CVE-2026-115570 élevée Electron: Mitigation for compromised eMudhra intermediate certificates au moins depuis le 24 oct. 2026 build de 07:11 UTC 23 oct. 2026 CVE-2026-110975 élevée autotune: kruize/autotune: kruize/autotune: Datasources credential disclosure au moins depuis le 24 oct. 2026 build de 07:11 UTC 23 oct. 2026 CVE-2026-106069 élevée nodejs: nodejs: TLS certificate hostname bypass via non-canonical IP hostnames au moins depuis le 24 oct. 2026 build de 07:11 UTC 23 oct. 2026 CVE-2026-105482 élevée nodejs: nodejs: dns.resolve truncates hostnames containing a NUL character au moins depuis le 24 oct. 2026 build de 07:11 UTC 23 oct. 2026 CVE-2026-57845 élevée datasets: datasets: Arbitrary code execution via insecure pickle deserialization au moins depuis le 24 oct. 2026 build de 07:11 UTC 23 oct. 2026 CVE-2026-115478 élevée obsidian-tc: Memory-lifecycle tools overwrite unowned notes or partially commit lifecycle changes au moins depuis le 24 oct. 2026 build de 07:11 UTC 23 oct. 2026 CVE-2026-115477 élevée obsidian-tc: Declined human-in-the-loop confirmations can permit destructive calls over HTTP au moins depuis le 24 oct. 2026 build de 07:11 UTC 23 oct. 2026 CVE-2026-57210 élevée Heimdall: IP Spoofing via Unvalidated Forwarding Headers au moins depuis le 24 oct. 2026 build de 07:11 UTC 23 oct. 2026 CVE-2026-57209 élevée Heimdall: Forwarded Header Injection via Unsanitized Host Header in Proxy Mode au moins depuis le 24 oct. 2026 build de 07:11 UTC 23 oct. 2026 CVE-2026-57146 élevée PraisonAI A2U incomplete authentication fix leaves current serve command unauthenticated by default au moins depuis le 24 oct. 2026 build de 07:11 UTC 23 oct. 2026 CVE-2026-57144 élevée PraisonAI SandlockSandbox falls back to unrestricted subprocess execution when Landlock is unavailable au moins depuis le 24 oct. 2026 build de 07:11 UTC 23 oct. 2026 CVE-2026-57142 élevée PraisonAI recipe workflow policy can be bypassed by declaring and YAML-approving dangerous tools outside TEMPLATE.yaml au moins depuis le 24 oct. 2026 build de 07:11 UTC 23 oct. 2026 CVE-2026-57121 élevée PraisonAI: Missing ownership check on DELETE endpoints allows members to delete others' content in Platform API au moins depuis le 24 oct. 2026 build de 07:11 UTC 23 oct. 2026 CVE-2026-57117 élevée PraisonAI: Compute-bridged file tools allow shell command injection au moins depuis le 24 oct. 2026 build de 07:11 UTC 23 oct. 2026 CVE-2026-57114 élevée PraisonAI: Jobs webhook SSRF protection bypass via DNS rebinding au moins depuis le 24 oct. 2026 build de 07:11 UTC 23 oct. 2026 CVE-2026-57113 élevée PraisonAI GitHub template cache path traversal allows outside-cache file write and directory deletion au moins depuis le 24 oct. 2026 build de 07:11 UTC 23 oct. 2026 CVE-2026-56840 élevée PraisonAI: HTTPApproval dashboard renders tool arguments as raw HTML, allowing approval-page XSS to approve dangerous tools au moins depuis le 24 oct. 2026 build de 07:11 UTC 23 oct. 2026 CVE-2026-56838 élevée PraisonAI recipe.run_stream skips dangerous-tool policy enforcement au moins depuis le 24 oct. 2026 build de 07:11 UTC 23 oct. 2026 CVE-2026-56837 élevée PraisonAI LinearBot processes unsigned webhooks when LINEAR_WEBHOOK_SECRET is missing au moins depuis le 24 oct. 2026 build de 07:11 UTC 23 oct. 2026 CVE-2026-56836 élevée PraisonAI recipe serve Typer command bypasses the non-localhost authentication guard au moins depuis le 24 oct. 2026 build de 07:11 UTC 23 oct. 2026 CVE-2026-56835 élevée PraisonAI Slack app_mention bypasses configured user/channel authorization au moins depuis le 24 oct. 2026 build de 07:11 UTC 23 oct. 2026 CVE-2026-56834 élevée PraisonAI dynamic-context artifact tools read arbitrary host files outside artifact storage au moins depuis le 24 oct. 2026 build de 07:11 UTC 23 oct. 2026 CVE-2026-56833 élevée PraisonAI Dynamic Context history and terminal tools read files outside configured storage via path traversal au moins depuis le 24 oct. 2026 build de 07:11 UTC 23 oct. 2026 CVE-2026-56832 élevée PraisonAI DiscordApproval accepts unrelated channel messages as dangerous-tool approvals au moins depuis le 24 oct. 2026 build de 07:11 UTC 23 oct. 2026 CVE-2026-114616 élevée authlib: authlib: Authentication bypass via zero-length HMAC key au moins depuis le 24 oct. 2026 build de 07:11 UTC 22 oct. 2026 CVE-2026-114615 élevée authlib: Authlib: Authentication bypass via improper asymmetric key validation au moins depuis le 24 oct. 2026 build de 07:11 UTC 22 oct. 2026 CVE-2026-115419 élevée Strands Agents SDK: Exposure of data element to wrong session in the A2A Server au moins depuis le 24 oct. 2026 build de 07:11 UTC 22 oct. 2026 CVE-2026-115504 élevée cfitsio: cfitsio: arbitrary code execution via crafted FITS file au moins depuis le 24 oct. 2026 build de 07:11 UTC 22 oct. 2026 CVE-2026-115374 élevée github.com/lxc/incus: incus: Information disclosure via unsigned headers in presigned S3 URLs au moins depuis le 24 oct. 2026 build de 07:11 UTC 22 oct. 2026 CVE-2026-115372 élevée github.com/lxc/incus: Incus 7.3.0 before 7.5.0 Project Restriction Bypass via block.create_options au moins depuis le 24 oct. 2026 build de 07:11 UTC 22 oct. 2026 CVE-2026-115355 élevée mistune: mistune: Arbitrary file read via path traversal in Include directive au moins depuis le 24 oct. 2026 build de 07:11 UTC 22 oct. 2026 CVE-2026-115352 élevée mistune: mistune: Denial of Service via unmatched brackets in inline link parser au moins depuis le 24 oct. 2026 build de 07:11 UTC 22 oct. 2026 CVE-2026-115349 élevée mistune: mistune: Denial of Service via deeply nested square brackets au moins depuis le 24 oct. 2026 build de 07:11 UTC 22 oct. 2026 CVE-2026-115348 élevée mistune: mistune: Denial of Service via unbalanced brackets in link parser au moins depuis le 24 oct. 2026 build de 07:11 UTC 22 oct. 2026 CVE-2026-115347 élevée mistune: mistune: Denial of Service via unmatched square brackets au moins depuis le 24 oct. 2026 build de 07:11 UTC 22 oct. 2026 CVE-2026-114613 élevée msgpack: msgpack: Denial of Service via memory leak during map deserialization au moins depuis le 24 oct. 2026 build de 07:11 UTC 22 oct. 2026 CVE-2026-75508 élevée graphql-core: graphql-core: Denial of Service via token limit bypass using comments au moins depuis le 24 oct. 2026 build de 07:11 UTC 22 oct. 2026 CVE-2026-75507 élevée graphql-core: graphql-core: Denial of Service via nested inline fragments during query validation au moins depuis le 24 oct. 2026 build de 07:11 UTC 22 oct. 2026 CVE-2026-114605 élevée dnspython: dnspython: Denial of Service via excessive DNS compression pointer traversal au moins depuis le 24 oct. 2026 build de 07:11 UTC 22 oct. 2026 GHSA-78g4-xqwv-q3g8 élevée Pillow: Bundled libopenjp2 2.5.4 in all wheels since 11.1.0 carries OSV-2025-219 heap-buffer-overflow write reachable from Image.open().load() au moins depuis le 24 oct. 2026 build de 07:11 UTC 22 oct. 2026 GHSA-mrv2-3pqr-j5jr élevée DOMPurify IN_PLACE: hook that removes a parent or sibling leaves the detached subtree's event handlers armed (incomplete fix for GHSA-p98j-92pf-mc4p) au moins depuis le 24 oct. 2026 build de 07:11 UTC 22 oct. 2026 CVE-2026-94482 élevée next: Next.js: Denial of Service via crafted requests targeting Server Actions au moins depuis le 24 oct. 2026 build de 07:11 UTC 22 oct. 2026 GHSA-pxh4-856f-4h89 élevée PyJWT: HS256/384/512 verify accepts empty HMAC key via oct JWK (PyJWK/PyJWKClient) enabling token forgery au moins depuis le 24 oct. 2026 build de 07:11 UTC 22 oct. 2026 CVE-2026-113872 élevée multer: multer: Denial of Service via aborted request during asynchronous file filtering au moins depuis le 24 oct. 2026 build de 07:11 UTC 22 oct. 2026 CVE-2026-111181 élevée body-parser: body-parser: Denial of Service via unhandled decompression stream error au moins depuis le 24 oct. 2026 build de 07:11 UTC 22 oct. 2026 CVE-2026-92709 élevée rsyslog: rsyslog: Path traversal via unsanitized dynaFile templates au moins depuis le 24 oct. 2026 build de 07:11 UTC 22 oct. 2026 CVE-2026-111497 élevée brotli: Out-of-Bounds Write in Google Brotli Decoder au moins depuis le 24 oct. 2026 build de 07:11 UTC 22 oct. 2026 CVE-2026-111079 élevée goose: goose: Shell History and Environment Leak via Terminal Integration au moins depuis le 24 oct. 2026 build de 07:11 UTC 22 oct. 2026 CVE-2026-112085 élevée webpack-dev-server: webpack-dev-server: unauthorized backend access via unvalidated WebSocket proxy requests au moins depuis le 24 oct. 2026 build de 07:11 UTC 22 oct. 2026 CVE-2026-114730 élevée roundcubemail: roundcubemail: Server-Side Request Forgery via address filter bypass au moins depuis le 24 oct. 2026 build de 07:11 UTC 22 oct. 2026 