Poznaj podatności. Chroń swoje aplikacje.

Średnia 21.10.2026

CVE-2026-113730

OGNL: Obejście listy blokowanych trybu rygorystycznego wywoływania przez proxy refleksji java.lang.reflect

W OGNL listę blokowanych trybu rygorystycznego wywoływania można obejść za pomocą proxy refleksji. Problem dotyczy tylko aplikacji przetwarzających niezaufane wyrażenia z domyślną kontrolą dostępu i polegających wyłącznie na liście blokowanych.

Java / Kotlin (Maven)

ognl:ognl

Średnia 20.10.2026

CVE-2026-111763

A2A Java SDK przesyła dane uwierzytelniające klienta pod nazwą nagłówka HTTP kontrolowaną przez serwer, umożliwiając wyciek danych przez przekierowanie

Luka w A2A Java SDK pozwala złośliwemu lub przejętemu agentowi na zdefiniowanie niestandardowego nagłówka HTTP dla danych uwierzytelniających. Podczas obsługi przekierowania HTTP klient przesyła te nagłówki na zewnętrzny serwer, co może doprowadzić do wycieku kluczy API klienta.

Java / Kotlin (Maven)

org.a2aproject.sdk:a2a-java-sdk-parent

Krytyczna 08.10.2026

CVE-2026-107726

Hazelcast allows arbitrary member memory access by low-privileged client

Java / Kotlin (Maven)

com.hazelcast:hazelcast

Wysoka 08.10.2026

CVE-2026-107725

Hazelcast has an authorization bypass in IMap Predicates API

Java / Kotlin (Maven)

com.hazelcast:hazelcast

Wysoka 07.10.2026

CVE-2026-106451

yawkat LZ4 Java: Native library extraction to a shared temporary directory is vulnerable to file replacement by another local user

Java / Kotlin (Maven)

at.yawk.lz4:lz4-java, org.lz4:lz4-java

Średnia 07.10.2026

CVE-2026-106123

RabbitMQ Java client: plaintext broker credentials leaked in exception message from ConnectionFactoryConfigurator.load()

Java / Kotlin (Maven)

com.rabbitmq:amqp-client

Wysoka 01.10.2026

CVE-2026-89425

jackson-core: UTF8DataInputJsonParser._reportInvalidToken() missing maxErrorTokenLength limit -> unbounded StringBuilder growth (DoS)

Java / Kotlin (Maven)

com.fasterxml.jackson.core:jackson-core, tools.jackson.core:jackson-core

Wysoka 01.10.2026

CVE-2026-89407

jackson-core: ReDoS: quadratic backtracking in NumberInput.PATTERN_FLOAT via looksLikeValidNumber()

Java / Kotlin (Maven)

com.fasterxml.jackson.core:jackson-core, tools.jackson.core:jackson-core

Średnia 28.09.2026

CVE-2026-19032

jackson-databind: Path Deserialization Missing Scheme Allowlist for FileSystemProvider Resolution

Java / Kotlin (Maven)

com.fasterxml.jackson.core:jackson-databind, tools.jackson.core:jackson-databind

Średnia 23.09.2026

CVE-2026-77421

JLine: ReDoS in Nano Editor Regex Search Mode

Java / Kotlin (Maven)

org.jline:jline-builtins

Wysoka 23.09.2026

CVE-2026-77422

JLine: ReDoS in Built-in grep Command Amplified by Automatic `.*` Wrapping

Java / Kotlin (Maven)

org.jline:jline-builtins

Średnia 23.09.2026

CVE-2026-77420

JLine: ReDoS via `HISTORY_IGNORE` Configuration Variable

Java / Kotlin (Maven)

org.jline:jline-reader

Krytyczna 23.09.2026

CVE-2026-85724

Moquette: Pattern-ACL wildcard injection (cross-tenant authorization bypass) plus a remote-unauthenticated DoS cluster, a Will-message authorization bypass, and a cross-session durable-corruption bug

Java / Kotlin (Maven)

io.moquette:moquette-broker

Wysoka 18.09.2026

CVE-2026-85058

io.moquette:moquette-broker has a Missing Authorization issue

Java / Kotlin (Maven)

io.moquette:moquette-broker

Wysoka 18.09.2026

CVE-2026-77615

Opencast: Stored XSS in Paella player via WebVTT/DFXP caption cue text

Java / Kotlin (Maven) npm

org.opencastproject:opencast-engage-paella-player-7, paella-core

Wysoka 17.09.2026

CVE-2026-85721

AsyncHttpClient's unbounded HTTP/1.1 response decompression enables a decompression-bomb denial of service

Java / Kotlin (Maven)

org.asynchttpclient:async-http-client

Niska 17.09.2026

CVE-2026-85716

AsyncHttpClient doesn't verify SCRAM and Digest mutual-authentication responses

Java / Kotlin (Maven)

org.asynchttpclient:async-http-client

Niska 17.09.2026

CVE-2026-86071

Junrar: LocalFolderExtractor mkdir escape allows directory creation outside extraction root

Java / Kotlin (Maven)

com.github.junrar:junrar

Wysoka 17.09.2026

CVE-2026-63126

Wire: Unauthenticated decoder crash via 32-bit length integer overflow in ByteArrayProtoReader32 (incomplete fix of CVE-2026-45799)

Java / Kotlin (Maven)

com.squareup.wire:wire-runtime

Wysoka 02.09.2026

CVE-2026-63490

Handlebars.java: Arbitrary file read in `SpringTemplateLoader` via URL-fragment suffix bypass

Java / Kotlin (Maven)

com.github.jknack:handlebars-springmvc

Średnia 28.08.2026

CVE-2026-55860

org.mariadb:r2dbc-mariadb vulnerable to cleartext password disclosure to a man-in-the-middle server (clear-text auth plugins not gated on a secure transport)

Java / Kotlin (Maven)

org.mariadb:r2dbc-mariadb

Średnia 28.08.2026

CVE-2026-55859

org.mariadb:r2dbc-mariadb has Inappropriate Encoding for Output Context and Improper Encoding or Escaping of Output

Java / Kotlin (Maven)

org.mariadb:r2dbc-mariadb

Wysoka 28.08.2026

CVE-2026-55673

PowSyBl Core has Command Injection in LocalCommandExecutor-s

Java / Kotlin (Maven)

com.powsybl:powsybl-computation-local

Średnia 28.08.2026

CVE-2026-55548

Yamcs: Insecure Direct Object Reference (IDOR) in PacketsApi allows unprivileged users to dump all telemetry packets

Java / Kotlin (Maven)

org.yamcs:yamcs-core