CVE Vulnerability Catalog

n8n to platforma automatyzacji procesów roboczych typu open source. Przed wersjami 1.123.12 i 2.4.0, podczas przetwarzania przesłanych plików i ich transferu do zdalnych serwerów za pomocą węzła SSH, brak walidacji metadanych może prowadzić do zapisywania plików w niezamierzonych lokalizacjach.

A vulnerability in the Crass library involves unbounded exponentiation when converting CSS scientific notation number values before clamping the result to Float::MAX. Applications that use Crass to parse attacker-controlled CSS strings can be forced to consume excessive CPU and memory when processing a tiny input.

Podatność dotyczy niektórych pakietów React Server Components w wersjach 19.x oraz frameworków, które używają tych pakietów, w tym Next.js w wersjach 13.x, 14.x, 15.x i 16.x korzystających z App Router. Problem jest śledzony w systemie jako CVE-2026-23870.

W jądrze systemu Linux zidentyfikowano podatność w module AppArmor, która dotyczy walidacji stanów początkowych DFA w funkcji unpack_pdb. Stany początkowe są odczytywane z niezaufanych danych i mogą prowadzić do odczytu poza granicami tablic stanów DFA, co skutkuje błędem.

In GitPython, Remote.pull() forwards its positional refspec argument directly to the git pull child process while its unsafe-option guard inspects only keyword arguments. An application that passes attacker-influenced data as the refspec (e.g., a user-supplied branch name) may allow injection of unsafe options.

GitPython's config-name validator only neutralizes CR/LF/NUL for the "option" label; it does not reject =, #, ;, [, ], or whitespace in an option name. write_section writes the option name verbatim into the config file, so an option name such as sshCommand = touch <cmd> can inject configuration.

GitPython spent 2022-2026 rolling out two reusable guards method-by-method: Git.check_unsafe_protocols(url) (raises UnsafeProtocolError for <transport>:: remote-helper URLs) and Git.check_unsafe_options(...) (raises UnsafeOptionError for denylisted options). The description indicates the rollout did not cover all code paths.

Multiple cases were found in aiohttp where excessive or unbounded memory use, or excessive CPU consumption, can be triggered by attacker-controlled requests. An attacker could cause resource exhaustion through specially crafted requests.

A call to the token endpoint with a grant type of urn:ietf:params:oauth:grant-type:device_code and a bogus device_code can obtain a bearer token as long as a valid client ID enabled for the device workflow is known. This violates RFC 8628.

Pillow wheels from 11.1.0 onward bundle a libopenjp2 containing a heap-buffer-overflow write that is fixed upstream on master but has never appeared in an OpenJPEG release. Because the wheel bundles its own copy, a patched host library does not protect against the issue.

W wersjach przed 1.15.1 i 0.31.1 w kliencie HTTP Axios występuje podatność na zanieczyszczenie prototypu, która umożliwia atakującemu wstrzykiwanie dowolnych nagłówków HTTP do wychodzących żądań. Problem ten znajduje się w adapterze HTTP (lib/adapters/http.js).

The description of this report does not contain sufficient technical information about the vulnerability — it only includes a note about the reporting method and references to files that were not attached. The nature and scope of the issue cannot be determined from it.

In Pillow's libtiff encoder (PyImaging_LibTiffEncoderNew in src/encode.c), crafted TIFF tags can cause memory disclosure and a segfault. The issue occurs when creating the LibTiff encoder.

Hono to framework aplikacji webowych, który wspiera dowolne środowisko uruchomieniowe JavaScript. Przed wersją 4.12.4, używając serveStatic razem z ochronami middleware opartymi na trasach, niespójne dekodowanie URL pozwalało na dostęp do chronionych zasobów statycznych bez odpowiednich uprawnień.

This is a residual of GHSA-g5vv-9gxw-82hx / CVE-2026-87819. The 3.1.60 fix made Actor._from_string regex-free, but parse_actor_and_date still runs _re_actor_epoch on the same author/committer/tagger line one step earlier. That pattern backtracks quadratically when the trailing epo...

W jądrze Linuxa zidentyfikowano podatność, która pozwala nieuprzywilejowanemu lokalnemu użytkownikowi na zarządzanie politykami AppArmor. Użytkownik może załadować, zastąpić lub usunąć profile, wykorzystując atak 'confused deputy', co prowadzi do pełnego zarządzania polityką.

W wersjach przed 1.19.10 biblioteki @hono/node-server, podczas korzystania z serwowania statycznych plików oraz ochrony opartych na trasach, występuje niespójne dekodowanie URL, co może umożliwić dostęp do chronionych zasobów statycznych.

@isaacs/brace-expansion to hybrydowy fork TypeScript brace-expansion, który przed wersją 5.0.1 jest podatny na atak typu denial of service (DoS) spowodowany nieograniczonym rozszerzaniem zakresów klamrowych. Atakujący może dostarczyć wzór zawierający powtarzające się numeryczne zakresy klamrowe.

Effect to framework TypeScript składający się z kilku pakietów, które współpracują w celu budowy aplikacji TypeScript. Przed wersją 3.20.0, używając `RpcServer.toWebHandler` (lub `HttpApp.toWebHandlerRuntime`) w handlerze trasy Next.js App Router, występowały problemy z `AsyncLocalStorage` w Node.js.

W GlusterFS w wersji 11.0 występuje podatność typu use-after-free w funkcji dht_setxattr_mds_cbk w pliku dht-common.c. Może to prowadzić do nieprzewidzianego zachowania aplikacji lub awarii systemu.