Erfahren Sie, welche Schwachstellen Ihre Technologien betreffen und wie Sie diese beheben. Hier finden Sie verständliche Erklärungen, betroffene Versionen und konkrete Empfehlungen - von CMS und Plugins bis zu Anwendungsbibliotheken.
Eine Denial-of-Service-Schwachstelle in markdown-it ermöglicht es Angreifern, die Node.js-Ereignisschleife durch speziell gestaltete mehrzeilige Link-Referenzdefinitionen zu blockieren. Nicht geschlossene Definitionen führen in Standardkonfigurationen zu quadratischer Ausführungszeit.
Eine Diskrepanz beim URL-Parsing im Angular-HTTP-Client kann dazu führen, dass XSRF-Tokens bei zustandsverändernden Anfragen an externe Domänen übertragen werden. Angreifer können die abgefangenen Tokens nutzen, um unberechtigte Aktionen in der Sitzung des Opfers auszuführen.
In betroffenen Versionen des MCP TypeScript SDK kann eine HTTP-Anfrage innerhalb der Standardgrößenbegrenzung während der Validierung den Serverspeicher erschöpfen. Dies ermöglicht es Angreifern, den Serverprozess über Denial-of-Service zum Absturz zu bringen.
In markdown-it kann bei aktiviertem HTML das Parsen nicht abgeschlossener Konstrukte quadratische Laufzeit verursachen. Dies kann die Event-Loop von Node.js blockieren und zu einem Denial of Service führen.
Eine Schwachstelle im MCP TypeScript Server SDK führt dazu, dass Nachrichten bei geteilten Server- oder Transport-Instanzen an falsche HTTP-Clients ausgeliefert werden können.
Eine Schwachstelle in launch-editor ermöglicht es Angreifern unter Windows, Prüfungen auf Dateiexistenz mittels einer manipulierten Pfadangabe zu umgehen. Dies kann in Kombination mit Escaping-Problemen zu OS-Befehlsinjektionen führen, wenn Dateipfade kontrolliert werden.
Eine Schwachstelle im MCP TypeScript SDK führt dazu, dass Server mit Bearer-Authentifizierung Token akzeptieren, die für andere Dienste ausgestellt wurden. Wenn ein Autorisierungsserver mehrere Dienste bedient, können fremde Token unberechtigten Zugriff ermöglichen, sofern keine Zielgruppenprüfung erfolgt.
In betroffenen Versionen des MCP TypeScript SDK wurden experimentelle Aufgaben nicht an die erstellende Sitzung gebunden. Dadurch konnten Clients, die denselben Handler teilen, Aufgaben anderer Clients einsehen und abbrechen.
In ApostropheCMS fehlt an Benachrichtigungsendpunkten eine ausreichende Zugriffskontrolle. Ein nicht authentifizierter Angreifer mit Kenntnis einer Benachrichtigungs-ID kann dadurch fremde Benachrichtigungen verändern oder dauerhaft löschen.
Unter Windows maskiert launch-editor Umgebungsvariablenzeichen nicht ausreichend. Unter bestimmten Voraussetzungen kann dies bei manipulierten Dateinamen oder Variablen zur Befehlsausführung führen.
In betroffenen Versionen des MCP TypeScript Client SDK folgten HTTP-Transports und OAuth-Anfragen Cross-Origin-Weiterleitungen. Dabei konnten sensible Header und Anfrage-Bodys an fremde Ursprünge übertragen werden.
In ApostropheCMS wird viewRole nicht auf die Öffentlichkeit angewendet. Dadurch können Benutzerobjekte über Beziehungsfelder offengelegt werden, falls Vorlagen Daten unzureichend filtern.
Eine Autorisierungsumgehung in der Seiten-REST-API von ApostropheCMS ermöglicht es nicht authentifizierten Besuchern und Mitarbeitern mit geringen Rechten, geschützte Seiteninhalte und Metadaten auszulesen.
In ApostropheCMS import-export ermöglicht eine unzureichende Prüfung von Tar-Dateipfaden authentifizierten Benutzern, den Node-Prozess über ein manipuliertes Archiv zum Absturz zu bringen.
Eine clientseitige Prototype-Pollution-Schwachstelle in ApostropheCMS ermöglicht es Angreifern, beliebigen JavaScript-Code in der Sitzung authentifizierter Benutzer auszuführen, wenn das Opfer einen manipulierten Link aufruft. Dies kann zur Kompromittierung des Kontos und der CMS-Instanz führen.
Da ApostropheCMS die Anzahl der Versuche am Endpunkt zur Passwortänderung nicht begrenzt, können Angreifer mit einer gültigen Sitzung das aktuelle Passwort ohne Sperren oder Verzögerungen erraten und das Konto übernehmen.
In ApostropheCMS vor Version 4.33.0 erlaubt die API exist-in-locale authentifizierten Benutzern mit geringen Rechten, die Existenz geschützter Dokumente und unveröffentlichter Entwürfe in bestimmten Locales festzustellen und Dokumenten-IDs abzufragen.
Eine Umgehung von Namespace-Präfixen in sanitize-html ermöglicht SVG-SMIL-Animationselementen das Umgehen von URL-Prüfungen, was zu Cross-Site-Scripting führen kann, wenn SVG-Elemente zugelassen sind.
In ApostropheCMS uploadfs mit Azure-Backend und aktivierter SAS-Option wird ein Container-Level-SAS-Token versehentlich in öffentliche Anhangs-URLs eingefügt. Dies ermöglicht nicht autorisierten Benutzern das Lesen, Überschreiben, Löschen und Auflisten aller Blobs im Container.
In @apostrophecms/ai-helper kann ein authentifizierter Editor über einen manipulierten Host-Header den Zielursprung serverseitiger Bildabrufe manipulieren und SSRF-Anfragen an interne Hosts und Ports auslösen.
Eine NoSQL-Injection in ApostropheCMS import-export ermöglicht authentifizierten Benutzern, unbefugt Dokumente über manipulierte Aktualisierungsschlüsselwerte abzugleichen und zu überschreiben.
Eine fehlende Autorisierungsprüfung in ApostropheCMS ermöglicht es nicht authentifizierten Anfragern mit bekannter Dokumenten-ID, die Existenz von Dokumenten und deren Lokalisierungsmetadaten abzufragen.
Nicht authentifizierte CSV-Importanfragen in ApostropheCMS belassen abgelehnte Upload-Dateien im temporären Verzeichnis des Systems. Angreifer können dies ausnutzen, indem sie wiederholt große Dateien senden, wodurch der Speicherplatz erschöpft und ein Denial-of-Service ausgelöst werden kann.
In ApostropheCMS-Paketen werden CAPTCHA-Antwort-Tokens ungeprüft und unkodiert in ausgehende Verifizierungsanfragen eingefügt. Dies ermöglicht das Einschleusen von Abfrageparametern, was zu Denial-of-Service-Zuständen bei Formular- und Login-Abläufen führen kann.
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.
Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.
Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
Benachrichtigungen über wichtige Updates.
Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.
Geben Sie mindestens zwei Zeichen ein, um Vorschläge zu sehen.
/öffnet die Suche↑↓Ergebnis wählenEnterzum ErgebnisESCschließt
Wir respektieren Ihre Privatsphäre
Wir verwenden Cookies, damit die Website funktioniert und wir wissen, was wir verbessern sollten. Ohne Ihre Einwilligung läuft nur das Nötigste. Ihre Auswahl können Sie jederzeit über die Fußzeile ändern.
Datenschutzerklärung lesen
Cookie-Einstellungen
Entscheiden Sie, womit Sie einverstanden sind. Erforderliche Cookies sind immer aktiv - ohne sie könnte die Website nicht einmal diese Auswahl speichern.
Datenschutzerklärung lesen
Immer aktiv
Sitzung, Formularschutz und das Speichern genau dieser Auswahl. Ohne sie funktioniert die Website nicht, deshalb lassen sie sich nicht abschalten.
Merken von Sprache, Design und Barrierefreiheits-Einstellungen, damit Sie diese nicht bei jedem Besuch neu wählen müssen.
Anonyme Besuchsstatistiken: welche Seiten gelesen werden und wo Menschen nicht weiterkommen. Daran verbessern wir die Website.
Messen der Wirksamkeit unserer Anzeigen und deren Abstimmung auf Ihre Interessen auf externen Diensten.
