Średnia
CVE-2026-114128
Archiwum podatności
Poznaj podatności. Chroń swoje aplikacje.
Dowiedz się, które luki zagrażają Twoim technologiom i jak je usunąć. Znajdziesz tu opisy zagrożeń, podatne wersje i konkretne zalecenia - od CMS-ów i wtyczek po biblioteki aplikacji.
Archiwum podatności 561
Wyczyść filtry
Niska
CVE-2026-114127
Astro: Arbitrary CSS injection in Astro View Transitions
Średnia
CVE-2026-112954
ApostropheCMS: Unauthenticated publicApiProjection bypass via search and sort query builders in the public REST API
Średnia
CVE-2026-112944
launch-editor: Editor CLI flag misinterpretation causing arbitrary command execution for some editors
Średnia
CVE-2026-112950
Vitest: Obejście listy dozwolonych przekierowań w @vitest/mocker poprzez znaki ukośnika odwrotnego w systemie Windows
Luka typu path traversal w systemie Windows pozwala klientom mającym dostęp do serwera Vite obejść listę dozwolonych przekierowań za pomocą ukośników odwrotnych. Umożliwia to odczyt plików spoza katalogu głównego Vite, do których dostęp ma proces serwera.
Średnia
CVE-2026-62197
OpenClaw: Wykrywanie CDP przeglądarki może akceptować zablokowane adresy URL WebSocket
Wykrywanie CDP w OpenClaw może akceptować zablokowane adresy WebSocket, co pozwala wywołującym o niższym zaufaniu łączyć się z celami sieciowymi, które powinny być blokowane przez politykę.
Krytyczna
CVE-2026-114125
Storybook: Brak weryfikacji pochodzenia w Storybook preview umożliwia wstrzyknięcie kodu przez złośliwe witryny
Brak weryfikacji pochodzenia w Storybook preview pozwala złośliwej witrynie na nieautoryzowane modyfikacje plików na uruchomionym serwerze deweloperskim. W określonych warunkach i przy interakcji użytkownika może to doprowadzić do wykonania dowolnego kodu na maszynie programisty.
Średnia
CVE-2026-113800
Electron: weryfikacja uprawnień HID i USB może zostać przypisana do niewłaściwego źródła
Błąd w Electron powoduje przypisanie uprawnień HID i USB z ramki iframe do ramki nadrzędnej. W rezultacie aplikacje weryfikujące pochodzenie mogą przyznać osadzonej ramce dostęp do urządzeń przeznaczony dla strony głównej.
Średnia
CVE-2026-112957
ApostropheCMS: GET /api/v1/@apostrophecms/page/:id omija ograniczenie viewRole i ujawnia pola chronione przez viewPermission użytkownikom o niższych uprawnieniach
W ApostropheCMS przed wersją 4.34.0 punkt końcowy REST pomija ograniczenia stron i pól, co pozwala użytkownikom z uprawnieniami edytora na odczyt poufnych danych po poznaniu identyfikatora dokumentu.
Niska
CVE-2026-113648
ApostropheCMS: Brak uwierzytelnienia w trasie `cleanExport`
Brak uwierzytelnienia w ApostropheCMS pozwala nieuwierzytelnionym użytkownikom ze standardowym plikiem cookie CSRF na wywoływanie operacji czyszczenia, usuwanie tymczasowych plików eksportu oraz modyfikowanie zadań w bazie danych.
Średnia
CVE-2026-112952
ApostropheCMS: Ujawnienie istnienia prywatnych i administracyjnych treści przez punkt końcowy doc/slugTaken
Luka w ApostropheCMS pozwala każdemu uwierzytelnionemu użytkownikowi na enumerację slugów w systemie za pośrednictwem punktu końcowego doc/slugTaken, ujawniając istnienie prywatnych, roboczych i administracyjnych treści.
Średnia
CVE-2026-112958
ApostropheCMS: Podatność Stored XSS przez brak ucieczki znaków przy serializacji atrybutów stylów widgetów
W ApostropheCMS występuje podatność typu stored XSS, w której kontrolowane przez edytora wartości pól stylów w widgetach są serializowane do atrybutów HTML bez ucieczki znaków, co pozwala na wykonanie dowolnego skryptu.
Średnia
CVE-2026-112951
ApostropheCMS: Obejście walidacji pola koloru umożliwia przechowywany XSS przez kod HTML dołączony po prefiksie rgb()/hsl()
Podatność na przechowywany cross-site scripting w ApostropheCMS pozwala uwierzytelnionym użytkownikom z prawami edycji na wstrzyknięcie złośliwego kodu HTML i JavaScript w polach koloru. Zaleca się aktualizację do wersji 4.34.0 lub nowszej.
Średnia
CVE-2026-113649
ApostropheCMS: API importu omija role publikacji dla chronionych treści
W ApostropheCMS interfejs API importu omija role publikacji, co pozwala użytkownikom z uprawnieniami edycji na nieautoryzowane tworzenie, zastępowanie lub usuwanie opublikowanych treści.
Średnia
CVE-2026-112955
ApostropheCMS: Archiwa importu mogą wyczerpać pamięć masową serwera i wywołać odmowę usługi
Luka w ApostropheCMS pozwala uwierzytelnionym użytkownikom na wyczerpanie pamięci masowej serwera podczas rozpakowywania archiwów z powodu braku limitów zasobów i usuwania pozostałości po awarii, co może wywołać odmowę usługi.
Średnia
CVE-2026-112956
ApostropheCMS: Kontynuacja duplikatów archiwum pozwala współpracownikom na nadpisywanie opublikowanych treści
W pakiecie @apostrophecms/import-export funkcja overrideDuplicates akceptuje wybory zastąpienia przekazane przez klienta, co pozwala współpracownikom nadpisywać opublikowane treści bez uprawnień do publikacji.
Niska
CVE-2026-112945
Vite: Wykonywanie skryptów cross-origin poprzez niestandardowe oprogramowanie pośredniczące Vite
Luka w Vite umożliwia wykonywanie skryptów cross-origin, gdy serwer deweloperski przekazuje niezmodyfikowany URL żądania do niestandardowego oprogramowania pośredniczącego. Pozwala to atakującemu na uruchomienie skryptów w kontekście strony serwowanej przez serwer deweloperski.
Średnia
CVE-2026-112947
Vite: Pierwsze 4 bajtów plików spoza ustawienia `server.fs` jest ujawniane przez `?vite-wasm-instance`
Na serwerach deweloperskich Vite działających w środowisku Node.js lub Deno spreparowane żądania mogą ujawnić początkowe bajty plików spoza dozwolonych ścieżek dostępu za pośrednictwem komunikatów o błędach parsera WebAssembly.
Średnia
CVE-2026-112946
Vite: Pliki spoza `server.fs.allow` mogły być serwowane, gdy ścieżki projektu odpowiadają ścieżkom systemowym na maszynach innych niż Windows
W środowisku Vite na systemach innych niż Windows pliki spoza katalogu głównego projektu mogą zostać udostępnione, jeśli importowana ścieżka odpowiada bezwzględnej ścieżce systemowej, a serwer deweloperski jest dostępny w sieci. Aktualizacja do poprawionej wersji rozwiązuje ten problem.
Wysoka
CVE-2026-113711
ApostropheCMS: Nieuwierzytelnione wyczerpanie zasobów poprzez przetwarzanie aposBigUpload przed uwierzytelnieniem w @apostrophecms/import-export
Luka w ApostropheCMS pozwala nieuwierzytelnionemu atakującemu na wywołanie operacji przetwarzania i czyszczenia przesyłanych porcji plików przed autoryzacją, co prowadzi do wyczerpania zasobów i odmowy usługi.
Wysoka
CVE-2026-111758
markdown-it: Kwadratowy czas renderowania pojedynczej wielowierszowej definicji odnośnika przy domyślnych opcjach (regresja od 14.0)
Luka typu denial of service w bibliotece markdown-it pozwala zdalnym atakującym zablokować pętlę zdarzeń Node.js za pomocą spreparowanych wielowierszowych definicji odnośników. Niezamknięte definicje powodują kwadratowy czas przetwarzania przy domyślnych ustawieniach.
Średnia
CVE-2026-111753
@angular/common: Wyciek tokena XSRF przez rozbieżność w parsowaniu adresów URL w kliencie HTTP Angulara (Niekompletna poprawka dla CVE-2025-66035)
Rozbieżność w parsowaniu adresów URL w kliencie HTTP frameworka Angular może prowadzić do wycieku tokenów XSRF do zewnętrznych domen. Atakujący może wykorzystać przechwycone tokeny do wykonywania nieautoryzowanych operacji w ramach sesji uwierzytelnionego użytkownika.
Wysoka
CVE-2026-111768
MCP TypeScript SDK: Pojedyncze żądanie HTTP w domyślnym limicie rozmiaru mogło wyczerpać pamięć serwera podczas walidacji
W podatnych wersjach MCP TypeScript SDK pojedyncze żądanie HTTP mieszczące się w domyślnym limicie rozmiaru może wyczerpać pamięć serwera podczas walidacji, doprowadzając do odmowy usługi i awarii procesu.
Niska
CVE-2026-111766
markdown-it: Odmowa usługi z kwadratowym czasem parsowania liniowego HTML przy włączonej opcji html
W markdown-it przy włączonym HTML parsowanie niezamkniętych struktur HTML prowadzi do kwadratowego czasu wykonania, co pozwala zablokować pętlę zdarzeń Node.js i wywołać odmowę usługi.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.