Archiwum podatności

Poznaj podatności. Chroń swoje aplikacje.

Dowiedz się, które luki zagrażają Twoim technologiom i jak je usunąć. Znajdziesz tu opisy zagrożeń, podatne wersje i konkretne zalecenia - od CMS-ów i wtyczek po biblioteki aplikacji.

Platforma

Istotność

Ujawniono od

Ujawniono do

Archiwum podatności 1 629

Wyczyść filtry

Średnia 20.10.2026

CVE-2026-113668

ApostropheCMS: trasa REST :_id/locales pomija weryfikację autoryzacji publicznego API wymuszaną przez siostrzane trasy odczytu (ujawnienie istnienia dokumentu i metadanych wersji językowych)

Luka w autoryzacji w ApostropheCMS pozwala nieuwierzytelnionym użytkownikom znającym identyfikator dokumentu potwierdzić jego istnienie i uzyskać metadane wersji językowych.

Wysoka 20.10.2026

CVE-2026-113658

ApostropheCMS: Nieuwierzytelnione żądania importu CSV pozostawiają odrzucone pliki w systemowym katalogu tymczasowym

Nieuwierzytelnione żądania importu CSV w ApostropheCMS pozostawiają odrzucone pliki w katalogu tymczasowym systemu. Osoba atakująca może wysyłać wielokrotne żądania z dużymi plikami, co prowadzi do wyczerpania przestrzeni dyskowej i odmowy usługi.

Średnia 20.10.2026

CVE-2026-113667

ApostropheCMS: token odpowiedzi CAPTCHA nie jest kodowany w formacie URL

W pakietach ApostropheCMS tokeny odpowiedzi CAPTCHA są umieszczane w żądaniach weryfikacji bez kodowania URL. Umożliwia to wstrzyknięcie parametrów, powodując błędy weryfikacji i odmowę usługi w formularzach oraz logowaniu.

Wysoka 20.10.2026

CVE-2026-113666

ApostropheCMS: Usuwanie składowych prototypu przez wykluczenie w projekcji w @apostrophecms/db-connect powoduje odmowę usługi dla całego procesu

W ApostropheCMS uwierzytelniony użytkownik korzystający z adaptera SQLite lub PostgreSQL może usunąć metody z prototypu za pomocą projekcji wykluczających, wywołując trwałą odmowę usługi w całym procesie Node.

Średnia 20.10.2026

CVE-2026-113669

ApostropheCMS: Międzydomenowy token sesji w adresie URL umożliwia przejęcie sesji

ApostropheCMS przekazuje jednorazowe tokeny migracji sesji w parametrach URL. Przechwycenie takiego tokena pozwala na przejęcie sesji użytkownika wraz z jego uprawnieniami.

Średnia 20.10.2026

CVE-2026-113654

ApostropheCMS sanitize-html: obszar odrzucania nonTextTags kończy się przedwcześnie przy domyślnym zamknięciu, zezwalając na renderowanie zawartości <noscript>

W pakiecie sanitize-html przed wersją 2.18.0 domyślne zamknięcie wewnątrz elementów takich jak <noscript> powoduje przedwczesne zakończenie obszaru odrzucania i nieoczekiwane renderowanie zawartości jako kodu HTML.

Wysoka 20.10.2026

CVE-2026-111752

@angular/router: Odmowa usługi poprzez niedopasowane dopasowywanie tras outletów o pustej ścieżce w renderowaniu po stronie serwera (SSR)

Luka typu odmowa usługi w Angular Router dotyczy renderowania po stronie serwera (SSR) w Node.js. Nieuwierzytelnieni atakujący mogą przesyłać spreparowane adresy URL z pustymi segmentami outletów, co doprowadza do wyczerpania pamięci lub zasobów procesora i awarii procesu roboczego.

Wysoka 20.10.2026

CVE-2026-111759

markdown-it: Złożoność kwadratowa w regule smartquotes przy niedopasowanych cudzysłowach zamykających

Specjalnie spreparowany Markdown może wywołać kwadratowy czas przetwarzania w regule smartquotes biblioteki markdown-it przy włączonej typografii, prowadząc do DoS.

Średnia 20.10.2026

CVE-2026-111754

@angular/platform-server: Open Redirect poprzez adresy URL względne względem protokołu w Server-Side Rendering (SSR)

Luka open redirect w Angular SSR umożliwia nieuwierzytelnionym atakującym obejście kontroli ścieżek URL i przekierowanie użytkowników do zewnętrznych domen.

Niska 16.10.2026

CVE-2026-76894

ckan-mcp-server: zasób DataStore Table UI nie sprawdza pochodzenia postMessage (in) i wysyła dane do targetOrigin "*" (out)

Interfejs tabeli DataStore w ckan-mcp-server nie weryfikuje pochodzenia wiadomości przychodzących i wysyła wiadomości wychodzące do celu "*". Umożliwia to fałszowanie wyświetlanej zawartości i zakłócanie komunikacji.

Wysoka 15.10.2026

CVE-2026-86063

Claude Code: Obejście przypiętego skrótu wtyczki pozwala na ominięcie weryfikacji hasha

Podatność w Claude Code umożliwiała pominięcie weryfikacji przypiętego skrótu commitu podczas instalacji wtyczki za pomocą specjalnie nazwanej gałęzi Git, co prowadziło do instalacji niezweryfikowanego kodu. Zaleca się aktualizację oprogramowania.

Średnia 15.10.2026

CVE-2026-103975

Appium: Podatność Zip Slip oparta na dowiązaniach symbolicznych w module rozpakowywania ZIP @appium/support

Luka w mechanizmie rozpakowywania archiwów ZIP w bibliotece @appium/support umożliwia zapis dowolnych plików za pomocą dowiązań symbolicznych wskazujących poza katalog docelowy. Dostarczenie złośliwego archiwum może pozwolić atakującemu na nadpisanie plików lub wykonanie kodu z uprawnieniami procesu.

Średnia 15.10.2026

CVE-2026-102527

Zatruwanie pamięci podręcznej w Nuxt OG Image poprzez możliwe do wyliczenia klucze na niepodpisanych trasach dynamicznych obrazów

Luka zatruwania pamięci podręcznej w Nuxt OG Image pozwala nieuwierzytelnionemu atakującemu na modyfikację zawartości obrazów dostarczanych użytkownikom ze względu na przewidywalne klucze pamięci podręcznej na trasach dynamicznych obrazów.

Wysoka 15.10.2026

CVE-2026-100409

OpenNext Cloudflare: Przechwytywanie pamięci podręcznej może ominąć ochronę middleware dla zakodowanych ścieżek

W OpenNext Cloudflare przechwytywanie pamięci podręcznej może różnie dekodować ścieżki, pozwalając na ominięcie middleware autoryzacyjnego i pobranie zbuforowanych zasobów.

Krytyczna 15.10.2026

CVE-2026-102989

TanStack Router: Nieuwierzytelniony podatny na reflected XSS w odpowiedziach funkcji serwerowych TanStack Start

Luka reflected XSS w TanStack Start pozwala nieuwierzytelnionemu atakującemu na wykonanie złośliwego kodu JavaScript w przeglądarce ofiary po otwarciu spreparowanego odnośnika. Zalecana jest niezwłoczna aktualizacja do załatanych wersji pakietów.

Wysoka 09.10.2026

CVE-2026-108259

Tina: Wstrzyknięcie kodu przez niesanitaryzowaną nazwę gałęzi Git w wygenerowanym kodzie klienta

Luka w TinaCMS CLI umożliwia wykonanie dowolnego kodu JavaScript podczas budowania projektu z powodu braku ucieczki znaków w nazwie gałęzi Git wstawianej do generowanego kodu klienta.

Krytyczna 09.10.2026

CVE-2026-108261

Ramka podglądu panelu administracyjnego TinaCMS ładuje pochodzenie kontrolowane przez atakującego z fragmentu URL

Ramka podglądu panelu TinaCMS ładuje pochodzenie kontrolowane przez atakującego z fragmentu URL. Jeśli zalogowany edytor otworzy spreparowany link, nieautoryzowany atakujący może uzyskać pełny dostęp do odczytu i zapisu w API treści witryny w jego kontekście.

Wysoka 09.10.2026

CVE-2026-108260

@tinacms/web-components: `tina-markdown` zapisuje adresy URL odnośników w `href` bez walidacji schematu, umożliwiając stored XSS

Brak weryfikacji schematu URL w odnośnikach rich-text w @tinacms/web-components umożliwia atak typu stored XSS, pozwalając na wykonanie złośliwego kodu w przeglądarkach odwiedzających witrynę.

Średnia 08.10.2026

CVE-2026-107718

AdonisJS: Unencoded route parameters can produce open redirects

Krytyczna 08.10.2026

CVE-2026-107722

fast-jwt: Incomplete patch of CVE-2026-34950: Non-whitespace key-prefix re-enables RSA→HS256 algorithm confusion

Wysoka 08.10.2026

CVE-2026-61426

PraisonAI: AgentOS defaults to network-exposed no-auth mode, allowing unauthenticated agent invocation and instruction disclosure

Średnia 08.10.2026

CVE-2026-107388

music-metadata: ID3v2 tag size not validated before allocation, causing memory exhaustion DoS

Krytyczna 08.10.2026

CVE-2026-106446

Handlebars: JavaScript Injection via AST Type Confusion in compile (bypass of CVE-2026-33937)

Wysoka 08.10.2026

CVE-2026-107375

JHipster: SQL Injection in the Parameter of JHipster-Generated Reactive (WebFlux + R2DBC) Applicationssort

Wyniki 49 do 72 z 1629 wyników

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację

Poznaj podatności. Chroń swoje aplikacje.

Archiwum podatności 1 629

Dowiedz się, które podatności dotyczą Twojej aplikacji

Bezpieczeństwo aplikacji w Twojej skrzynce