Poznaj podatności. Chroń swoje aplikacje.

Średnia 15.10.2026

CVE-2026-102682

Pipecat: Publiczne wystawienie runnera deweloperskiego może umożliwić nieuwierzytelnione tworzenie sesji botów

Wystawienie deweloperskiego runnera Pipecat na działanie niezaufanych sieci pozwala nieuwierzytelnionym użytkownikom na tworzenie sesji botów i płatnych pokojów Daily. Może to prowadzić do wyczerpania zasobów lokalnych oraz limitów usług zewnętrznych.

Python (PyPI)

pipecat-ai

Niska 16.10.2026

CVE-2026-68549

Przejście przez katalogi w argumencie „revision -m” w ClickMigrate

Luka typu path traversal w ClickMigrate pozwala osobie atakującej z kontrolą nad nazwą migracji na utworzenie pliku w dowolnej lokalizacji z prawem do zapisu poza docelowym katalogiem.

Python (PyPI)

clickmigrate

Średnia 15.10.2026

CVE-2026-104266

tinytag: Nieskończona pętla podczas parsowania niektórych plików M4A zawierających nieprawidłowe atomy

Podatność na odmowę usługi w tinytag pozwala na wywołanie nieskończonej pętli podczas analizowania nieprawidłowych plików M4A zawierających podatom o zerowym rozmiarze.

Python (PyPI)

tinytag

Niska 14.10.2026

CVE-2026-59180

Apprise przekazuje skonfigurowane nagłówki uwierzytelniania przez przekierowania HTTP cross-origin

Wtyczki i moduły pobierania HTTP w Apprise domyślnie podążają za przekierowaniami, przesyłając skonfigurowane nagłówki uwierzytelniania. W przypadku przejęcia celu lub ataku man-in-the-middle poufne dane uwierzytelniające mogą zostać ujawnione zewnętrznemu hostowi.

Python (PyPI)

apprise

Średnia 09.10.2026

CVE-2026-108258

Shiny for Python podatne na path traversal podczas przywracania zakładek

Luka typu path traversal w Shiny for Python pozwala nieuwierzytelnionym atakującym badać istnienie i poprawność plików JSON podczas przywracania zakładek lub odczytywać dowolne pliki, jeśli skonfigurowano zakładki po stronie serwera i pola wyboru plików.

Python (PyPI)

shiny

Średnia 09.10.2026

CVE-2026-107841

pacioli: Znacznik zgody na zatwierdzenie zezwalał na anulowanie istniejących dokumentów wskazanych przez wywołującego

Błąd autoryzacji w mechanizmie kontroli zgód pacioli pozwala zagnieżdżonym operacjom anulować wskazane przez wywołującego istniejące dokumenty bez wymaganych znaczników zgody lub wpisów audytowych.

Python (PyPI)

pacioli-guard

Wysoka 09.10.2026

ghsa-889w-m37p-88m5

pyLoad: Api.set_user_permission never invalidates the target's session

Python (PyPI)

pyload-ng

Wysoka 08.10.2026

CVE-2026-61442

PraisonAI: Platform member PATCH routes allow owner resource rewrites and project lead reassignment delete bypass

Python (PyPI)

praisonai-platform

Wysoka 08.10.2026

CVE-2026-61434

PraisonAI: Shell command allowlist bypass via find -exec built-in action

Python (PyPI)

praisonai

Średnia 08.10.2026

CVE-2026-61440

PraisonAI: Platform members can rewrite shared labels and owner issue labels without owner/admin authorization

Python (PyPI)

praisonai-platform

Wysoka 08.10.2026

CVE-2026-61433

PraisonAI: API deploy code generator embeds unescaped YAML fields into Python source

Python (PyPI)

praisonai

Średnia 08.10.2026

CVE-2026-60088

PraisonAI: Project custom command templates can read outside-workspace files into model prompts

Python (PyPI)

praisonai

Średnia 08.10.2026

CVE-2026-60090

PraisonAI: PGVector and Cassandra knowledge stores interpolate vector dimensions into DDL

Python (PyPI)

praisonai

Średnia 08.10.2026

CVE-2026-107290

Pydantic AI: Event loop blocked by quadratic title extraction in `web_fetch`

Python (PyPI)

pydantic-ai, pydantic-ai-slim

Krytyczna 07.10.2026

CVE-2026-105697

Langflow: OS command injection (RCE) via arbitrary command in MCP stdio server configuration

Python (PyPI)

langflow, langflow-base, lfx

Wysoka 07.10.2026

CVE-2026-106443

WeasyPrint: EPS images reach the Ghostscript interpreter resulting in RCE

Python (PyPI)

weasyprint

Krytyczna 07.10.2026

CVE-2026-61444

PraisonAI: Code Injection via f-string Interpolation in Deploy API Server Generation

Python (PyPI)

praisonai

Średnia 07.10.2026

CVE-2026-61441

PraisonAI: Platform members can delete owner issue dependencies through member-owned related issues

Python (PyPI)

praisonai-platform

Wysoka 07.10.2026

CVE-2026-61436

PraisonAI: AgentMail webhook mode accepts forged unsigned message.received events and invokes agents

Python (PyPI)

praisonai

Wysoka 07.10.2026

CVE-2026-46434

wger: Trainer Privilege Escalation - Improper Privilege Management

Python (PyPI)

wger

Średnia 07.10.2026

CVE-2026-45161

wger: trainer_login accepts GET - CSRF bypass enables forced session rebinding

Python (PyPI)

wger

Wysoka 07.10.2026

CVE-2026-43976

wger: cross-tenant admin notes/contracts leak via gym=None bypass (5 views)

Python (PyPI)

wger

Krytyczna 06.10.2026

CVE-2026-10561

Langflow: PythonREPLComponent executes unsandboxed Python code, enabling authenticated RCE and privilege escalation

Python (PyPI)

langflow

Wysoka 05.10.2026

CVE-2026-96748

PyMongo: PYTHON-5986 Host injection in PyMongo connection string parsing via percent-encoded delimiters

Python (PyPI)

pymongo