Erfahren Sie, welche Schwachstellen Ihre Technologien betreffen und wie Sie diese beheben. Hier finden Sie verständliche Erklärungen, betroffene Versionen und konkrete Empfehlungen - von CMS und Plugins bis zu Anwendungsbibliotheken.
Eine Path-Traversal-Schwachstelle unter Windows ermöglicht es Clients, die Zugriff auf einen Vite-Server haben, die Redirect-Zulassungsliste mithilfe von Backslashes zu umgehen. Dadurch können Dateien außerhalb des Vite-Stammverzeichnisses gelesen werden, auf die der Serverprozess Zugriff hat.
In OpenClaw kann die Browser-CDP-Erkennung blockierte WebSocket-URLs akzeptieren. Dadurch können Aufrufer mit geringerem Vertrauen Netzwerkziele erreichen, die gemäß Richtlinie blockiert sein sollten.
Eine fehlende Origin-Validierung in der Storybook-Preview erlaubt es bösartigen Websites, nicht autorisierte Dateiänderungen auf einem Entwicklungsserver vorzunehmen. Unter bestimmten Bedingungen kann dies bei Benutzerinteraktion zur Ausführung von beliebigem Code auf dem Entwicklerrechner führen.
Ein Problem in Electron führt dazu, dass HID- und USB-Berechtigungsprüfungen aus Iframes dem übergeordneten Frame zugeordnet werden. Dadurch können eingebettete Frames fälschlicherweise Geräteberechtigungen erhalten, die für die Hauptseite bestimmt waren.
In ApostropheCMS vor Version 4.34.0 umgeht ein REST-Endpunkt Zugriffsbeschränkungen auf Seitenebene und Feldebene, sodass Benutzer mit Editor-Rechten sensible Inhalte und Felder einsehen können.
Eine fehlende Authentifizierungsprüfung in ApostropheCMS ermöglicht es nicht authentifizierten Benutzern mit einem standardmäßigen CSRF-Cookie, Bereinigungsoperationen auszulösen, temporäre Exportdateien zu löschen und Auftragsdatensätze in der Datenbank zu ändern.
Eine Schwachstelle in ApostropheCMS ermöglicht es authentifizierten Benutzern, über den Endpunkt doc/slugTaken Slugs im gesamten System aufzuzählen und so die Existenz privater, entwurfsbasierter und administrativer Inhalte offenzulegen.
In ApostropheCMS besteht eine Sicherheitslücke für gespeichertes Cross-Site-Scripting, da editorgesteuerte Stilfeldwerte in Widgets ohne Escaping in Wrapper-Attribute serialisiert werden, was die Ausführung von Skriptcode ermöglicht.
Eine Stored-Cross-Site-Scripting-Schwachstelle in ApostropheCMS ermöglicht es authentifizierten Benutzern mit Schreibrechten, beliebigen HTML- und JavaScript-Code über Farbfelder einzuschleusen. Aktualisieren Sie auf Version 4.34.0 oder höher.
In ApostropheCMS umgeht die Import-API Veröffentlichungsrollen für geschützte Inhalte. Redakteure ohne Veröffentlichungsrechte können dadurch veröffentlichte Inhalte unbefugt anlegen, ersetzen oder löschen.
Eine Schwachstelle in ApostropheCMS ermöglicht es authentifizierten Benutzern, durch fehlende Kontingente und mangelhafte Fehlerbereinigung den Serverspeicher beim Entpacken von Archiven zu erschöpfen und DoS auszulösen.
In @apostrophecms/import-export akzeptiert die Fortsetzung overrideDuplicates vom Client übergebene Ersetzungsoptionen, wodurch Mitwirkende veröffentlichte Inhalte ohne Veröffentlichungsrechte überschreiben können.
Eine Schwachstelle in Vite ermöglicht die herkunftsübergreifende Skriptausführung, wenn ein Entwicklungsserver eine unveränderte Anfrage-URL an benutzerdefinierte Middleware übergibt. Ein Angreifer kann bösartige Skripte im Kontext der vom Entwicklungsserver bereitgestellten Seite ausführen lassen.
In Vite-Entwicklungsservern unter Node.js oder Deno können speziell gestaltete Anfragen über Fehlermeldungen des WebAssembly-Parsers die ersten Bytes beliebiger Dateien außerhalb der konfigurierten Zugriffsgrenzen offenlegen.
Unter Vite auf Nicht-Windows-Systemen können Dateien außerhalb des Projekt-Roots ausgeliefert werden, wenn importierte Pfade absoluten Systempfaden entsprechen und der Entwicklungsserver im Netzwerk freigegeben ist. Ein Update auf eine behobene Version behebt das Problem.
Eine Schwachstelle bezüglich nicht authentifizierter Ressourcenerschöpfung in ApostropheCMS ermöglicht es Angreifern, chunked Upload- und Bereinigungsprozesse ohne Authentifizierung auszulösen und so Denial-of-Service-Zustände herbeizuführen.
Eine Denial-of-Service-Schwachstelle in markdown-it ermöglicht es Angreifern, die Node.js-Ereignisschleife durch speziell gestaltete mehrzeilige Link-Referenzdefinitionen zu blockieren. Nicht geschlossene Definitionen führen in Standardkonfigurationen zu quadratischer Ausführungszeit.
Eine Diskrepanz beim URL-Parsing im Angular-HTTP-Client kann dazu führen, dass XSRF-Tokens bei zustandsverändernden Anfragen an externe Domänen übertragen werden. Angreifer können die abgefangenen Tokens nutzen, um unberechtigte Aktionen in der Sitzung des Opfers auszuführen.
In betroffenen Versionen des MCP TypeScript SDK kann eine HTTP-Anfrage innerhalb der Standardgrößenbegrenzung während der Validierung den Serverspeicher erschöpfen. Dies ermöglicht es Angreifern, den Serverprozess über Denial-of-Service zum Absturz zu bringen.
In markdown-it kann bei aktiviertem HTML das Parsen nicht abgeschlossener Konstrukte quadratische Laufzeit verursachen. Dies kann die Event-Loop von Node.js blockieren und zu einem Denial of Service führen.
Eine Schwachstelle im MCP TypeScript Server SDK führt dazu, dass Nachrichten bei geteilten Server- oder Transport-Instanzen an falsche HTTP-Clients ausgeliefert werden können.
Eine Schwachstelle in launch-editor ermöglicht es Angreifern unter Windows, Prüfungen auf Dateiexistenz mittels einer manipulierten Pfadangabe zu umgehen. Dies kann in Kombination mit Escaping-Problemen zu OS-Befehlsinjektionen führen, wenn Dateipfade kontrolliert werden.
Eine Schwachstelle im MCP TypeScript SDK führt dazu, dass Server mit Bearer-Authentifizierung Token akzeptieren, die für andere Dienste ausgestellt wurden. Wenn ein Autorisierungsserver mehrere Dienste bedient, können fremde Token unberechtigten Zugriff ermöglichen, sofern keine Zielgruppenprüfung erfolgt.
In betroffenen Versionen des MCP TypeScript SDK wurden experimentelle Aufgaben nicht an die erstellende Sitzung gebunden. Dadurch konnten Clients, die denselben Handler teilen, Aufgaben anderer Clients einsehen und abbrechen.
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.
Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.
Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
Benachrichtigungen über wichtige Updates.
Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.
Geben Sie mindestens zwei Zeichen ein, um Vorschläge zu sehen.
/öffnet die Suche↑↓Ergebnis wählenEnterzum ErgebnisESCschließt
Wir respektieren Ihre Privatsphäre
Wir verwenden Cookies, damit die Website funktioniert und wir wissen, was wir verbessern sollten. Ohne Ihre Einwilligung läuft nur das Nötigste. Ihre Auswahl können Sie jederzeit über die Fußzeile ändern.
Datenschutzerklärung lesen
Cookie-Einstellungen
Entscheiden Sie, womit Sie einverstanden sind. Erforderliche Cookies sind immer aktiv - ohne sie könnte die Website nicht einmal diese Auswahl speichern.
Datenschutzerklärung lesen
Immer aktiv
Sitzung, Formularschutz und das Speichern genau dieser Auswahl. Ohne sie funktioniert die Website nicht, deshalb lassen sie sich nicht abschalten.
Merken von Sprache, Design und Barrierefreiheits-Einstellungen, damit Sie diese nicht bei jedem Besuch neu wählen müssen.
Anonyme Besuchsstatistiken: welche Seiten gelesen werden und wo Menschen nicht weiterkommen. Daran verbessern wir die Website.
Messen der Wirksamkeit unserer Anzeigen und deren Abstimmung auf Ihre Interessen auf externen Diensten.
