Poznaj podatności. Chroń swoje aplikacje.

Średnia 20.10.2026

CVE-2026-113659

ApostropheCMS: Client-side Prototype Pollution w apos.http.parseQuery prowadzące do DOM-based XSS przeciwko uwierzytelnionym użytkownikom

Podatność typu client-side prototype pollution w ApostropheCMS umożliwia wykonanie dowolnego kodu JavaScript w sesji uwierzytelnionego użytkownika, jeśli ofiara otworzy spreparowany odnośnik. Może to prowadzić do przejęcia konta oraz pełnego skompromitowania instancji CMS.

npm

apostrophe

Średnia 20.10.2026

CVE-2026-113662

ApostropheCMS import-export: Wstrzyknięcie NoSQL przez wartość update-key umożliwia dopasowanie i nadpisanie niezidentyfikowanego dokumentu

Luka NoSQL injection w module import-export ApostropheCMS pozwala uwierzytelnionym użytkownikom dopasować i nadpisać niezamierzone dokumenty za pomocą spreparowanych wartości klucza.

npm

@apostrophecms/import-export

Wysoka 09.10.2026

CVE-2026-108259

Tina: Wstrzyknięcie kodu przez niesanitaryzowaną nazwę gałęzi Git w wygenerowanym kodzie klienta

Luka w TinaCMS CLI umożliwia wykonanie dowolnego kodu JavaScript podczas budowania projektu z powodu braku ucieczki znaków w nazwie gałęzi Git wstawianej do generowanego kodu klienta.

npm

@tinacms/cli

Wysoka 09.10.2026

CVE-2026-108260

@tinacms/web-components: `tina-markdown` zapisuje adresy URL odnośników w `href` bez walidacji schematu, umożliwiając stored XSS

Brak weryfikacji schematu URL w odnośnikach rich-text w @tinacms/web-components umożliwia atak typu stored XSS, pozwalając na wykonanie złośliwego kodu w przeglądarkach odwiedzających witrynę.

npm

@tinacms/web-components

Średnia 08.10.2026

CVE-2026-107719

fast-jwt: Verifier cache accepts expired JWTs without iat.

npm

fast-jwt

Wysoka 08.10.2026

CVE-2026-107720

fast-jwt: createVerifier accepts unsigned JWTs when key is '' or null and algorithms is explicitly set

npm

fast-jwt

Krytyczna 08.10.2026

CVE-2026-107722

fast-jwt: Incomplete patch of CVE-2026-34950: Non-whitespace key-prefix re-enables RSA→HS256 algorithm confusion

npm

fast-jwt

Średnia 08.10.2026

CVE-2026-107721

fast-jwt clockTolerance: Infinity silently bypasses both exp and nbf validation (and persists in the verifier cache)

npm

fast-jwt

Wysoka 08.10.2026

CVE-2026-107723

fast-jwt : Silent claim-validator bypass when JWT payload is a JSON array

npm

fast-jwt

Wysoka 08.10.2026

CVE-2026-107724

fast-jwt treats raw public JWK JSON as an HMAC secret, enabling HS256 token forgery

npm

fast-jwt

Średnia 08.10.2026

CVE-2026-107388

music-metadata: ID3v2 tag size not validated before allocation, causing memory exhaustion DoS

npm

music-metadata

Krytyczna 07.10.2026

CVE-2026-105863

Payload authentication token field handling issue

npm

payload

Średnia 07.10.2026

CVE-2026-106460

Backstage: Explicit negative email verification can be ignored during shared OAuth profile normalization

npm

@backstage/plugin-auth-node

Średnia 07.10.2026

CVE-2026-106506

Backstage has improper input validation in scaffolder task list ordering

npm

@backstage/plugin-scaffolder-backend

Krytyczna 07.10.2026

CVE-2026-73487

Flowise Prompt Injection to RCE and SSRF via CSV/Airtable Agent Python Validator Bypass

npm

flowise, flowise-components

Krytyczna 05.10.2026

CVE-2026-100721

vm2: NodeVM custom resolution bypasses external path boundaries

npm

vm2

Wysoka 05.10.2026

CVE-2026-100722

vm2: Host Promise rejection from an exposed constructor can terminate the vm2 host process

npm

vm2

Średnia 05.10.2026

CVE-2026-100723

vm2: NodeVM zlib Buffers expose pooled host memory across the VM boundary

npm

vm2

Wysoka 05.10.2026

CVE-2026-92959

vm2: `allowAsync: false` can be bypassed through Promise thenable assimilation in VM and NodeVM

npm

vm2

Krytyczna 05.10.2026

CVE-2026-92953

vm2: Default VM can mutate host TypedArray and ArrayBuffer intrinsics after the host-prototype pollution fix

npm

vm2

Wysoka 05.10.2026

CVE-2026-92942

vm2: timeout Option Bypass via FinalizationRegistry Cleanup Callback (Unbounded Host Event-Loop Block)

npm

vm2

Krytyczna 01.10.2026

CVE-2026-92944

vm2 sandbox escape on Node.js 26 through a stale PromiseThenLookupChain protector

npm

vm2

Wysoka 30.09.2026

CVE-2026-101905

Axios: Node HTTP adapter prototype-pollution gadget allows request socket hijack via inherited createConnection

npm

axios

Wysoka 30.09.2026

CVE-2026-101906

Axios: ReDoS (O(N²)) in shouldBypassProxy host normalization, reachable via untrusted redirect Location

npm

axios