Kostenloser Plan, keine Kreditkarte, erster Fehler in Minuten.
Kostenloses Projekt anlegenErfahren Sie, welche Schwachstellen Ihre Technologien betreffen und wie Sie diese beheben. Hier finden Sie verständliche Erklärungen, betroffene Versionen und konkrete Empfehlungen - von CMS und Plugins bis zu Anwendungsbibliotheken.
In AIOHTTP wurde das Secure-Attribut für geteilte Cookies nicht durchgesetzt. Dadurch kann ein als sicher gekennzeichnetes Cookie potenziell über eine unverschlüsselte Anfrage übertragen werden.
In aiohttp können manipulierte Anfragen zu übermäßigem oder unbegrenztem Speicherverbrauch und hoher CPU-Auslastung führen, wodurch Angreifer eine Erschöpfung der Systemressourcen herbeiführen können.
Ein Syntaxfehler in der Blocklist von Mercury führt dazu, dass der Endpunkt /api/terminals ungeschützt bleibt. Nicht authentifizierte Angreifer im Netzwerk können dadurch interaktiven Shell-Zugriff auf Betriebssystemebene erlangen.
Eine unvollständige Härtung der Fortran-Präprozessor-Includes in Graphify ermöglicht das Lesen und Exfiltrieren beliebiger lokaler Host-Dateien beim Indizieren eines nicht vertrauenswürdigen Repositories.
Eine Schwachstelle zur nicht authentifizierten Remote-Code-Ausführung in Mercury ermöglicht es Angreifern, über Kernel-Endpunkte beliebigen Python-Code mit Rechten des Serverprozesses auf Standardinstallationen auszuführen.
Die serve-status-Funktion in LoopX nutzt eine zu durchlässige CORS-Richtlinie mit Wildcard-Headern auf unauthentifizierten Loopback-Leseendpunkten. Bösartige Websites können dadurch ohne Benutzerinteraktion den Zustand der Control-Plane sowie private Markdown-Dateien aus registrierten Repositories auslesen.
Ein Ganzzahlüberlauf im IP-Kamera-Frame-Grabber von JavaCV kann bei der Verarbeitung nicht vertrauenswürdiger MJPEG-HTTP-Streams eine Endlosschleife auslösen. Eine manipulierte Header-Antwort führt zu einer dauerhaften CPU-Auslastung von 100 % und blockiert den betroffenen Thread dauerhaft.
Eine Schwachstelle im Claude Agent SDK für Python erlaubt die Ausführung beliebiger Befehle beim CLI-Start, wenn nicht vertrauenswürdige Eingaben als Sitzungs-ID übergeben werden. Betroffene sollten auf die neueste Version aktualisieren.
Die DataStore-Tabellen-UI in ckan-mcp-server validiert eingehende Nachrichtenursprünge nicht und sendet ausgehende Nachrichten mit einem Wildcard-Ziel. Dies ermöglicht Inhaltsfälschung und Handshake-Störungen durch beliebige Fenster.
Wenn der Development-Runner von Pipecat für nicht vertrauenswürdige Netzwerke freigegeben wird, können unbefugte Dritte Bot-Sitzungen und kostenpflichtige Daily-Räume erstellen. Dies kann lokale Ressourcen erschöpfen und Quotas bei Drittanbietern verbrauchen.
Eine Schwachstelle in Claude Code ermöglichte das Umgehen des Hash-Pinnings bei der Plugin-Installation über speziell benannte Git-Branches, was zur Ausführung von durch Angreifer kontrolliertem Code führen konnte. Benutzern wird ein Update empfohlen.
Ein Qwik-Server in Standardkonfiguration kann durch eine unauthentifizierte HTTP-Anfrage zum Absturz gebracht werden. Durch das Senden wiederholter Anfragen können Angreifer alle Server-Replikate dauerhaft lahmlegen.
Eine Schwachstelle beim Entpacken von ZIP-Dateien in @appium/support ermöglicht das Schreiben beliebiger Dateien über symbolische Links, die aus dem Zielverzeichnis herausführen. Ein bösartiges Archiv kann Dateien überschreiben und potenziell Code mit den Rechten des Prozesses ausführen.
Eine Pfadüberquerungs-Schwachstelle in ClickMigrate ermöglicht es Angreifern mit Kontrolle über den Namen der Migration, Dateien an beliebigen beschreibbaren Orten außerhalb des Zielverzeichnisses anzulegen.
Eine Schwachstelle in tinytag ermöglicht es speziell präparierten M4A-Dateien mit einem Sub-Atom der Größe null, beim Parsen eine Endlosschleife und somit einen Denial-of-Service auszulösen.
Eine Cache-Poisoning-Schwachstelle in Nuxt OG Image ermöglicht es nicht authentifizierten Angreifern, über ableitbare Cache-Schlüssel auf dynamischen Bildrouten die an Benutzer ausgelieferten Bildinhalte zu manipulieren.
Eine Schwachstelle in Backstage ermöglicht es authentifizierten Benutzern, backendseitige Aktionen aufzurufen, die per Konfiguration ausgeschlossen wurden. Berechtigungen und nachgelagerte Autorisierungen bleiben aktiv.
In OpenNext Cloudflare kann bei aktivierter Cache-Interception eine unterschiedliche Pfaddekodierung den Middleware-Schutz umgehen und unbefugten Zugriff auf zwischengespeicherte Inhalte ermöglichen.
In TanStack Start können unauthentifizierte Angreifer über manipulierte URLs schädliches JavaScript im Kontext der Anwendung ausführen lassen, wenn ein Benutzer den Link aufruft. Ein Update auf die behobenen Paketversionen wird dringend empfohlen.
Eine Denial-of-Service-Schwachstelle in Microsoft.OpenApi.YamlReader und Microsoft.OpenApi.Readers ermöglicht es speziell erstellten YAML-OpenAPI-Dokumenten mit verschachtelten Ankern und Aliasen, übermäßigen Speicherverbrauch zu verursachen und den Parsing-Prozess zum Absturz zu bringen.
In Metalama unter Linux und macOS können lokale Angreifer über gemeinsam genutzte temporäre Verzeichnisse schädliche DLLs ablegen, die bei nachfolgenden Builds mit den Rechten des ausführenden Kontos ausgeführt werden.
HTTP-Benachrichtigungs-Plugins und Loader in Apprise folgen standardmäßig Weiterleitungen und senden konfigurierte Authentifizierungs-Header erneut. Bei kompromittierten Zielen oder Man-in-the-Middle-Angriffen können sensible Anmeldedaten an beliebige Cross-Origin-Hosts weitergeleitet werden.
Eine Sicherheitsumgehung in ASP.NET Core Kestrel ermöglicht es, dass bei abgebrochenen Verbindungen ungelesene Bytes des Anforderungstextes als neue Anforderung interpretiert werden. Dies kann zu HTTP-Request-Smuggling- oder Desynchronisationsangriffen führen.
Eine Sicherheitslücke zur Offenlegung von Informationen in Microsoft.WindowsDesktop.App.Runtime (WPF) betrifft .NET-Anwendungen unter Windows. Durch unsichere XAML- und XPS-Vorgänge können vertrauliche Informationen offengelegt werden.
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.