npm

RSS JSON

sexta-feira, 23 de outubro
- GitHub CVE-2026-77366
  tokens do obsidian-tc podem acessar vaults configurados arbitrários
  - The-40-Thieves obsidian-tc
  - Crítica
  - CVSS 9.9
  - EPSS 0,31%
  - Versão corrigida informada
  17:29 UTC
quinta-feira, 22 de outubro
- GitHub GHSA-673q-mjm6-r5xr
  Next.js: Execução remota de código não autenticada nas funções `use cache` que retornam arrays tipados
  - next (npm)
  - Crítica
  - CVSS 9.5
  - Versão corrigida informada
  16:42 UTC
- GitHub GHSA-2464-fhr4-w9xw
  Next.js: Execução remota de código não autenticada na API de otimização de imagens quando arquivos SVG são usados.
  - next (npm)
  - Crítica
  - CVSS 9.5
  - Versão corrigida informada
  15:52 UTC
- GitHub GHSA-cg2g-xh64-v4q7
  Contornar SAFE_FOR_TEMPLATES do DOMPurify: expressões de template divididas sobrevivem no conteúdo da shadow root anexada nos modos de saída DOM
  - dompurify (npm)
  - Crítica
  - CVSS 9.2
  - Versão corrigida informada
  16:25 UTC
- GitHub CVE-2026-114139
  Sentry-Javascript: Contorno de Middleware ao usar a rota Tunnel
  - getsentry sentry-javascript
  - Crítica
  - CVSS 9.1
  - EPSS 0,41%
  - Versão corrigida informada
  15:55 UTC
quarta-feira, 21 de outubro
- GitHub CVE-2026-114125
  Storybook: Falta de validação de origem no preview do Storybook permite a injeção de código de sites maliciosos
  - storybookjs storybook
  - Crítica
  - CVSS 9.4
  - EPSS 0,38%
  - Versão corrigida informada
  17:23 UTC
quinta-feira, 15 de outubro
- GitHub CVE-2026-102989
  TanStack Router: XSS refletido não autenticado nas respostas de função de servidor do TanStack Start
  - TanStack router
  - Crítica
  - CVSS 9.3
  - EPSS 0,52%
  - Versão corrigida informada
  20:22 UTC
sexta-feira, 9 de outubro
- GitHub CVE-2026-108261
  iframe de pré-visualização do admin do TinaCMS carrega uma origem controlada pelo atacante a partir do fragmento da URL
  - tinacms tinacms
  - Crítica
  - CVSS 9.3
  - EPSS 0,16%
  - Versão corrigida informada
  20:56 UTC
quinta-feira, 8 de outubro
- CISA KEVGitHub CVE-2023-22894
  Strapi vazando informações sensíveis de usuários ao filtrar em campos privados
  - Strapi Strapi
  - Alta
  - CVSS 7.5
  - EPSS 3,61%
  - Versão corrigida informada
  Prazo CISA: 11 de out. de 2026
- GitHub CVE-2026-107722
  fast-jwt: Patch incompleto para CVE-2026-34950: prefixo de chave não-espacial reativa confusão de algoritmo RSA→HS256
  - nearform fast-jwt
  - Crítica
  - CVSS 9.8
  - EPSS 0,27%
  - Versão corrigida informada
  22:02 UTC
- GitHub CVE-2026-106446
  Handlebars: Injeção de JavaScript via confusão de tipo AST em compile (contorno de CVE-2026-33937)
  - handlebars-lang handlebars.js
  - Crítica
  - CVSS 9.8
  - EPSS 0,64%
  - Versão corrigida informada
  17:52 UTC
- GitHub CVE-2026-106445
  Handlebars: Injeção de JavaScript via contorno de verificação de propriedade própria
  - handlebars-lang handlebars.js
  - Crítica
  - CVSS 9.2
  - EPSS 0,41%
  - Versão corrigida informada
  17:52 UTC
quarta-feira, 7 de outubro
- GitHub CVE-2026-105857
  Payload Form Builder tem um problema de execução remota de código
  - payloadcms payload
  - Crítica
  - CVSS 10.0
  - EPSS 0,43%
  - Versão corrigida informada
  20:28 UTC
- GitHub CVE-2026-93605
  vm2 contém uma vulnerabilidade de escape de sandbox
  - patriksimek vm2
  - Crítica
  - CVSS 10.0
  - EPSS 0,73%
  - Versão corrigida informada
  18:05 UTC
- GitHub CVE-2026-106102
  Quasar Framework: XSS armazenado/refletido via renderização de meta tag SSR não escapada em getHead()
  - quasarframework quasar
  - Crítica
  - CVSS 10.0
  - EPSS 0,3%
  - Versão corrigida informada
  16:14 UTC
- GitHub CVE-2026-105859
  Payload: atualização não autorizada de documentos de coleção
  - payloadcms payload
  - Crítica
  - CVSS 9.8
  - EPSS 0,35%
  - Versão corrigida informada
  20:28 UTC
- GitHub CVE-2026-106501
  Backstage: exposição de informações sensíveis no Scaffolder
  - backstage backstage
  - Crítica
  - CVSS 9.6
  - EPSS 0,48%
  - Versão corrigida informada
  17:59 UTC
- GitHub CVE-2026-73483
  Fuga de sandbox Flowise NodeVM via allowlist do puppeteer - execução remota de código autenticada e leitura arbitrária de arquivos via Chromium
  - FlowiseAI Flowise
  - Crítica
  - CVSS 9.4
  - EPSS 0,62%
  - Versão corrigida informada
  16:17 UTC
- GitHub CVE-2026-105863
  Problema no manuseio do campo do token de autenticação da carga útil
  - payloadcms payload
  - Crítica
  - CVSS 9.2
  - EPSS 0,38%
  - Versão corrigida informada
  20:28 UTC
- GitHub CVE-2026-73487
  Injeção de prompt no Flowise para RCE e SSRF via contorno do validador do agente CSV/Airtable Python
  - FlowiseAI Flowise
  - Crítica
  - CVSS 9.0
  - EPSS 0,96%
  - Versão corrigida informada
  16:17 UTC
terça-feira, 6 de outubro
- GitHub CVE-2026-105845
  Payload: SQL Injection no SQLite e no Postgres
  - payloadcms payload
  - Crítica
  - CVSS 9.8
  - EPSS 0,38%
  - Versão corrigida informada
  16:09 UTC
- GitHub CVE-2026-105851
  Payload: Controle de acesso a campos contornado em coleções de autenticação
  - payloadcms payload
  - Crítica
  - CVSS 9.3
  - EPSS 0,25%
  - Versão corrigida informada
  16:17 UTC
- GitHub CVE-2026-105844
  Payload: poluição de protótipo no plugin Payload Import Export
  - payloadcms payload
  - Crítica
  - CVSS 9.3
  - EPSS 0,52%
  - Versão corrigida informada
  16:09 UTC
- GitHub CVE-2026-102422
  shell-quote: injeção de comando `quote()` via um terminador de linha em um token após um token { comment }
  - shell-quote (npm)
  - Crítica
  - CVSS 9.2
  - EPSS 0,38%
  - Versão corrigida informada
  13:40 UTC
segunda-feira, 5 de outubro
- GitHub CVE-2026-92955
  vm2: Escape do sandbox (NodeVM)
  - patriksimek vm2
  - Crítica
  - CVSS 10.0
  - EPSS 0,71%
  - Versão corrigida informada
  22:47 UTC
- GitHub CVE-2026-92946
  vm2: Acesso irrestrito ao sistema de arquivos do host e RCE total com `require.external` sem um `require.root` explícito
  - patriksimek vm2
  - Crítica
  - CVSS 10.0
  - EPSS 0,86%
  - Versão corrigida informada
  22:34 UTC
- GitHub CVE-2026-92947
  vm2: código em sandbox pode ler e escrever a memória do realm do host via o pool de Buffer compartilhado do Node
  - patriksimek vm2
  - Crítica
  - CVSS 10.0
  - EPSS 0,48%
  - Versão corrigida informada
  22:34 UTC
- GitHub CVE-2026-92956
  Fuga de sandbox vm2 via bypass de espécie Promise do WebAssembly.compileStreaming
  - patriksimek vm2
  - Crítica
  - CVSS 10.0
  - EPSS 0,59%
  - Versão corrigida informada
  22:34 UTC
- GitHub CVE-2026-104846
  Seroval: assimilação thenable de Promise de `fromJSON()` invoca callables produzidos por plugins (contorno de GHSA-mv8w-475r-vwqw)
  - lxsmnsyc seroval
  - Crítica
  - CVSS 9.8
  - EPSS 0,35%
  - Versão corrigida informada
  23:40 UTC
- GitHub CVE-2026-100721
  vm2: contorno de resolução personalizada do NodeVM ignora os limites do caminho externo
  - patriksimek vm2
  - Crítica
  - CVSS 9.5
  - EPSS 0,4%
  - Versão corrigida informada
  23:24 UTC
- GitHub CVE-2026-104848
  Tinypool: gadget de poluição de protótipo nas opções do worker leva à execução remota de código
  - tinylibs tinypool
  - Crítica
  - CVSS 9.5
  - EPSS 0,5%
  - Versão corrigida informada
  22:50 UTC
- GitHub CVE-2026-104849
  Tinypool: Gadget de poluição de protótipo para RCE nas opções de run()
  - tinylibs tinypool
  - Crítica
  - CVSS 9.5
  - EPSS 0,39%
  - Versão corrigida informada
  22:49 UTC
- GitHub CVE-2026-92934
  escape de sandbox vm2 para execução remota de código no host via contornagem revisitada de AggregateError envolvido pelo host que contorna o ciclo de curto-circuito de sanitização de erro
  - patriksimek vm2
  - Crítica
  - CVSS 9.5
  - EPSS 0,76%
  - Versão corrigida informada
  22:38 UTC
- GitHub CVE-2026-103922
  Capacitor Android e iOS: conteúdo remoto pode ser carregado na origem do app via o caminho do proxy HTTP interno
  - ionic-team capacitor
  - Crítica
  - CVSS 9.3
  - EPSS 0,21%
  - Versão corrigida informada
  22:53 UTC
- GitHub CVE-2026-92953
  vm2: A VM padrão pode mutar intrínsecos host TypedArray e ArrayBuffer após o reparo da poluição do protótipo do host
  - patriksimek vm2
  - Crítica
  - CVSS 9.3
  - EPSS 0,5%
  - Versão corrigida informada
  22:45 UTC
- GitHub CVE-2026-102829
  simple-git: variável de ambiente `VISUAL` do editor é omitida da detecção de editor inseguro
  - steveukx git-js
  - Crítica
  - CVSS 9.2
  - EPSS 0,28%
  - Versão corrigida informada
  23:48 UTC
- GitHub CVE-2026-102828
  O guardião de operações inseguras do simple-git não bloqueia a configuração de comandos trailer
  - steveukx git-js
  - Crítica
  - CVSS 9.2
  - EPSS 0,38%
  - Versão corrigida informada
  23:48 UTC
- GitHub CVE-2026-92954
  vm2: A rejeição de Promise retornada pelo host pode contornar o endurecimento de rejeição não tratada do vm2 e encerrar o processo host
  - patriksimek vm2
  - Crítica
  - CVSS 9.2
  - EPSS 0,49%
  - Versão corrigida informada
  22:45 UTC
- GitHub CVE-2026-90711
  proxy-addr vulnerável a spoofing de IP via sub-rede de confiança IPv4-mapped IPv6
  - proxy-addr proxy-addr
  - Crítica
  - CVSS 9.1
  - EPSS 0,26%
  - Versão corrigida informada
  23:30 UTC
sexta-feira, 2 de outubro
- GitHub CVE-2026-10032
  @a2ui/web_core: `openUrl` permite a execução de URI `javascript:` via ações de botão fornecidas pelo agente
  - Google @a2ui/web_core
  - Crítica
  - CVSS 9.3
  - EPSS 0,13%
  - Versão corrigida informada
  22:55 UTC
- GitHub GHSA-gg6r-gp4c-89hp
  Trigger.dev: Socket.IO não autenticado do coordenador V1 default-secret
  - trigger.dev (npm)
  - Crítica
  - CVSS 9.2
  - Versão corrigida informada
  22:39 UTC
quinta-feira, 1 de outubro
- GitHub CVE-2026-92940
  vm2 expõe credenciais HTTPS do host e tráfego TLS através do globalAgent
  - patriksimek vm2
  - Crítica
  - CVSS 10.0
  - EPSS 0,47%
  - Versão corrigida informada
  15:38 UTC
- GitHub CVE-2026-92937
  vm2: contorno do fix GHSA-m283-3h24-438v leva à execução remota de código no host via indireção de call/apply
  - patriksimek vm2
  - Crítica
  - CVSS 10.0
  - EPSS 1,03%
  - Versão corrigida informada
  15:32 UTC
- GitHub CVE-2026-92941
  vm2 NodeVM pode substituir o armazenamento de confiança TLS do processo host
  - patriksimek vm2
  - Crítica
  - CVSS 10.0
  - EPSS 0,29%
  - Versão corrigida informada
  15:27 UTC
- GitHub CVE-2026-92948
  vm2: contorno da lista de permissões builtin do NodeVM via node:test.run() permite escape do sandbox.
  - patriksimek vm2
  - Crítica
  - CVSS 9.9
  - EPSS 0,65%
  - Versão corrigida informada
  15:41 UTC
- GitHub CVE-2026-92951
  O Resolvedor de Módulos Personalizado do vm2 Pode Contornar a Lista de Permissão de Pacotes Externos Carregando um Pacote Host Colidente
  - patriksimek vm2
  - Crítica
  - CVSS 9.9
  - EPSS 0,54%
  - Versão corrigida informada
  15:37 UTC
- GitHub CVE-2026-92957
  vm2: bypass de negação de builtin prefixado com node:- no child_process expõe o NodeVM
  - patriksimek vm2
  - Crítica
  - CVSS 9.9
  - EPSS 0,54%
  - Versão corrigida informada
  15:36 UTC
- GitHub CVE-2026-92938
  vm2 permite que um plugin sandboxed execute código nativo através de `node:sqlite`
  - patriksimek vm2
  - Crítica
  - CVSS 9.9
  - EPSS 0,62%
  - Versão corrigida informada
  15:29 UTC
- GitHub CVE-2026-92939
  vm2 crypto builtin carrega código nativo do atacante através de setEngine
  - patriksimek vm2
  - Crítica
  - CVSS 9.9
  - EPSS 0,62%
  - Versão corrigida informada
  15:28 UTC
- GitHub CVE-2026-92944
  escape de sandbox vm2 no Node.js 26 através de um protector PromiseThenLookupChain obsoleto
  - patriksimek vm2
  - Crítica
  - CVSS 9.8
  - EPSS 0,84%
  - Versão corrigida informada
  15:28 UTC
- GitHub CVE-2026-102992
  piscina: gadget de poluição de protótipo em ThreadPool.options permite RCE via execArgv / loadBalancer / env
  - piscinajs piscina
  - Crítica
  - CVSS 9.2
  - EPSS 0,43%
  - Versão corrigida informada
  15:03 UTC
- GitHub CVE-2026-92935
  vm2: guarda de aninhamento do NodeVM aceita require em forma de array e permite execução remota de código no host
  - patriksimek vm2
  - Crítica
  - CVSS 9.0
  - EPSS 0,67%
  - Versão corrigida informada
  15:34 UTC
quarta-feira, 30 de setembro
- GitHub GHSA-vcvr-r3jv-pc5j
  Next.js: execução remota de código no next/og ImageResponse
  - next (npm)
  - Crítica
  - CVSS 9.5
  - Versão corrigida informada
  14:48 UTC
terça-feira, 29 de setembro
- GitHub CVE-2026-101894
  @xhmikosr/decompress: path traversal via cadeia de links simbólicos
  - XhmikosR decompress
  - Crítica
  - CVSS 9.1
  - EPSS 0,81%
  - Versão corrigida informada
  23:49 UTC
quinta-feira, 24 de setembro
- GitHub CVE-2026-59167
  SunEditor: vulnerabilidade crítica de XSS - contorno do sanitizador
  - JiHong88 suneditor
  - Crítica
  - CVSS 10.0
  - EPSS 0,39%
  - Versão corrigida informada
  14:57 UTC
- GitHub CVE-2026-61742
  O transporte HTTP do DBHub permite execução de SQL de origem do navegador sem autenticação devido ao DNS rebinding.
  - bytebase dbhub
  - Crítica
  - CVSS 9.3
  - EPSS 0,2%
  - Versão corrigida informada
  19:36 UTC

npm

sexta-feira, 23 de outubro

quinta-feira, 22 de outubro

quarta-feira, 21 de outubro

quinta-feira, 15 de outubro

sexta-feira, 9 de outubro

quinta-feira, 8 de outubro

quarta-feira, 7 de outubro

terça-feira, 6 de outubro

segunda-feira, 5 de outubro

sexta-feira, 2 de outubro

quinta-feira, 1 de outubro

quarta-feira, 30 de setembro

terça-feira, 29 de setembro

quinta-feira, 24 de setembro