Średnia
CVE-2026-62322
Archiwum podatności
Poznaj podatności. Chroń swoje aplikacje.
Dowiedz się, które luki zagrażają Twoim technologiom i jak je usunąć. Znajdziesz tu opisy zagrożeń, podatne wersje i konkretne zalecenia - od CMS-ów i wtyczek po biblioteki aplikacji.
Archiwum podatności 4 334
Wyczyść filtry
Średnia
CVE-2026-112891
Pillow: Kwadratowe kopiowanie komentarzy GIF podczas zapisywania
Luka w bibliotece Pillow powoduje wielokrotne kopiowanie długich komentarzy podczas zapisywania plików GIF. Może to prowadzić do nadmiernego zużycia procesora i odmowy usługi przy przetwarzaniu niezaufanych obrazów.
Średnia
CVE-2026-112394
Pillow: Dekodery P;2L i P;4L mogą odczytać od 1 do 3 bajtów poza przekazanym rozmiarem bufora
Luka typu out-of-bounds read w bibliotece Pillow pozwala wybranym dekoderom odczytać dane z pamięci sterty poza buforem podczas przetwarzania obrazów o określonych wymiarach. Może to prowadzić do ujawnienia zawartości pamięci w zdekodowanych pikselach lub awarii aplikacji.
Wysoka
CVE-2026-112392
Pillow: Dereferencja wskaźnika NULL w ImagingExpand poprzez filtry rangowe na obrazach o zerowym rozmiarze
Zastosowanie w Pillow filtrów rangowych, medianowych, minimalnych lub maksymalnych do obrazów o zerowej szerokości lub wysokości wywołuje dereferencję wskaźnika NULL, powodując awarię procesu Pythona i odmowę usługi.
Wysoka
CVE-2026-112390
Pillow: Nieskończona pętla w MIC n_frames przy osadzonym TIFF
Luka w bibliotece Pillow pozwala spreparowanym plikom Microsoft Image Composer (MIC) z osadzonymi strumieniami TIFF wywołać nieskończoną pętlę i pełne obciążenie procesora podczas sprawdzania liczby klatek, co prowadzi do odmowy usługi.
Wysoka
CVE-2026-112405
Pillow: Dereferencja wskaźnika NULL w Image.merge z powodu niesprawdzonego pasma 0
Luka związana z dereferencją wskaźnika NULL w bibliotece Pillow pozwala zdalnym atakującym na wywołanie odmowy usługi (awarii procesu) za pomocą odpowiednio spreparowanych plików graficznych przetwarzanych przez wtyczkę IPTC.
Wysoka
CVE-2026-112893
Pillow: Nieprawidłowe zwolnienie pamięci podczas renderowania glifów FreeType przy aktywnym obrysie
W bibliotece Pillow renderowanie tekstu z obrysem przy użyciu niezaufanych czcionek we FreeType może wywołać nieprawidłowe lub podwójne zwolnienie pamięci, prowadząc do awarii.
Krytyczna
CVE-2026-112900
Pillow: Wstrzykiwanie argumentów przy wywołaniu Ghostscript, potencjalnie prowadzące do RCE
Brak sanityzacji nazw plików przekazywanych do narzędzia Ghostscript w bibliotece Pillow pozwala na wstrzyknięcie argumentów wiersza poleceń, co może prowadzić do zdalnego wykonania kodu.
Wysoka
CVE-2026-113732
virtualenv activate.fish wykonuje polecenia ze ścieżki lub promptu z ukośnikiem odwrotnym przed cudzysłowem
Błąd w skrypcie activate.fish w virtualenv pozwala na wykonanie poleceń, jeśli ścieżka środowiska lub prompt zawiera ukośnik odwrotny przed cudzysłowem. Problem rozwiązano w wersji 21.14.2.
Wysoka
CVE-2026-113776
Skrypty aktywacyjne virtualenv wykonują kod ze ścieżki zawierającej nazwę symbolu zastępczego
Luka w skryptach aktywacyjnych virtualenv umożliwia wykonanie dowolnego kodu, jeśli ścieżka lub prompt środowiska zawierają nazwy symboli zastępczych. Aktywacja spreparowanego środowiska może doprowadzić do uruchomienia niepożądanych poleceń.
Krytyczna
CVE-2026-112403
Pillow: Przepełnienie bufora na stercie w ImagingJpegDecode
Luka przepełnienia bufora na stercie w Pillow pozwala atakującym na zapis poza zakresem podczas dekodowania spreparowanych bezstratnych obrazów JPEG przy użyciu skalowania draft. Problem występuje, gdy libjpeg-turbo ignoruje żądanie skalowania, powodując uszkodzenie pamięci lub błąd.
Wysoka
CVE-2026-112895
Pillow: Nieograniczona rekursja podczas parsowania drzewa stron lub łańcucha trailer w PDF (niekompletna poprawka dla CVE-2026-42310)
Nieograniczona rekursja w Pillow podczas parsowania drzew stron lub łańcuchów trailer w plikach PDF może prowadzić do odmowy usługi oraz wyczerpania zasobów CPU i pamięci.
Wysoka
CVE-2026-112400
Pillow: przewijanie GIF zachowuje odrzucony rozmiar po DecompressionBombError, umożliwiając DoS
Błąd w bibliotece Pillow pozwala, aby spreparowany plik GIF wywołał nadmierną alokację pamięci, gdy aplikacja przechwytuje błąd dekompresji podczas przewijania klatek i używa ponownie obiektu obrazu. Może to prowadzić do wyczerpania pamięci i odmowy usługi.
Wysoka
CVE-2026-112397
Pillow: Dostęp poza granicami bufora w _imagingmorph przy obrazie o zerowej szerokości
W bibliotece Pillow występuje luka umożliwiająca zapis poza granicami bufora podczas operacji morfologicznych na obrazach o zerowej szerokości. Przetworzenie złośliwie spreparowanego pliku PPM lub PGM może wywołać awarię aplikacji i potencjalne uszkodzenie pamięci.
Średnia
CVE-2026-112395
Dekoder kafelkowanych obrazów TIFF w Pillow odczytuje dane poza buforem kafelka w copy4 (Unpack.c:1290)
Błąd odczytu poza granicami bufora w dekoderze kafelkowanych plików TIFF w bibliotece Pillow może doprowadzić do awarii procesu lub ujawnienia sąsiadującej pamięci sterty w buforze pikseli.
Średnia
CVE-2026-111065
aiohttp: Wyczerpanie puli połączeń z powodu przepełnienia Max-Age
Błąd przepełnienia podczas przetwarzania wartości Max-Age w aiohttp może pominąć zamykanie połączeń, umożliwiając atakującemu tymczasowe wyczerpanie puli połączeń do czasu zadziałania mechanizmu odśmiecania pamięci.
Średnia
CVE-2026-111748
AIOHTTP: Żądania w formie bezwzględnej mogą podszywać się pod Request.scheme
W bibliotece AIOHTTP żądania w formie bezwzględnej mogą pozwolić na sfałszowanie schematu protokołu. Jeśli aplikacja opiera na nim mechanizmy bezpieczeństwa, atakujący może sprawić, że nieszyfrowane połączenie zostanie uznane za szyfrowane lub odwrotnie.
Niska
CVE-2026-111749
AIOHTTP: Plik cookie z subdomeny może usunąć flagę Host-Only z istniejących ciasteczek
Luka w bibliotece aiohttp pozwala subdomenie na usunięcie flagi Host-Only z istniejących plików cookie domeny nadrzędnej, co może osłabić mechanizmy ograniczania zasięgu ciasteczek.
Średnia
CVE-2026-111750
aiohttp: Przemyt żądań HTTP w parserze pure-Python
Parser pure-Python w aiohttp jest podatny na przemyt żądań HTTP w środowiskach bez standardowych rozszerzeń w języku C. Problem można rozwiązać poprzez aktualizację aiohttp lub zmianę parsera na domyślny parser C.
Wysoka
CVE-2026-111066
AIOHTTP: Wyczerpanie deskryptorów plików w żądaniach multipart
Luka w bibliotece AIOHTTP pozwala atakującym wyczerpać deskryptory plików przy użyciu specjalnie spreparowanych żądań multipart, co może doprowadzić do wyczerpania zasobów.
Krytyczna
ghsa-hq85-5cpj-mr62
Dołączony do uv magazyn CA ufa certyfikatowi głównemu emSign, którego klucze pośrednich CA zostały skompromitowane
Domyślny magazyn zaufanych certyfikatów w podatnych wersjach uv ufa certyfikatowi głównemu ze skompromitowanymi kluczami pośrednimi. Atakujący posiadający te klucze może wystawiać fałszywe certyfikaty dla dowolnych domen, co umożliwia ataki man-in-the-middle na połączenia TLS.
Krytyczna
ghsa-6q48-6c7w-9gw2
certifi zawiera główne urzędy certyfikacji emSign ze skompromitowanymi kluczami pośrednich CA
Pakiety certifi zawierały certyfikat główny ze skompromitowanymi kluczami pośrednich urzędów CA. Atakujący na ścieżce sieciowej może wystawiać fałszywe certyfikaty oraz przechwytywać lub modyfikować ruch TLS klientów.
Średnia
CVE-2026-102832
JupyterLab: Monit zaufania łącza polecenia może oznaczyć jako zaufany inny dokument niż kliknięty
W JupyterLab monit zaufania dla łącza polecenia może oznaczyć jako zaufany bieżący dokument zamiast klikniętego. Umożliwia to późniejsze wykonywanie poleceń w niezaufanym dokumencie bez potwierdzenia ze strony użytkownika.
Wysoka
CVE-2026-111064
Serwer aiohttp nie posiada początkowego limitu czasu na żądanie lub nagłówki
Luka w aiohttp pozwala atakującemu na utrzymywanie bezczynnego połączenia w nieskończoność przed wysłaniem danych, ponieważ limit czasu keepalive nie był egzekwowany w początkowej fazie żądania.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.