🔍 Наиболее интересные уязвимости

🐛 CVE-2026-39974, обнаруженная в n8n-MCP (до версии 2.47.4), приводит к Server-side Request Forgery (SSRF). Проблема заключалась в том, что пользователь с валидным AUTH_TOKEN мог через HTTP-заголовки передать произвольный URL, по которому сервер выполнял HTTP-запрос, что может привести к доступу к произвольным сервисам. В исправлении была добавлена валидация n8nApiUrl с помощью метода SSRFProtection.validateWebhookUrl().

🐛 CVE-2026-35463, обнаруженная в pyLoad (версия 0.5.0b3.dev96 и ранее), приводит к OS Command Injection. Проблема заключалась в том, что путь к исполняемому файлу в плагине AntiVirus передавался напрямую в subprocess.Popen(), что позволяло пользователю с правами SETTINGS внедрить произвольные команды. В исправлении вынесли чувствительные настройки в отдельный список ADMIN_ONLY_PLUGIN_OPTIONS и запретили изменять AntiVirus/avfile и AntiVirus/avargs всем, кто не является администратором

🐛 CVE-2026-35209, обнаруженная в defu (до версии 6.1.5), приводит к Prototype Pollution. Проблема заключалась в том, что при передаче произвольных данных первым аргументом в _defu() специально подготовленный payload с ключом позволял переопределять ожидаемые значения по умолчанию в результирующем объекте. В исправлении заменили Object.assign на объектный spread { ...defaults }.

🐛 CVE-2026-39408, обнаруженная в Hono (версии до 4.12.12), приводит к Path Traversal. Проблема заключалась в том, что специально сформированные значения в ssgParams позволяли выходить за пределы заданной директории при генерации статических сайтов. В исправлении была добавлена функция ensureWithinOutDir(): перед записью путь теперь нормализуется через joinPaths(), после чего проверяется, что итоговый filePath совпадает с output-директорией или находится строго внутри нее.

🐛 CVE-2026-27634, обнаруженная в Piwigo (версии до 16.3.0), приводит к SQL Injection. Проблема заключалась в прямой конкатенации параметров даты в SQL-запросах без экранирования или проверки типов, что позволяло неаутентифицированному злоумышленнику внедрить и выполнить произвольный SQL код. В исправлении была добавлена функция is_valid_mysql_datetime() для валидации значений параметров.

🔍 Наиболее интересные уязвимости

🐛 CVE-2026-28291, обнаруженная в simple-git (версии до 3.31.1 включительно), приводит к OS Command Injection. Проблема заключалась в обходе блокировки опасных опций через манипуляцию параметрами, что позволяло выполнять произвольные команды. В исправлении разработчики отказались от проверки только точного шаблона -u и добавили более общую проверку clone-опций через CLONE_OPTIONS и isCloneSwitch(), чтобы блокировать разные варианты передачи опасного параметра.

🐛 CVE-2026-30232, обнаруженная в Chartbrew (до версии 4.8.5), приводит к Server-side Request Forgery (SSRF). Уязвимость обусловлена тем, что аутентифицированный пользователь мог создать API connection с URL без проверки, что позволяло выполнять запросы к произвольным ресурсам. В исправлении был добавлен введён флаг allowPrivateHost, чтобы обращения к внутренним адресам больше не проходили по умолчанию и разрешались только явно.

🐛 CVE-2026-40351, обнаруженная в FastGPT (версии до 4.14.9.5), приводит к NoSQL injection. Проблема заключалась в использовании TypeScript type assertion без проверки на этапе выполнения, что позволяло передать оператор запроса MongoDB в поле пароля и обойти проверку. В исправлении была добавлена runtime-валидация тела запроса через zod, и поля username и password теперь принимаются только как строки.

🐛 CVE-2026-40491, обнаруженная в gdown (версии до 5.2.2), приводит к Path Traversal. Проблема заключалась в отсутствии проверки имен файлов в архивах ZIP или TAR, что позволяло записывать файлы за пределами целевой директории. В исправлении была добавлена санитизация с помощью _sanitize_filename(), проверка путей через realpath() и _is_within_directory().

🐛 CVE-2026-41242, обнаруженная в protobuf.js до версий 8.0.1 и 7.5.5, приводит к Remote Code Execution (RCE). Проблема заключалась в том, что злоумышленник мог внедрить произвольный код в поле type protobuf-определения, после чего этот код выполнялся во время декодирования объекта с использованием такого определения. В исправлении разработчики добавили фильтрацию имени типа через name.replace(/\W/g, ""), чтобы удалять все неалфавитно-цифровые символы перед дальнейшей обработкой.