CVE-2026-101609 media mysql: mysql: Denial of service in InnoDB como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-101608 media mysql: mysql: Denial of Service via Server Optimizer component como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-101607 media mysql: mysql: Denial of Service in Server Optimizer como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-101516 media openjdk: Enhance Certificate Constraint Checking (Oracle CPU 2026-10) como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-92388 media curl: curl: FTP wildcard write callback mixup como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113868 media thunderbird: Thunderbird: information disclosure via malformed authentication challenge como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113867 media thunderbird: thunderbird: Unauthorized actions via XMPP stanza injection como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113866 media thunderbird: thunderbird: Information disclosure via unencrypted AutoDiscover lookup como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113724 media virtualenv: virtualenv: Insecure file permission modification via symlink following como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113721 media virtualenv: virtualenv: Arbitrary file overwrite via insecure symlink handling como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113720 media virtualenv: virtualenv: Arbitrary code execution via insecure cached file permissions como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113719 media virtualenv: virtualenv: Arbitrary file deletion via path traversal in package metadata como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113718 media virtualenv: virtualenv: arbitrary code execution via improper quoting in xonsh activation scripts como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113717 media virtualenv: virtualenv: Integrity verification bypass via pip seeder download option como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113716 media virtualenv: virtualenv: Unauthorized file write via symlink following como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113715 media virtualenv: virtualenv: Environment isolation bypass via crafted destination path como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113714 media virtualenv: virtualenv: Unverified package installation via premature cache storage como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113713 media virtualenv: virtualenv: Arbitrary code execution via insecure temporary cache symlinks como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113712 media Cachet has Stored XSS in Incident Component como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113710 media ApostropheCMS: No Attempt Throttling on Authenticated Password-Change Endpoint Enables Unlimited Current-Password Guessing como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113671 media ApostropheCMS: Host header controls server-side image fetch origin in @apostrophecms/ai-helper, enabling authenticated SSRF como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113669 media ApostropheCMS: Cross-domain session token in URL confers session takeover como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113668 media ApostropheCMS: :_id/locales REST route omits the public-API authorization gate its sibling read routes enforce (unauthenticated doc-existence + locale metadata disclosure) como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113667 media ApostropheCMS: CAPTCHA response token not URL-encoded como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113664 media ApostropheCMS import-export tar guard misses './..' because it is a literal '../' substring test como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113662 media ApostropheCMS import-export: NoSQL injection via update-key value lets a crafted import match and overwrite an unidentified document como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113661 media sanitize-html: sanitize-html: Cross-site scripting via unsafe meta refresh content attributes como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113660 media ApostropheCMS: Authenticated Object-Level Authorization Bypass in exist-in-locale Reveals Restricted Localized Draft Identifiers como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113659 media ApostropheCMS: Client-side Prototype Pollution in apos.http.parseQuery leading to DOM-based XSS against authenticated users como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113656 media ApostropheCMS: Unauthenticated unbounded multipart upload → disk-exhaustion DoS como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113655 media ApostropheCMS: Same-parent page reorder in @apostrophecms/page move() re-ranks a restricted parent's children without create authorization como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113654 media sanitize-html: sanitize-html: HTML sanitization bypass via improper noscript tag handling como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113653 media ApostropheCMS: The general public can access @apostrophecms/user objects via a relationship (viewRole is not applied to the general public) como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113652 media ApostropheCMS uploadfs Azure backend leaks account-level SAS token into every public attachment URL (sas: true) como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113650 media sanitize-html: sanitize-html: Denial of Service via unbounded recursion in iframe tag processing como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113649 media ApostropheCMS: Import API bypasses publication roles for protected content como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-112958 media ApostropheCMS: Stored XSS via Unescaped Widget Style Attribute Serialization como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-112957 media ApostropheCMS: GET /api/v1/@apostrophecms/page/:id bypasses viewRole restriction and exposes viewPermission-gated fields to lower-privileged users como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-113602 media net.minidev/json-smart: json-smart: Input validation bypass via substitute character in strict mode como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-112956 media ApostropheCMS: Archive duplicate continuation lets contributors overwrite published content como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-112955 media ApostropheCMS: Import archives can exhaust server storage and deny service como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-112954 media ApostropheCMS: Unauthenticated publicApiProjection bypass via search and sort query builders in the public REST API como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-112953 media ApostropheCMS: Exposure of Sensitive Information via predictable export filenames como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-112952 media ApostropheCMS: POST /api/v1/@apostrophecms/doc/slugTaken discloses existence of private/admin-only content to any authenticated user como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-112951 media ApostropheCMS: Color field validation bypass allows stored XSS via HTML appended after rgb()/hsl() prefix como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-112950 media Vitest: Windows backslash traversal bypasses the @vitest/mocker redirect allowlist fix como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-112949 media vitest: Vitest: Cross-site scripting via unescaped mock module URL como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-112948 media vitest: vitest: Information disclosure via improper file access restrictions como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-112947 media vite: vite: Information disclosure via crafted WebAssembly query parameter como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 CVE-2026-112945 media vite: vite: Arbitrary script execution via improper URL handling during HTML transformation como mínimo desde el 24 oct 2026 build de las 07:11 UTC 20 oct 2026 