowi.

Python (PyPI)

apprise

Średnia 09.10.2026

CVE-2026-108258

Shiny for Python podatne na path traversal podczas przywracania zakładek

Luka typu path traversal w Shiny for Python pozwala nieuwierzytelnionym atakującym badać istnienie i poprawność plików JSON podczas przywracania zakładek lub odczytywać dowolne pliki, jeśli skonfigurowano zakładki po stronie serwera i pola wyboru plików.

Python (PyPI)

shiny

Wysoka 09.10.2026

ghsa-889w-m37p-88m5

pyLoad: Api.set_user_permission never invalidates the target's session

Python (PyPI)

pyload-ng

Średnia 09.10.2026

ghsa-p3pr-8f3m-4qp8

pyLoad WindowsPhoneNotify addon: non-admin SETTINGS user triggers SSRF via unguarded http.client notification host

Python (PyPI)

pyload-ng

Wysoka 09.10.2026

ghsa-fr26-jjhm-638c

pyLoad: Tar extraction creates device nodes and FIFOs (member types not filtered; tarfile extractall without filter=)

Python (PyPI)

pyload-ng

Niska 09.10.2026

CVE-2026-107727

Strawberry legacy graphql-ws retains naturally completed subscription slots

Python (PyPI)

strawberry-graphql

Krytyczna 08.10.2026

CVE-2026-61445

PraisonAI: AICoder Arbitrary File Write and Command Execution via LLM Tool Calls

Python (PyPI)

praisonai

Wysoka 08.10.2026

CVE-2026-107377

datamodel-code-generator: Protobuf weak-import path traversal allows files to be written outside the temporary directory

Python (PyPI)

datamodel-code-generator

Średnia 08.10.2026

CVE-2026-60088

PraisonAI: Project custom command templates can read outside-workspace files into model prompts

Python (PyPI)

praisonai

Niska 08.10.2026

CVE-2026-107293

Pydantic AI OpenTelemetry instrumentation: retry prompt content is not redacted when `include_content=False`

Python (PyPI)

pydantic-ai, pydantic-ai-slim

Niska 08.10.2026

CVE-2026-107291

Pydantic AI OpenTelemetry instrumentation: exception events on tool and agent run spans include content when `include_content=False`

Python (PyPI)

pydantic-ai, pydantic-ai-slim