Poznaj podatności. Chroń swoje aplikacje.

Wysoka 20.10.2026

CVE-2026-111770

MCP TypeScript server SDK: Współdzielone instancje transportu lub serwera przekazywały wiadomości jednego klienta HTTP do innego

Luka w pakiecie MCP TypeScript server SDK sprawia, że odpowiedzi i powiadomienia mogą trafiać do niewłaściwego klienta HTTP przy współdzieleniu instancji serwera lub transportu.

npm

@modelcontextprotocol/server

Średnia 20.10.2026

CVE-2026-109955

Hono: `serveStatic` dekoduje ścieżkę żądania po raz drugi, prowadząc do obejścia middleware na statycznych ścieżkach

Błąd podwójnego dekodowania ścieżki w Hono pozwala na obejście oprogramowania pośredniczącego na statycznych ścieżkach, umożliwiając nieautoryzowany dostęp do chronionych plików.

npm

hono

Wysoka 05.10.2026

CVE-2026-102826

simple-git allows command execution through unblocked Git configuration includes

npm

simple-git

Wysoka 05.10.2026

CVE-2026-104854

Nx daemon and plugin worker sockets are accessible to other local users

npm

nx

Średnia 30.09.2026

CVE-2026-93981

hono/jsx renders plain strings unescaped in boundary components, leading to XSS

npm

hono

Średnia 30.09.2026

CVE-2026-101899

Axios: CIDR-form NO_PROXY entries are ignored, causing proxy exclusion bypass for internal IP ranges

npm

axios

Wysoka 30.09.2026

CVE-2026-101907

Axios: maxRedirects: 0 is not enforced by the fetch adapter, allowing redirect-based SSRF

npm

axios

Wysoka 30.09.2026

CVE-2026-101898

Axios: HTTP/2 adapter bypasses configured DNS lookup and proxy controls

npm

axios

Średnia 22.09.2026

CVE-2026-56682

9Router has a Login Brute-Force Lockout Bypass via Spoofable X-9r-Real-Ip Header

npm

9router

Średnia 08.09.2026

CVE-2026-84365

Hono: Incomplete fix for CVE-2026-39408: `toSSG()` still writes files outside the output directory

npm

hono

Średnia 08.09.2026

CVE-2026-84364

Hono: Unbounded dot-notation nesting in `parseBody()` can cause memory exhaustion

npm

hono

Średnia 08.09.2026

CVE-2026-84363

Hono: Query parser reads parameters after the URL fragment, causing cache-key and proxy interpretation differentials

npm

hono

Średnia 08.09.2026

CVE-2026-92595

Nodemailer: resolveContent() on a MailMessage bypasses disableFileAccess/disableUrlAccess when called with the legacy signature

npm

nodemailer

Wysoka 04.09.2026

CVE-2026-75915

CodeWhale: js_execution leaks parent environment to model context via missing env scrub

npm

codewhale, deepseek-tui

Wysoka 04.09.2026

CVE-2026-75913

CodeWhale: Argument Injection in `git_show` Tool Allows Arbitrary File Write Without Approval

npm

codewhale, deepseek-tui

Krytyczna 03.09.2026

CVE-2026-71865

Orval: Import-time RCE via query parameter name -> computed-property-key injection in the zod cli

npm

orval

Krytyczna 03.09.2026

CVE-2026-71864

Orval: Import-time RCE via header parameter name -> computed-property-key injection in the zod client

npm

orval

Średnia 31.08.2026

CVE-2026-81888

@hono/oauth-providers: OAuth state check fails open on omitted state, enabling login CSRF and forced account linking

npm

@hono/oauth-providers

Wysoka 25.08.2026

CVE-2026-55557

browse-mcp has an arbitrary file write via unconfined download and state paths

npm

browse-mcp

Średnia 19.08.2026

CVE-2026-59992

Tina: Broken Access Control: arbitrary bucket-key write/delete in `next-tinacms-s3` (and sibling production media adapters)

npm

next-tinacms-azure, next-tinacms-cloudinary, next-tinacms-dos +1

Średnia 07.08.2026

CVE-2026-71850

Hono: `memo()` retains SSR output across requests, leading to cross-user data disclosure

npm

hono

Niska 07.08.2026

CVE-2026-71849

Hono: Proxy Helper does not remove response headers listed in the `Connection` header

npm

hono

Średnia 07.08.2026

CVE-2026-71848

Hono: Algorithmic Complexity DoS in Language Middleware

npm

hono

Średnia 05.08.2026

CVE-2026-70610

Electron: contextBridge object copy honors prototype setters

npm

electron