Poznaj podatności. Chroń swoje aplikacje.

Średnia 21.10.2026

CVE-2026-112957

ApostropheCMS: GET /api/v1/@apostrophecms/page/:id omija ograniczenie viewRole i ujawnia pola chronione przez viewPermission użytkownikom o niższych uprawnieniach

W ApostropheCMS przed wersją 4.34.0 punkt końcowy REST pomija ograniczenia stron i pól, co pozwala użytkownikom z uprawnieniami edytora na odczyt poufnych danych po poznaniu identyfikatora dokumentu.

npm

apostrophe

Średnia 20.10.2026

CVE-2026-110904

ApostropheCMS: Pominięcie autoryzacji w API REST stron

Luka w mechanizmie autoryzacji w API stron ApostropheCMS umożliwia nieuwierzytelnionym użytkownikom oraz osobom o niskich uprawnieniach odczyt zastrzeżonych treści stron oraz metadanych witryny.

npm

apostrophe

Średnia 20.10.2026

CVE-2026-113664

ApostropheCMS import-export tar guard misses './..' because it is a literal '../' substring test

Weryfikacja podciągu podczas wypakowywania plików tar w ApostropheCMS import-export nie blokuje relatywnych ścieżek, co pozwala zalogowanym użytkownikom zatrzymać proces Node.

npm

@apostrophecms/import-export

Wysoka 20.10.2026

CVE-2026-113666

ApostropheCMS: Usuwanie składowych prototypu przez wykluczenie w projekcji w @apostrophecms/db-connect powoduje odmowę usługi dla całego procesu

W ApostropheCMS uwierzytelniony użytkownik korzystający z adaptera SQLite lub PostgreSQL może usunąć metody z prototypu za pomocą projekcji wykluczających, wywołując trwałą odmowę usługi w całym procesie Node.

npm

apostrophe, @apostrophecms/db-connect

Wysoka 09.10.2026

CVE-2026-108259

Tina: Wstrzyknięcie kodu przez niesanitaryzowaną nazwę gałęzi Git w wygenerowanym kodzie klienta

Luka w TinaCMS CLI umożliwia wykonanie dowolnego kodu JavaScript podczas budowania projektu z powodu braku ucieczki znaków w nazwie gałęzi Git wstawianej do generowanego kodu klienta.

npm

@tinacms/cli

Wysoka 08.10.2026

CVE-2026-61426

PraisonAI: AgentOS defaults to network-exposed no-auth mode, allowing unauthenticated agent invocation and instruction disclosure

npm

praisonai

Średnia 08.10.2026

CVE-2026-107391

music-metadata: MP4 stsd sample-entry size==0 causes a synchronous infinite loop (DoS) — unreleased regression on master

npm

music-metadata

Wysoka 08.10.2026

CVE-2026-107375

JHipster: SQL Injection in the Parameter of JHipster-Generated Reactive (WebFlux + R2DBC) Applicationssort

npm

generator-jhipster

Wysoka 06.10.2026

CVE-2026-86540

knowns OS Command Injection via Insecure LSP Binary Path Config in .knowns/config.json

npm

knowns

Wysoka 05.10.2026

CVE-2026-104859

@nx/docker: OS command injection in the @nx/docker release pipeline

npm

@nx/docker

Średnia 05.10.2026

CVE-2026-104872

Multiple @opentelemetry/instrumentation-* packages expose database username via unconditional db.user span attribute

npm

@opentelemetry/instrumentation-cassandra-driver, @opentelemetry/instrumentation-knex, @opentelemetry/instrumentation-mongoose +5

Krytyczna 05.10.2026

CVE-2026-104848

Tinypool: Prototype Pollution gadget in worker options leads to Remote Code Execution

npm

tinypool

Średnia 05.10.2026

CVE-2026-104182

stream-json: JSONC parser and verifier re-scan the whole accumulated comment on every input chunk

npm

stream-json

Średnia 05.10.2026

CVE-2026-104183

stream-json has a prototype pollution issue: Assembler writes this.current[this.key] on plain objects

npm

stream-json

Krytyczna 05.10.2026

CVE-2026-92955

vm2: Sandbox Escape (NodeVM)

npm

vm2

Wysoka 02.10.2026

CVE-2026-104861

probe-image-size: Quadratic-time Denial of Service in the SVG Parser

npm

probe-image-size

Wysoka 02.10.2026

CVE-2026-19481

@fastify/busboy vulnerable to Denial of Service via prototype-named multipart part header

npm

@fastify/busboy

Wysoka 30.09.2026

CVE-2026-101906

Axios: ReDoS (O(N²)) in shouldBypassProxy host normalization, reachable via untrusted redirect Location

npm

axios

Średnia 30.09.2026

ghsa-96h4-vgxj-gvm2

Nest: Unbounded memory growth in the NestJS TCP microservice transport

npm

@nestjs/microservices

Wysoka 30.09.2026

ghsa-9c5c-9qcx-q35q

@nestjs/platform-fastify: Path-scoped middleware bypass via absolute-form request targets

npm

@nestjs/platform-fastify

Wysoka 29.09.2026

CVE-2026-102282

adm-zip extraction preserves SUID/SGID bits from untrusted ZIPs -> local privilege escalation

npm

adm-zip

Wysoka 28.09.2026

ghsa-456v-xq2p-r4cj

code-ollama: `grep_search` Command Injection via Unescaped `$()` Shell Substitution (CWE-78)

npm

code-ollama

Wysoka 24.09.2026

CVE-2026-59723

Cline: Cross-Origin WebSocket Hijacking in Cline Hub Dashboard (`/browser` endpoint)

npm

cline

Krytyczna 24.09.2026

CVE-2026-61742

DBHub HTTP transport DNS rebinding allows unauthenticated browser-origin SQL execution

npm

@bytebase/dbhub