Średnia
CVE-2026-114128
Archiwum podatności
Poznaj podatności. Chroń swoje aplikacje.
Dowiedz się, które luki zagrażają Twoim technologiom i jak je usunąć. Znajdziesz tu opisy zagrożeń, podatne wersje i konkretne zalecenia - od CMS-ów i wtyczek po biblioteki aplikacji.
Archiwum podatności 241
Wyczyść filtry
Niska
ghsa-c6gr-qvv4-5v3f
DOMPurify: SMIL attributeName=href guard is skipped when PARSER_MEDIA_TYPE is application/xhtml+xml
Średnia
CVE-2026-110871
Nodemailer: Quadratic (O(n^2)) DKIM header unfolding lets a large folded header cause remote denial of service during signing
Średnia
CVE-2026-114129
stream-json: FlexAssembler string/RegExp path filters join the full key stack per container start, giving O(depth^2) CPU denial of service
Średnia
CVE-2026-112954
ApostropheCMS: Unauthenticated publicApiProjection bypass via search and sort query builders in the public REST API
Średnia
CVE-2026-112957
ApostropheCMS: GET /api/v1/@apostrophecms/page/:id omija ograniczenie viewRole i ujawnia pola chronione przez viewPermission użytkownikom o niższych uprawnieniach
W ApostropheCMS przed wersją 4.34.0 punkt końcowy REST pomija ograniczenia stron i pól, co pozwala użytkownikom z uprawnieniami edytora na odczyt poufnych danych po poznaniu identyfikatora dokumentu.
Średnia
CVE-2026-110904
ApostropheCMS: Pominięcie autoryzacji w API REST stron
Luka w mechanizmie autoryzacji w API stron ApostropheCMS umożliwia nieuwierzytelnionym użytkownikom oraz osobom o niskich uprawnieniach odczyt zastrzeżonych treści stron oraz metadanych witryny.
Średnia
CVE-2026-113664
ApostropheCMS import-export tar guard misses './..' because it is a literal '../' substring test
Weryfikacja podciągu podczas wypakowywania plików tar w ApostropheCMS import-export nie blokuje relatywnych ścieżek, co pozwala zalogowanym użytkownikom zatrzymać proces Node.
Wysoka
CVE-2026-113666
ApostropheCMS: Usuwanie składowych prototypu przez wykluczenie w projekcji w @apostrophecms/db-connect powoduje odmowę usługi dla całego procesu
W ApostropheCMS uwierzytelniony użytkownik korzystający z adaptera SQLite lub PostgreSQL może usunąć metody z prototypu za pomocą projekcji wykluczających, wywołując trwałą odmowę usługi w całym procesie Node.
Wysoka
CVE-2026-108259
Tina: Wstrzyknięcie kodu przez niesanitaryzowaną nazwę gałęzi Git w wygenerowanym kodzie klienta
Luka w TinaCMS CLI umożliwia wykonanie dowolnego kodu JavaScript podczas budowania projektu z powodu braku ucieczki znaków w nazwie gałęzi Git wstawianej do generowanego kodu klienta.
Wysoka
CVE-2026-61426
PraisonAI: AgentOS defaults to network-exposed no-auth mode, allowing unauthenticated agent invocation and instruction disclosure
Średnia
CVE-2026-107391
music-metadata: MP4 stsd sample-entry size==0 causes a synchronous infinite loop (DoS) — unreleased regression on master
Wysoka
CVE-2026-107375
JHipster: SQL Injection in the Parameter of JHipster-Generated Reactive (WebFlux + R2DBC) Applicationssort
Wysoka
CVE-2026-86540
knowns OS Command Injection via Insecure LSP Binary Path Config in .knowns/config.json
Wysoka
CVE-2026-104859
@nx/docker: OS command injection in the @nx/docker release pipeline
Średnia
CVE-2026-104872
Multiple @opentelemetry/instrumentation-* packages expose database username via unconditional db.user span attribute
Krytyczna
CVE-2026-104848
Tinypool: Prototype Pollution gadget in worker options leads to Remote Code Execution
Średnia
CVE-2026-104182
stream-json: JSONC parser and verifier re-scan the whole accumulated comment on every input chunk
Średnia
CVE-2026-104183
stream-json has a prototype pollution issue: Assembler writes this.current[this.key] on plain objects
Krytyczna
CVE-2026-92955
vm2: Sandbox Escape (NodeVM)
Wysoka
CVE-2026-104861
probe-image-size: Quadratic-time Denial of Service in the SVG Parser
Wysoka
CVE-2026-19481
@fastify/busboy vulnerable to Denial of Service via prototype-named multipart part header
Wysoka
CVE-2026-101906
Axios: ReDoS (O(N²)) in shouldBypassProxy host normalization, reachable via untrusted redirect Location
Średnia
ghsa-96h4-vgxj-gvm2
Nest: Unbounded memory growth in the NestJS TCP microservice transport
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.