Średnia
CVE-2026-113716
Archiwum podatności
Poznaj podatności. Chroń swoje aplikacje.
Dowiedz się, które luki zagrażają Twoim technologiom i jak je usunąć. Znajdziesz tu opisy zagrożeń, podatne wersje i konkretne zalecenia - od CMS-ów i wtyczek po biblioteki aplikacji.
Archiwum podatności 737
Wyczyść filtry
Średnia
CVE-2026-112898
Pillow: Image.quantize() with empty palette leaks uninitialized stack memory
Średnia
CVE-2026-111059
Mercury: Stored / DOM Cross-Site Scripting (XSS): mr.Markdown renders untrusted content as raw, unsanitized HTML
Średnia
CVE-2026-104250
unstructured: Stored XSS via unescaped HTML generation
Wysoka
CVE-2026-113732
virtualenv activate.fish wykonuje polecenia ze ścieżki lub promptu z ukośnikiem odwrotnym przed cudzysłowem
Błąd w skrypcie activate.fish w virtualenv pozwala na wykonanie poleceń, jeśli ścieżka środowiska lub prompt zawiera ukośnik odwrotny przed cudzysłowem. Problem rozwiązano w wersji 21.14.2.
Wysoka
CVE-2026-113776
Skrypty aktywacyjne virtualenv wykonują kod ze ścieżki zawierającej nazwę symbolu zastępczego
Luka w skryptach aktywacyjnych virtualenv umożliwia wykonanie dowolnego kodu, jeśli ścieżka lub prompt środowiska zawierają nazwy symboli zastępczych. Aktywacja spreparowanego środowiska może doprowadzić do uruchomienia niepożądanych poleceń.
Wysoka
CVE-2026-108372
Zbyt permisywna polityka CORS w LoopX serve-status ujawnia stan płaszczyzny sterowania i prywatne pliki Markdown
Funkcja serve-status w LoopX stosuje zbyt permisywną politykę CORS z nagłówkiem wieloznacznym na trasach odczytu loopback. Złośliwe strony odwiedzane przez operatora mogą bez jego wiedzy wykradać stan płaszczyzny sterowania oraz zawartość prywatnych plików Markdown ze wszystkich zarejestrowanych repozytoriów.
Niska
CVE-2026-59180
Apprise przekazuje skonfigurowane nagłówki uwierzytelniania przez przekierowania HTTP cross-origin
Wtyczki i moduły pobierania HTTP w Apprise domyślnie podążają za przekierowaniami, przesyłając skonfigurowane nagłówki uwierzytelniania. W przypadku przejęcia celu lub ataku man-in-the-middle poufne dane uwierzytelniające mogą zostać ujawnione zewnętrznemu hostowi.
Średnia
ghsa-p3pr-8f3m-4qp8
pyLoad WindowsPhoneNotify addon: non-admin SETTINGS user triggers SSRF via unguarded http.client notification host
Niska
CVE-2026-107727
Strawberry legacy graphql-ws retains naturally completed subscription slots
Wysoka
CVE-2026-61434
PraisonAI: Shell command allowlist bypass via find -exec built-in action
Wysoka
CVE-2026-60091
PraisonAI: Jobs API is unauthenticated by default and allows attacker-controlled webhook SSRF
Średnia
CVE-2026-60086
PraisonAI: Prompt-injection defense blocks only when 3+ detector families fire simultaneously; realistic single-vector injections pass through unblocked
Wysoka
CVE-2026-61433
PraisonAI: API deploy code generator embeds unescaped YAML fields into Python source
Średnia
CVE-2026-60090
PraisonAI: PGVector and Cassandra knowledge stores interpolate vector dimensions into DDL
Krytyczna
CVE-2026-105697
Langflow: OS command injection (RCE) via arbitrary command in MCP stdio server configuration
Średnia
CVE-2026-105698
Langflow : Cross-user flow access and vertex execution via deprecated /api/v1/build/{flow_id}/vertices endpoints
Wysoka
CVE-2026-61429
PraisonAI: Crawl4AI/Chromium backend is also affected by the `web_crawl` SSRF validation bypass
Wysoka
CVE-2026-106443
WeasyPrint: EPS images reach the Ghostscript interpreter resulting in RCE
Wysoka
CVE-2026-61436
PraisonAI: AgentMail webhook mode accepts forged unsigned message.received events and invokes agents
Wysoka
CVE-2026-61428
PraisonAI: AgentMail webhook lacks signature verification, allowing unauthenticated message injection and sender spoofing
Średnia
CVE-2026-46438
wger: Cross-User Data Corruption via Missing Ownership Check on WorkoutLog.slot_entry
Średnia
CVE-2026-105758
vLLM: Qwen2-VL / Qwen3-VL video samplers bound on request-controlled max_frames, which the num_frames ceiling does not reach
Średnia
CVE-2026-105754
vLLM: Scale-out disaggregated multimodal transport trusts caller-supplied features
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.