Poznaj podatności. Chroń swoje aplikacje.

Wysoka 20.10.2026

CVE-2026-111758

markdown-it: Kwadratowy czas renderowania pojedynczej wielowierszowej definicji odnośnika przy domyślnych opcjach (regresja od 14.0)

Luka typu denial of service w bibliotece markdown-it pozwala zdalnym atakującym zablokować pętlę zdarzeń Node.js za pomocą spreparowanych wielowierszowych definicji odnośników. Niezamknięte definicje powodują kwadratowy czas przetwarzania przy domyślnych ustawieniach.

npm

markdown-it

Niska 20.10.2026

CVE-2026-111766

markdown-it: Odmowa usługi z kwadratowym czasem parsowania liniowego HTML przy włączonej opcji html

W markdown-it przy włączonym HTML parsowanie niezamkniętych struktur HTML prowadzi do kwadratowego czasu wykonania, co pozwala zablokować pętlę zdarzeń Node.js i wywołać odmowę usługi.

npm

markdown-it

Średnia 20.10.2026

CVE-2026-113664

ApostropheCMS import-export tar guard misses './..' because it is a literal '../' substring test

Weryfikacja podciągu podczas wypakowywania plików tar w ApostropheCMS import-export nie blokuje relatywnych ścieżek, co pozwala zalogowanym użytkownikom zatrzymać proces Node.

npm

@apostrophecms/import-export

Wysoka 20.10.2026

CVE-2026-111752

@angular/router: Odmowa usługi poprzez niedopasowane dopasowywanie tras outletów o pustej ścieżce w renderowaniu po stronie serwera (SSR)

Luka typu odmowa usługi w Angular Router dotyczy renderowania po stronie serwera (SSR) w Node.js. Nieuwierzytelnieni atakujący mogą przesyłać spreparowane adresy URL z pustymi segmentami outletów, co doprowadza do wyczerpania pamięci lub zasobów procesora i awarii procesu roboczego.

npm

@angular/router

Średnia 15.10.2026

CVE-2026-103975

Appium: Podatność Zip Slip oparta na dowiązaniach symbolicznych w module rozpakowywania ZIP @appium/support

Luka w mechanizmie rozpakowywania archiwów ZIP w bibliotece @appium/support umożliwia zapis dowolnych plików za pomocą dowiązań symbolicznych wskazujących poza katalog docelowy. Dostarczenie złośliwego archiwum może pozwolić atakującemu na nadpisanie plików lub wykonanie kodu z uprawnieniami procesu.

npm

@appium/support

Wysoka 15.10.2026

CVE-2026-100409

OpenNext Cloudflare: Przechwytywanie pamięci podręcznej może ominąć ochronę middleware dla zakodowanych ścieżek

W OpenNext Cloudflare przechwytywanie pamięci podręcznej może różnie dekodować ścieżki, pozwalając na ominięcie middleware autoryzacyjnego i pobranie zbuforowanych zasobów.

npm

@opennextjs/cloudflare

Wysoka 09.10.2026

CVE-2026-108259

Tina: Wstrzyknięcie kodu przez niesanitaryzowaną nazwę gałęzi Git w wygenerowanym kodzie klienta

Luka w TinaCMS CLI umożliwia wykonanie dowolnego kodu JavaScript podczas budowania projektu z powodu braku ucieczki znaków w nazwie gałęzi Git wstawianej do generowanego kodu klienta.

npm

@tinacms/cli

Wysoka 08.10.2026

CVE-2026-107724

fast-jwt treats raw public JWK JSON as an HMAC secret, enabling HS256 token forgery

npm

fast-jwt

Wysoka 08.10.2026

CVE-2026-61426

PraisonAI: AgentOS defaults to network-exposed no-auth mode, allowing unauthenticated agent invocation and instruction disclosure

npm

praisonai

Średnia 08.10.2026

CVE-2026-107388

music-metadata: ID3v2 tag size not validated before allocation, causing memory exhaustion DoS

npm

music-metadata

Średnia 08.10.2026

CVE-2026-106444

Handlebars: JavaScript Injection via Unsafe Inline Embedding of Precompiled Templates

npm

handlebars

Średnia 07.10.2026

CVE-2026-94544

Next.js: Pending `use cache` fill can leak Draft Mode content into regular responses and persisted pages

npm

next

Średnia 07.10.2026

CVE-2026-94543

Next.js has cache poisoning of SSG and ISR pages in self-hosted applications

npm

next

Niska 07.10.2026

CVE-2026-94486

Next.js has information disclosure in development server's Model Context Protocol endpoint

npm

next

Średnia 07.10.2026

CVE-2026-94485

Next.js has information disclosure in App Router metadata image routes via dynamicParams bypass

npm

next

Średnia 07.10.2026

CVE-2026-94484

Next.js has cache poisoning in SSG/ISR rendering that leads to cross-user content substitution and persistent denial of service

npm

next

Wysoka 07.10.2026

CVE-2026-94483

Next.js has Server-Side Request Forgery in Image Optimization

npm

next

Średnia 06.10.2026

CVE-2026-105846

Payload: Untrusted redirect URL parameter exploit

npm

payload, @payloadcms/next

Niska 06.10.2026

CVE-2026-105800

i18next-http-backend incomplete URL validation permits SSRF

npm

i18next-http-backend

Wysoka 05.10.2026

CVE-2026-102826

simple-git allows command execution through unblocked Git configuration includes

npm

simple-git

Wysoka 05.10.2026

CVE-2026-102827

simple-git: unsafe-operations plugin bypass via git long-option abbreviation (--receive-p/--exe) -> command execution (residual of CVE-2026-28291)

npm

simple-git

Wysoka 05.10.2026

CVE-2026-104859

@nx/docker: OS command injection in the @nx/docker release pipeline

npm

@nx/docker

Średnia 05.10.2026

CVE-2026-104871

Angular SSR: Path Traversal to Sibling Directories in CommonEngine on Windows

npm

@angular/ssr

Średnia 05.10.2026

CVE-2026-104182

stream-json: JSONC parser and verifier re-scan the whole accumulated comment on every input chunk

npm

stream-json