Kostenloser Plan, keine Kreditkarte, erster Fehler in Minuten.
Kostenloses Projekt anlegenErfahren Sie, welche Schwachstellen Ihre Technologien betreffen und wie Sie diese beheben. Hier finden Sie verständliche Erklärungen, betroffene Versionen und konkrete Empfehlungen - von CMS und Plugins bis zu Anwendungsbibliotheken.
Ein Heap-Pufferüberlauf in Pillow ermöglicht es Angreifern, beim Dekodieren speziell gestalteter verlustfreier JPEG-Bilder mit Draft-Skalierung über die Puffergrenzen zu schreiben. Das Problem entsteht, weil libjpeg-turbo Skalierungsanfragen ignoriert, was zu Speicherbeschädigungen führt.
In Pillow können unbegrenzte Rekursionen beim Parsen von PDF-Seitenbäumen oder Trailer-Ketten zu übermäßigem CPU- und Speicherverbrauch sowie Denial-of-Service führen.
Ein Fehler in Pillow ermöglicht es einer manipulierten GIF-Datei, eine übermäßige Speicherbelegung auszulösen, wenn eine Anwendung Dekomprimierungsfehler beim Frame-Wechsel abfängt und dasselbe Bildobjekt weiterverwendet. Dies kann zur Erschöpfung des Speichers und zu Denial-of-Service führen.
In Pillow besteht eine Sicherheitslücke durch Speicherzugriffe außerhalb der Grenzen bei Morphologie-Operationen auf Bildern mit der Breite null. Das Verarbeiten speziell präparierter PPM- oder PGM-Dateien kann zu einem Absturz der Anwendung oder möglicher Speicherkorruption führen.
Ein Pufferüberlauf beim Lesen im TIFF-Decoder von Pillow kann zu einem Prozessabsturz oder zur Offenlegung von Heap-Speicher führen, wenn eine manipulierte Kachel-TIFF-Datei verarbeitet wird.
Ein Überlauf bei der Verarbeitung von Max-Age in aiohttp kann das Schließen von Verbindungen verhindern, wodurch Angreifer den Verbindungspool vorübergehend erschöpfen können, bis die Garbage Collection greift.
In AIOHTTP können Anfragen in absoluter Form das Verbindungsschema fälschen. Wenn eine Anwendung dieses Schema für Sicherheitsprüfungen nutzt, können Angreifer die Logik umgehen und unverschlüsselte Verbindungen als verschlüsselt erscheinen lassen oder umgekehrt.
Eine Schwachstelle in aiohttp ermöglicht es einer Subdomain, das Host-Only-Flag bestehender Cookies einer übergeordneten Domain zu entfernen, was den Schutz des Cookie-Gültigkeitsbereichs beeinträchtigen kann.
Der Pure-Python-Parser in aiohttp ist anfällig für HTTP-Request-Smuggling, wenn keine Standard-C-Erweiterungen verwendet werden. Dies kann durch ein Update von aiohttp oder den Wechsel zum standardmäßigen C-Parser behoben werden.
Eine Schwachstelle in AIOHTTP ermöglicht es Angreifern, Dateideskriptoren durch speziell manipulierte Multipart-Anfragen zu erschöpfen. Dies kann zur Erschöpfung von Systemressourcen und Denial-of-Service führen.
Der gebündelte Zertifikatsspeicher in betroffenen uv-Versionen vertraut einer Root-CA mit kompromittierten Zwischenzertifikatsschlüsseln. Angreifer im Besitz dieser Schlüssel können gültige Zertifikate für beliebige Hostnamen ausstellen und Man-in-the-Middle-Angriffe auf TLS-Verbindungen durchführen.
Certifi enthielt ein Stammzertifikat mit kompromittierten Zwischen-CA-Schlüsseln. Angreifer im Netzwerkpfad können für beliebige Hostnamen gefälschte Zertifikate ausstellen und TLS-Verbindungen betroffener Clients abfangen oder manipulieren.
In JupyterLab kann die Bestätigung zur Dokumenten-Vertrauenswürdigkeit fälschlicherweise das aktuell aktive statt des angeklickten Dokuments als vertrauenswürdig markieren. Dies ermöglicht die künftige Ausführung von Befehlen ohne Sicherheitsabfrage in einer anderen Datei.
In aiohttp wurde das Keepalive-Timeout zu Beginn einer Anfrage nicht erzwungen. Dadurch können Angreifer ungenutzte Verbindungen vor dem Senden von Daten unbegrenzt offenhalten.
In AIOHTTP wurde das Secure-Attribut für geteilte Cookies nicht durchgesetzt. Dadurch kann ein als sicher gekennzeichnetes Cookie potenziell über eine unverschlüsselte Anfrage übertragen werden.
In aiohttp können manipulierte Anfragen zu übermäßigem oder unbegrenztem Speicherverbrauch und hoher CPU-Auslastung führen, wodurch Angreifer eine Erschöpfung der Systemressourcen herbeiführen können.
Ein Syntaxfehler in der Blocklist von Mercury führt dazu, dass der Endpunkt /api/terminals ungeschützt bleibt. Nicht authentifizierte Angreifer im Netzwerk können dadurch interaktiven Shell-Zugriff auf Betriebssystemebene erlangen.
Eine unvollständige Härtung der Fortran-Präprozessor-Includes in Graphify ermöglicht das Lesen und Exfiltrieren beliebiger lokaler Host-Dateien beim Indizieren eines nicht vertrauenswürdigen Repositories.
Eine Schwachstelle zur nicht authentifizierten Remote-Code-Ausführung in Mercury ermöglicht es Angreifern, über Kernel-Endpunkte beliebigen Python-Code mit Rechten des Serverprozesses auf Standardinstallationen auszuführen.
Die serve-status-Funktion in LoopX nutzt eine zu durchlässige CORS-Richtlinie mit Wildcard-Headern auf unauthentifizierten Loopback-Leseendpunkten. Bösartige Websites können dadurch ohne Benutzerinteraktion den Zustand der Control-Plane sowie private Markdown-Dateien aus registrierten Repositories auslesen.
Eine Schwachstelle im Claude Agent SDK für Python erlaubt die Ausführung beliebiger Befehle beim CLI-Start, wenn nicht vertrauenswürdige Eingaben als Sitzungs-ID übergeben werden. Betroffene sollten auf die neueste Version aktualisieren.
Wenn der Development-Runner von Pipecat für nicht vertrauenswürdige Netzwerke freigegeben wird, können unbefugte Dritte Bot-Sitzungen und kostenpflichtige Daily-Räume erstellen. Dies kann lokale Ressourcen erschöpfen und Quotas bei Drittanbietern verbrauchen.
Eine Pfadüberquerungs-Schwachstelle in ClickMigrate ermöglicht es Angreifern mit Kontrolle über den Namen der Migration, Dateien an beliebigen beschreibbaren Orten außerhalb des Zielverzeichnisses anzulegen.
Eine Schwachstelle in tinytag ermöglicht es speziell präparierten M4A-Dateien mit einem Sub-Atom der Größe null, beim Parsen eine Endlosschleife und somit einen Denial-of-Service auszulösen.
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.