Poznaj podatności. Chroń swoje aplikacje.

Średnia 21.10.2026

CVE-2026-112394

Pillow: Dekodery P;2L i P;4L mogą odczytać od 1 do 3 bajtów poza przekazanym rozmiarem bufora

Luka typu out-of-bounds read w bibliotece Pillow pozwala wybranym dekoderom odczytać dane z pamięci sterty poza buforem podczas przetwarzania obrazów o określonych wymiarach. Może to prowadzić do ujawnienia zawartości pamięci w zdekodowanych pikselach lub awarii aplikacji.

Python (PyPI)

pillow

Wysoka 21.10.2026

CVE-2026-112392

Pillow: Dereferencja wskaźnika NULL w ImagingExpand poprzez filtry rangowe na obrazach o zerowym rozmiarze

Zastosowanie w Pillow filtrów rangowych, medianowych, minimalnych lub maksymalnych do obrazów o zerowej szerokości lub wysokości wywołuje dereferencję wskaźnika NULL, powodując awarię procesu Pythona i odmowę usługi.

Python (PyPI)

pillow

Wysoka 21.10.2026

CVE-2026-112893

Pillow: Nieprawidłowe zwolnienie pamięci podczas renderowania glifów FreeType przy aktywnym obrysie

W bibliotece Pillow renderowanie tekstu z obrysem przy użyciu niezaufanych czcionek we FreeType może wywołać nieprawidłowe lub podwójne zwolnienie pamięci, prowadząc do awarii.

Python (PyPI)

pillow

Krytyczna 20.10.2026

CVE-2026-112403

Pillow: Przepełnienie bufora na stercie w ImagingJpegDecode

Luka przepełnienia bufora na stercie w Pillow pozwala atakującym na zapis poza zakresem podczas dekodowania spreparowanych bezstratnych obrazów JPEG przy użyciu skalowania draft. Problem występuje, gdy libjpeg-turbo ignoruje żądanie skalowania, powodując uszkodzenie pamięci lub błąd.

Python (PyPI)

pillow

Wysoka 20.10.2026

CVE-2026-112895

Pillow: Nieograniczona rekursja podczas parsowania drzewa stron lub łańcucha trailer w PDF (niekompletna poprawka dla CVE-2026-42310)

Nieograniczona rekursja w Pillow podczas parsowania drzew stron lub łańcuchów trailer w plikach PDF może prowadzić do odmowy usługi oraz wyczerpania zasobów CPU i pamięci.

Python (PyPI)

pillow

Wysoka 07.10.2026

CVE-2026-106443

WeasyPrint: EPS images reach the Ghostscript interpreter resulting in RCE

Python (PyPI)

weasyprint

Średnia 06.10.2026

ghsa-4v7v-gqf9-ww2g

Vyper: Call stack corruption when passing complex type containing non-base type members as argument

Python (PyPI)

vyper

Wysoka 05.10.2026

CVE-2026-104851

fsspec: Server-Side Template Injection in ReferenceFileSystem leads to Remote Code Execution

Python (PyPI)

fsspec

Wysoka 05.10.2026

ghsa-v853-p72q-4cfw

Quart leaks raw request body (incl. plaintext passwords) to stdout via stray debug print in Body.__await__

Python (PyPI)

quart

Średnia 29.09.2026

CVE-2026-102265

PyJWT: Uncaught RecursionError in jwt.decode() on deeply nested token header

Python (PyPI)

pyjwt

Wysoka 29.09.2026

CVE-2026-102273

PyJWT accepts public JWK containers as HMAC secrets

Python (PyPI)

pyjwt

Wysoka 22.09.2026

CVE-2026-77247

MCP Atlassian: Arbitrary server-local file upload to Jira/Confluence attachments via unrestricted file_path parameters

Python (PyPI)

mcp-atlassian

Wysoka 22.09.2026

CVE-2026-77257

MCP Atlassian: HTTP upload tools accept arbitrary server-local file paths

Python (PyPI)

mcp-atlassian

Średnia 17.09.2026

CVE-2026-85078

sanic chunked trailer request smuggling allows hidden second request execution

Python (PyPI)

sanic

Średnia 16.09.2026

CVE-2026-57173

vLLM: Unauthenticated audio decompression-bomb DoS in /v1/chat/completions

Python (PyPI)

vllm

Wysoka 18.08.2026

CVE-2026-100845

MONAI: Unsafe deserialization in NumpyReader allows arbitrary code execution via malicious .npy files

Python (PyPI)

monai

Wysoka 01.04.2026

CVE-2026-49114

ONNX: TOCTOU arbitrary file read/write in save_external_dat

Python (PyPI)

onnx

Krytyczna 25.08.2026

CVE-2026-79657

NLTK: Allowlisted pickle loaders still permit code execution in current source

Python (PyPI)

nltk

Wysoka 25.08.2026

CVE-2026-78681

NLTK: Entity-expansion DoS (billion laughs) via remaining raw ElementTree parses

Python (PyPI)

nltk

Średnia 20.08.2026

CVE-2026-102734

asteval Sandbox Escape: arbitrary native memory read/write via numpy ctypes in default asteval Interpreter

Python (PyPI)

asteval

Wysoka 18.08.2026

CVE-2026-71308

Lemur: Unchecked `replaces[]` lets any user silence notifications and hijack auto-rotation for arbitrary certificates

Python (PyPI)

lemur

Wysoka 17.08.2026

CVE-2026-54284

sqlparse: TokenList.__init__ materializes O(subtree) value per group, causing CPU DoS before depth/token caps trigger

Python (PyPI)

sqlparse

Krytyczna 18.08.2026

CVE-2026-55209

resdata has Classic Buffer Overflow, Improper Validation of Array Index, NULL Pointer Dereference and Out-of-bounds Read

Python (PyPI)

resdata

Średnia 13.08.2026

CVE-2026-73559

vLLM: Completion prompt lists fan out into unbounded engine requests

Python (PyPI)

vllm