Średnia
CVE-2026-113721
Archiwum podatności
Poznaj podatności. Chroń swoje aplikacje.
Dowiedz się, które luki zagrażają Twoim technologiom i jak je usunąć. Znajdziesz tu opisy zagrożeń, podatne wersje i konkretne zalecenia - od CMS-ów i wtyczek po biblioteki aplikacji.
Archiwum podatności 245
Wyczyść filtry
Średnia
CVE-2026-114603
OpenTelemetry Python: Unbounded tracestate parsing in opentelemetry-api
Średnia
CVE-2026-113724
virtualenv: Deletion recovery can change a symlink target's mode
Średnia
CVE-2026-112899
Pillow: EPS load(scale) lets Ghostscript render past the decompression bomb limit
Średnia
CVE-2026-111059
Mercury: Stored / DOM Cross-Site Scripting (XSS): mr.Markdown renders untrusted content as raw, unsanitized HTML
Średnia
CVE-2026-112394
Pillow: Dekodery P;2L i P;4L mogą odczytać od 1 do 3 bajtów poza przekazanym rozmiarem bufora
Luka typu out-of-bounds read w bibliotece Pillow pozwala wybranym dekoderom odczytać dane z pamięci sterty poza buforem podczas przetwarzania obrazów o określonych wymiarach. Może to prowadzić do ujawnienia zawartości pamięci w zdekodowanych pikselach lub awarii aplikacji.
Wysoka
CVE-2026-112392
Pillow: Dereferencja wskaźnika NULL w ImagingExpand poprzez filtry rangowe na obrazach o zerowym rozmiarze
Zastosowanie w Pillow filtrów rangowych, medianowych, minimalnych lub maksymalnych do obrazów o zerowej szerokości lub wysokości wywołuje dereferencję wskaźnika NULL, powodując awarię procesu Pythona i odmowę usługi.
Wysoka
CVE-2026-112390
Pillow: Nieskończona pętla w MIC n_frames przy osadzonym TIFF
Luka w bibliotece Pillow pozwala spreparowanym plikom Microsoft Image Composer (MIC) z osadzonymi strumieniami TIFF wywołać nieskończoną pętlę i pełne obciążenie procesora podczas sprawdzania liczby klatek, co prowadzi do odmowy usługi.
Wysoka
CVE-2026-112400
Pillow: przewijanie GIF zachowuje odrzucony rozmiar po DecompressionBombError, umożliwiając DoS
Błąd w bibliotece Pillow pozwala, aby spreparowany plik GIF wywołał nadmierną alokację pamięci, gdy aplikacja przechwytuje błąd dekompresji podczas przewijania klatek i używa ponownie obiektu obrazu. Może to prowadzić do wyczerpania pamięci i odmowy usługi.
Średnia
CVE-2026-102832
JupyterLab: Monit zaufania łącza polecenia może oznaczyć jako zaufany inny dokument niż kliknięty
W JupyterLab monit zaufania dla łącza polecenia może oznaczyć jako zaufany bieżący dokument zamiast klikniętego. Umożliwia to późniejsze wykonywanie poleceń w niezaufanym dokumencie bez potwierdzenia ze strony użytkownika.
Średnia
CVE-2026-107841
pacioli: Znacznik zgody na zatwierdzenie zezwalał na anulowanie istniejących dokumentów wskazanych przez wywołującego
Błąd autoryzacji w mechanizmie kontroli zgód pacioli pozwala zagnieżdżonym operacjom anulować wskazane przez wywołującego istniejące dokumenty bez wymaganych znaczników zgody lub wpisów audytowych.
Średnia
ghsa-9q47-3cm2-2rp8
pyLoad: Rate-Limit Bypass and Audit-Log Spoofing via Trusted Client-Controlled `X-Forwarded-For` Header
Wysoka
ghsa-889w-m37p-88m5
pyLoad: Api.set_user_permission never invalidates the target's session
Średnia
ghsa-p3pr-8f3m-4qp8
pyLoad WindowsPhoneNotify addon: non-admin SETTINGS user triggers SSRF via unguarded http.client notification host
Średnia
CVE-2026-75597
pyLoad: Unauthenticated access to /web/<path:filename> bypasses authentication on sensitive templates and leaks internal error details via exception attribute typo
Wysoka
CVE-2026-107728
Strawberry GraphQL: Synchronous permission checks can treat an awaitable authorization result as truthy
Wysoka
CVE-2026-61435
PraisonAI: Call API localhost-only authentication bypass via spoofed Host header
Średnia
CVE-2026-61431
PraisonAI: ContextGatherer include resolution permits absolute and traversal reads outside the workspace
Średnia
CVE-2026-46438
wger: Cross-User Data Corruption via Missing Ownership Check on WorkoutLog.slot_entry
Średnia
CVE-2026-45161
wger: trainer_login accepts GET - CSRF bypass enables forced session rebinding
Wysoka
CVE-2026-43976
wger: cross-tenant admin notes/contracts leak via gym=None bypass (5 views)
Średnia
ghsa-j8f7-x8jm-wmm4
Langflow: SSRF in URL-taking components (protection disabled by default / warn-only, not applied to RSS, SearXNG, Web Search, Home Assistant, Glean, Docling)
Niska
CVE-2026-105752
vLLM: Harmony tool continuations drop `cache_salt` — restoring a cross-tenant prefix-cache membership oracle
Średnia
CVE-2026-96747
PyMongo: PYTHON-5990 Forced Unix domain socket connection via a .sock KMS endpoint in client-side field level encryption
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.