Conoce las vulnerabilidades.
Protege tus aplicaciones.
Descubre qué vulnerabilidades afectan a tus tecnologías y cómo solucionarlas. Encuentra explicaciones claras, versiones afectadas y recomendaciones prácticas - desde CMS y plugins hasta bibliotecas de aplicaciones.
Una vulnerabilidad de denegación de servicio en markdown-it permite a atacantes remotos bloquear el bucle de eventos de Node.js mediante definiciones de referencia de enlace multilínea manipuladas. Las definiciones no cerradas provocan un tiempo de ejecución cuadrático con la configuración predeterminada.
Una discrepancia en el procesamiento de URL en el cliente HTTP de Angular puede provocar la fuga de tokens XSRF hacia dominios externos. Los atacantes pueden aprovechar estos tokens para realizar acciones no autorizadas en la sesión de un usuario autenticado.
En las versiones afectadas del SDK de TypeScript para MCP, una solicitud HTTP dentro del límite de tamaño predeterminado puede agotar la memoria del servidor durante la validación, lo que permite provocar una denegación de servicio y bloquear el proceso.
Una vulnerabilidad en el SDK de servidor MCP TypeScript provoca que se entreguen respuestas y notificaciones al cliente HTTP equivocado si se comparten instancias de servidor o transporte.
Una vulnerabilidad en el SDK MCP para TypeScript permite que servidores con autenticación bearer acepten tokens emitidos para otros servicios al compartir un servidor de autorización. Esto permite reutilizar tokens válidos para acceder sin autorización a menos que se verifique la audiencia del token.
En versiones afectadas de MCP TypeScript SDK, las tareas experimentales no estaban vinculadas a la sesión que las creó. Clientes que compartían un controlador podían listar, leer y cancelar tareas de otros clientes.
Los transportes HTTP y solicitudes OAuth del SDK de TypeScript para MCP seguían redirecciones entre distintos orígenes, exponiendo encabezados personalizados y cuerpos de solicitudes a hosts de terceros.
Una validación de subcadena en la extracción tar de ApostropheCMS import-export no bloquea rutas relativas alternas, permitiendo a usuarios autenticados detener el proceso de Node.
Una vulnerabilidad de prototype pollution del lado del cliente en ApostropheCMS permite a atacantes ejecutar código JavaScript arbitrario en la sesión de un usuario autenticado si la víctima abre un enlace manipulado, lo que puede derivar en el compromiso total de la instancia.
La falta de limitación de intentos en el endpoint autenticado de cambio de contraseña de ApostropheCMS permite a atacantes con una sesión activa adivinar repetidamente la contraseña actual sin bloqueos, facilitando la toma de control de la cuenta.
En ApostropheCMS anterior a 4.33.0, la API exist-in-locale permite a usuarios autenticados con bajos privilegios determinar la existencia de documentos y borradores restringidos y obtener identificadores localizados sin autorización adecuada a nivel de documento.
Una evasión de prefijo de espacio de nombres en sanitize-html permite a animaciones SMIL SVG eludir restricciones de URL, posibilitando ataques de cross-site scripting si se permiten etiquetas SVG.
ApostropheCMS uploadfs con el backend Azure y SAS habilitado expone tokens SAS a nivel de contenedor en enlaces públicos de adjuntos. Esto permite a usuarios no autenticados leer, sobrescribir, borrar y listar blobs en el contenedor.
En @apostrophecms/ai-helper, un editor autenticado puede manipular la cabecera Host para controlar el origen de peticiones de imágenes y provocar ataques SSRF hacia la red interna.
En paquetes de ApostropheCMS, el token de CAPTCHA se inserta sin codificar en las llamadas de verificación salientes. Esto permite inyectar parámetros que provocan fallos de verificación y denegación de servicio en inicios de sesión y formularios.
Atacantes no autenticados pueden enviar cuerpos multipart ilimitados al almacenamiento temporal en ApostropheCMS, provocando el agotamiento del espacio en disco y una denegación de servicio.
ApostropheCMS permite a usuarios autenticados en adaptadores SQLite o PostgreSQL eliminar métodos de prototipo compartidos mediante proyecciones de exclusión, provocando una denegación de servicio persistente en todo el proceso.
ApostropheCMS incluye tokens de migración de sesión en parámetros URL, lo que permite a quien intercepte el token secuestrar la sesión del usuario y obtener todos sus privilegios.
Una vulnerabilidad de denegación de servicio en Angular Router afecta al renderizado en el servidor (SSR) en Node.js. Atacantes remotos no autenticados pueden enviar URLs manipuladas con segmentos de salida vacíos para agotar la memoria o la CPU, provocando la caída del proceso y la interrupción del servicio.
Un fallo de doble decodificación de rutas en Hono permite omitir el middleware configurado en prefijos estáticos, lo que podría permitir a atacantes no autenticados acceder a archivos estáticos protegidos.
Una vulnerabilidad de redirección abierta en Angular SSR permite a atacantes remotos usar URLs con segmentos de punto para eludir validaciones y desviar usuarios a dominios externos.
La interfaz de tabla DataStore en ckan-mcp-server no valida el origen de mensajes entrantes y usa un comodín para mensajes salientes. Esto permite a otros marcos falsear contenido e interferir con la comunicación.
Un servidor Qwik con su configuración predeterminada puede bloquearse mediante una única solicitud HTTP no autenticada. El envío reiterado de solicitudes permite mantener fuera de servicio todas las réplicas del servidor.
Una vulnerabilidad de envenenamiento de caché en Nuxt OG Image permite a atacantes no autenticados modificar el contenido de las imágenes entregadas a los usuarios debido a claves de caché derivables en rutas de imágenes dinámicas.
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.
Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.
Un resumen diario de nuevas vulnerabilidades, también las críticas.
Avisos sobre actualizaciones importantes.
Consejos prácticos sobre seguridad y monitorización de aplicaciones.
Escriba al menos dos caracteres para ver sugerencias.
/abre el buscador↑↓elegir resultadoEnterir al resultadoESCcierra
Respetamos tu privacidad
Usamos cookies para que el sitio funcione y para saber qué mejorar en él. Sin tu consentimiento solo funciona lo imprescindible. Puedes cambiar tu elección cuando quieras desde el pie de página.
Leer la política de privacidad
Ajustes de cookies
Decide a qué das tu consentimiento. Las cookies necesarias están siempre activas: sin ellas el sitio ni siquiera recordaría esta elección.
Leer la política de privacidad
Siempre activas
La sesión, la protección de los formularios y el recuerdo de esta misma elección. El sitio no funciona sin ellas, así que no se pueden desactivar.
Recordar tu idioma, el tema y los ajustes de accesibilidad para que no tengas que elegirlos en cada visita.
Estadísticas anónimas de visitas: qué páginas se leen y dónde se pierde la gente. Con eso mejoramos el sitio.
Medir la eficacia de nuestros anuncios y ajustarlos a tus intereses en servicios externos.
