Poznaj podatności. Chroń swoje aplikacje.

Wysoka 20.10.2026

CVE-2026-113666

ApostropheCMS: Usuwanie składowych prototypu przez wykluczenie w projekcji w @apostrophecms/db-connect powoduje odmowę usługi dla całego procesu

W ApostropheCMS uwierzytelniony użytkownik korzystający z adaptera SQLite lub PostgreSQL może usunąć metody z prototypu za pomocą projekcji wykluczających, wywołując trwałą odmowę usługi w całym procesie Node.

npm

apostrophe, @apostrophecms/db-connect

Niska 07.10.2026

CVE-2026-106101

Quasar Framework: DOM Clobbering in Quasar openURL() SafariViewController Integration Causes Client-Side Denial of Service

npm

quasar

Średnia 05.10.2026

CVE-2026-104844

PostCSS: Quadratic complexity in flat selector parsing allows CPU exhaustion

npm

postcss-selector-parser

Krytyczna 05.10.2026

CVE-2026-104848

Tinypool: Prototype Pollution gadget in worker options leads to Remote Code Execution

npm

tinypool

Krytyczna 05.10.2026

CVE-2026-104849

Tinypool: Prototype Pollution Gadget to RCE in run() options

npm

tinypool

Krytyczna 02.10.2026

CVE-2026-114088

Trigger.dev: V1 coordinator default-secret unauth Socket.IO

npm

trigger.dev

Wysoka 18.09.2026

CVE-2026-77301

adm-zip: Uncontrolled memory allocation via the declared uncompressed size (DoS)

npm

adm-zip

Krytyczna 15.09.2026

CVE-2026-61568

@zereight/mcp-gitlab: DNS rebinding reaches local Streamable HTTP MCP transport

npm

@zereight/mcp-gitlab

Wysoka 02.09.2026

CVE-2026-65842

Plate: SSRF with response disclosure in DOCX image embedding

npm

@platejs/docx-io

Średnia 02.09.2026

CVE-2026-82562

qs array-limit bypass via bracket-key comma parsing

npm

qs

Średnia 02.09.2026

CVE-2026-82417

qs: Denial of Service via Attacker Controlled isBuffer

npm

qs

Wysoka 19.08.2026

CVE-2026-53957

Contentful MCP Server: export_space/import_space tools pass LLM-controlled `host`/`proxy` args to CMA client, redirecting server PAT to attacker-controlled endpoint

npm

@contentful/mcp-server, @contentful/mcp-tools

Wysoka 04.08.2026

CVE-2026-70473

Flowise: Information Disclosure in GET /api/v1/upsert-history returns the entire server-wide upsert history

npm

flowise

Średnia 20.07.2026

CVE-2026-67316

Axios: Prototype pollution gadgets can alter axios request construction

npm

axios

Średnia 19.06.2026

CVE-2026-9679

undici vulnerable to HTTP header injection via Set-Cookie percent-decoding

npm

undici

Wysoka 18.06.2026

CVE-2026-55388

piscina: Prototype Pollution Gadget → RCE via inherited options.filename

npm

piscina

Średnia 17.06.2026

CVE-2026-54325

Pi Agent: Pi loads project-local extensions without approval

npm

@earendil-works/pi-coding-agent

Wysoka 15.06.2026

CVE-2026-49982

tmp: Type-confusion bypass of _assertPath allows path traversal via non-string prefix/postfix/template

npm

tmp

Wysoka 29.05.2026

CVE-2026-44495

axios Vulnerable to Credential Theft and Response Hijacking via Prototype Pollution Gadget in Config Merge

npm

axios

Wysoka 29.05.2026

CVE-2026-44494

axios Vulnerable to Full Man-in-the-Middle via Prototype Pollution Gadget in `config.proxy`

npm

axios

Średnia 22.05.2026

CVE-2026-8723

qs has a remotely triggerable DoS: qs.stringify crashes with TypeError on null/undefined entries in comma-format arrays when encodeValuesOnly is set

npm

qs

Średnia 11.05.2026

CVE-2026-41159

Mermaid: Improper sanitization of configuration leads to CSS injection

npm

mermaid

Wysoka 05.05.2026

CVE-2026-42035

Axios: Header Injection via Prototype Pollution

npm

axios

Średnia 05.05.2026

CVE-2026-42044

Axios: Invisible JSON Response Tampering via Prototype Pollution Gadget in `parseReviver`

npm

axios