Poznaj podatności. Chroń swoje aplikacje.

Wysoka 20.10.2026

CVE-2026-111768

MCP TypeScript SDK: Pojedyncze żądanie HTTP w domyślnym limicie rozmiaru mogło wyczerpać pamięć serwera podczas walidacji

W podatnych wersjach MCP TypeScript SDK pojedyncze żądanie HTTP mieszczące się w domyślnym limicie rozmiaru może wyczerpać pamięć serwera podczas walidacji, doprowadzając do odmowy usługi i awarii procesu.

npm

@modelcontextprotocol/sdk, @modelcontextprotocol/server

Wysoka 20.10.2026

CVE-2026-111770

MCP TypeScript server SDK: Współdzielone instancje transportu lub serwera przekazywały wiadomości jednego klienta HTTP do innego

Luka w pakiecie MCP TypeScript server SDK sprawia, że odpowiedzi i powiadomienia mogą trafiać do niewłaściwego klienta HTTP przy współdzieleniu instancji serwera lub transportu.

npm

@modelcontextprotocol/server

Krytyczna 08.10.2026

CVE-2026-107722

fast-jwt: Incomplete patch of CVE-2026-34950: Non-whitespace key-prefix re-enables RSA→HS256 algorithm confusion

npm

fast-jwt

Średnia 05.10.2026

CVE-2026-74866

@fastify/busboy vulnerable to CRLF injection via multipart Content-Disposition filename and name

npm

@fastify/busboy

Wysoka 02.10.2026

CVE-2026-19481

@fastify/busboy vulnerable to Denial of Service via prototype-named multipart part header

npm

@fastify/busboy

Wysoka 02.10.2026

CVE-2026-19484

@fastify/busboy vulnerable to Denial of Service via oversized multipart boundary

npm

@fastify/busboy

Średnia 30.09.2026

CVE-2026-92081

fastify vulnerable to Denial of Service via unhandled exception on HTTP/2 trailer responses

npm

fastify

Wysoka 30.09.2026

CVE-2026-84504

fastify vulnerable to request body replacement via an async validation result collision

npm

fastify

Wysoka 30.09.2026

CVE-2026-76169

fastify vulnerable to authentication bypass via malformed URLs reaching encapsulated not-found handlers

npm

fastify

Wysoka 30.09.2026

CVE-2026-84469

fastify vulnerable to request validation bypass via skipped boolean false schemas

npm

fastify

Wysoka 30.09.2026

CVE-2026-84428

fastify vulnerable to header validation bypass via incomplete schema case normalization

npm

fastify

Wysoka 30.09.2026

ghsa-9c5c-9qcx-q35q

@nestjs/platform-fastify: Path-scoped middleware bypass via absolute-form request targets

npm

@nestjs/platform-fastify

Średnia 22.09.2026

CVE-2026-58271

@sync-in/server vulnerable to TOTP Brute-Force via `POST /api/app/sync/register`

npm

@sync-in/server

Wysoka 09.09.2026

CVE-2026-59179

@openhop/server: Path Traversal in Flow ID File Operations

npm

@openhop/server

Średnia 02.09.2026

CVE-2026-16732

fastify vulnerable to X-Forwarded-* spoofing under trustProxy hop-count

npm

fastify

Średnia 02.09.2026

CVE-2026-18504

fastify vulnerable to schema validation bypass via root primitive coercion mismatch

npm

fastify

Średnia 24.07.2026

CVE-2026-7120

@fastify/static vulnerable to Authorization Bypass via Non-Canonical URL Paths

npm

@fastify/static

Wysoka 24.07.2026

CVE-2026-15074

@fastify/static vulnerable to route guard bypass via path traversal

npm

@fastify/static

Wysoka 18.06.2026

CVE-2026-55388

piscina: Prototype Pollution Gadget → RCE via inherited options.filename

npm

piscina

Wysoka 15.06.2026

CVE-2026-54281

Nest: Middleware Bypass on Fastify via Trailing Slash

npm

@nestjs/platform-fastify

Wysoka 15.06.2026

CVE-2026-49982

tmp: Type-confusion bypass of _assertPath allows path traversal via non-string prefix/postfix/template

npm

tmp

Średnia 22.05.2026

CVE-2026-8723

qs has a remotely triggerable DoS: qs.stringify crashes with TypeError on null/undefined entries in comma-format arrays when encodeValuesOnly is set

npm

qs

Wysoka 08.05.2026

CVE-2026-7768

@fastify/accepts-serializer Vulnerable to Denial of Service via Unbounded Accept Header Cache Growth

npm

@fastify/accepts-serializer

Średnia 05.05.2026

CVE-2026-42039

Axios: unbounded recursion in toFormData causes DoS via deeply nested request data

npm

axios