Poznaj podatności. Chroń swoje aplikacje.

Krytyczna 22.10.2026

ghsa-673q-mjm6-r5xr

Next.js: Zdalne wykonywanie kodu bez uwierzytelnienia w funkcjach `use cache` zwracających tablice typowane

Krytyczna luka w aplikacjach Next.js korzystających z App Router z komponentem Cache Component umożliwia nieuwierzytelnione zdalne wykonanie kodu, gdy funkcje zwracają wiele tablic typowanych. Zalecana jest natychmiastowa aktualizacja do wersji 16.4.1 lub nowszej.

npm

next

Niska 22.10.2026

CVE-2026-114127

Astro: Arbitrary CSS injection in Astro View Transitions

npm

astro

Średnia 22.10.2026

CVE-2026-110871

Nodemailer: Quadratic (O(n^2)) DKIM header unfolding lets a large folded header cause remote denial of service during signing

npm

nodemailer

Średnia 22.10.2026

CVE-2026-114129

stream-json: FlexAssembler string/RegExp path filters join the full key stack per container start, giving O(depth^2) CPU denial of service

npm

stream-json

Wysoka 20.10.2026

CVE-2026-111758

markdown-it: Kwadratowy czas renderowania pojedynczej wielowierszowej definicji odnośnika przy domyślnych opcjach (regresja od 14.0)

Luka typu denial of service w bibliotece markdown-it pozwala zdalnym atakującym zablokować pętlę zdarzeń Node.js za pomocą spreparowanych wielowierszowych definicji odnośników. Niezamknięte definicje powodują kwadratowy czas przetwarzania przy domyślnych ustawieniach.

npm

markdown-it

Wysoka 20.10.2026

CVE-2026-111768

MCP TypeScript SDK: Pojedyncze żądanie HTTP w domyślnym limicie rozmiaru mogło wyczerpać pamięć serwera podczas walidacji

W podatnych wersjach MCP TypeScript SDK pojedyncze żądanie HTTP mieszczące się w domyślnym limicie rozmiaru może wyczerpać pamięć serwera podczas walidacji, doprowadzając do odmowy usługi i awarii procesu.

npm

@modelcontextprotocol/sdk, @modelcontextprotocol/server

Średnia 20.10.2026

CVE-2026-113659

ApostropheCMS: Client-side Prototype Pollution w apos.http.parseQuery prowadzące do DOM-based XSS przeciwko uwierzytelnionym użytkownikom

Podatność typu client-side prototype pollution w ApostropheCMS umożliwia wykonanie dowolnego kodu JavaScript w sesji uwierzytelnionego użytkownika, jeśli ofiara otworzy spreparowany odnośnik. Może to prowadzić do przejęcia konta oraz pełnego skompromitowania instancji CMS.

npm

apostrophe

Średnia 20.10.2026

CVE-2026-113660

ApostropheCMS: Pominięcie autoryzacji na poziomie obiektu w exist-in-locale ujawnia identyfikatory zastrzeżonych wersji roboczych

W ApostropheCMS przed wersją 4.33.0 interfejs API exist-in-locale umożliwia uwierzytelnionym użytkownikom sprawdzanie istnienia zastrzeżonych dokumentów i wersji roboczych oraz pobieranie ich identyfikatorów bez odpowiedniej autoryzacji na poziomie obiektu.

npm

apostrophe

Niska 20.10.2026

CVE-2026-113657

ApostropheCMS sanitize-html: Pominięcie prefiksu przestrzeni nazw animacji SMIL umożliwia wstrzyknięcie URI javascript: (XSS)

Błąd pomijania prefiksu przestrzeni nazw w sanitize-html pozwala elementom animacji SVG SMIL obejść filtrowanie adresów URL, co może umożliwić atak cross-site scripting, jeśli dozwolone są tagi SVG.

npm

sanitize-html

Wysoka 20.10.2026

CVE-2026-113666

ApostropheCMS: Usuwanie składowych prototypu przez wykluczenie w projekcji w @apostrophecms/db-connect powoduje odmowę usługi dla całego procesu

W ApostropheCMS uwierzytelniony użytkownik korzystający z adaptera SQLite lub PostgreSQL może usunąć metody z prototypu za pomocą projekcji wykluczających, wywołując trwałą odmowę usługi w całym procesie Node.

npm

apostrophe, @apostrophecms/db-connect

Średnia 20.10.2026

CVE-2026-113654

ApostropheCMS sanitize-html: obszar odrzucania nonTextTags kończy się przedwcześnie przy domyślnym zamknięciu, zezwalając na renderowanie zawartości <noscript>

W pakiecie sanitize-html przed wersją 2.18.0 domyślne zamknięcie wewnątrz elementów takich jak <noscript> powoduje przedwczesne zakończenie obszaru odrzucania i nieoczekiwane renderowanie zawartości jako kodu HTML.

npm

sanitize-html

Wysoka 20.10.2026

CVE-2026-111752

@angular/router: Odmowa usługi poprzez niedopasowane dopasowywanie tras outletów o pustej ścieżce w renderowaniu po stronie serwera (SSR)

Luka typu odmowa usługi w Angular Router dotyczy renderowania po stronie serwera (SSR) w Node.js. Nieuwierzytelnieni atakujący mogą przesyłać spreparowane adresy URL z pustymi segmentami outletów, co doprowadza do wyczerpania pamięci lub zasobów procesora i awarii procesu roboczego.

npm

@angular/router

Wysoka 08.10.2026

CVE-2026-107723

fast-jwt : Silent claim-validator bypass when JWT payload is a JSON array

npm

fast-jwt

Średnia 08.10.2026

CVE-2026-107391

music-metadata: MP4 stsd sample-entry size==0 causes a synchronous infinite loop (DoS) — unreleased regression on master

npm

music-metadata

Średnia 08.10.2026

CVE-2026-107387

music-metadata: Uncontrolled memory allocation in APEv2 parser

npm

music-metadata

Średnia 08.10.2026

CVE-2026-107388

music-metadata: ID3v2 tag size not validated before allocation, causing memory exhaustion DoS

npm

music-metadata

Średnia 08.10.2026

CVE-2026-107389

music-metadata: EBML parser trusts element lengths, allowing memory exhaustion or process abort

npm

music-metadata

Wysoka 08.10.2026

CVE-2026-107383

MariaDB Connector/Node.js exposes uninitialized process memory through malformed GeoJSON parameters

npm

mariadb

Krytyczna 08.10.2026

CVE-2026-106445

Handlebars: JavaScript Injection via Own Property Check Bypass

npm

handlebars

Wysoka 08.10.2026

CVE-2026-107375

JHipster: SQL Injection in the Parameter of JHipster-Generated Reactive (WebFlux + R2DBC) Applicationssort

npm

generator-jhipster

Wysoka 08.10.2026

CVE-2026-107303

JHipster: Generated Applications Allow Stored XSS via Unrestricted Blob ContentType Opened as Same-Origin Blob

npm

generator-jhipster, react-jhipster

Średnia 08.10.2026

CVE-2026-107298

msgpack5: Deeply nested input can exhaust the decoder stack

npm

msgpack5

Wysoka 07.10.2026

CVE-2026-105860

Payload has a tenant authorization bypass in Multi-Tenant Plugin

npm

@payloadcms/plugin-multi-tenant

Średnia 07.10.2026

CVE-2026-106120

LiquidJS: ownPropertyOnly bypass for inherited array indices in first/last/join/reverse/slice/compact, `.first`/`.last`, negative index, and for-loop iteration

npm

liquidjs