Plan gratuito, sin tarjeta, el primer error en minutos.
Crear un proyecto gratisDescubre qué vulnerabilidades afectan a tus tecnologías y cómo solucionarlas. Encuentra explicaciones claras, versiones afectadas y recomendaciones prácticas - desde CMS y plugins hasta bibliotecas de aplicaciones.
Una recursión ilimitada en Pillow al analizar árboles de páginas o cadenas de trailer en PDFs puede provocar denegación de servicio y un consumo excesivo de CPU y memoria.
Un fallo en Pillow permite que un archivo GIF manipulado provoque una asignación excesiva de memoria cuando una aplicación captura errores de descompresión al avanzar fotogramas y reutiliza el objeto de imagen. Esto puede provocar el agotamiento de la memoria y una denegación de servicio.
Pillow es vulnerable a una escritura fuera de límites al procesar imágenes PPM o PGM de ancho cero en operaciones de morfología. Abrir una imagen manipulada puede provocar la caída de la aplicación y una posible corrupción de memoria.
Una lectura fuera de límites en el decodificador de TIFF por teselas de Pillow permite que una imagen manipulada provoque la caída del proceso o copie memoria adyacente del heap en el búfer de píxeles.
Un desbordamiento en el procesamiento de Max-Age en aiohttp puede omitir el cierre de conexiones, permitiendo a un atacante agotar temporalmente el grupo de conexiones hasta que actúe el recolector de basura.
En AIOHTTP, las solicitudes en forma absoluta pueden suplantar el esquema de la petición. Si la aplicación depende del esquema para controles de seguridad, un atacante puede eludir dicha lógica haciendo pasar conexiones no cifradas como cifradas o viceversa.
Una vulnerabilidad en aiohttp permite que un subdominio elimine el atributo Host-Only de cookies existentes de un dominio principal, lo que puede debilitar las restricciones de alcance de las cookies.
El analizador pure-Python en aiohttp es vulnerable a ataques de contrabando de solicitudes HTTP cuando no se usan las extensiones estándar en C. Se mitiga actualizando aiohttp o usando el analizador en C predeterminado.
Una vulnerabilidad en AIOHTTP permite a atacantes agotar los descriptores de archivos mediante solicitudes multipart manipuladas, lo que puede provocar el agotamiento de recursos del sistema.
El almacén de certificados empaquetado en versiones afectadas de uv confía en una CA raíz cuyas claves intermedias están comprometidas. Un atacante con acceso a dichas claves podría emitir certificados válidos para cualquier nombre de host y realizar ataques de intermediario (MITM) en conexiones TLS.
Certifi incluyó una CA raíz con claves intermedias comprometidas. Un atacante intermediario en la red podría emitir certificados falsos para cualquier nombre de host e interceptar o alterar el tráfico TLS de clientes afectados.
En JupyterLab, el diálogo de confianza de enlaces de comando puede marcar como confiable el documento activo actual en lugar del que recibió el clic, lo que permite que botones en documentos no confiables se ejecuten sin confirmación.
Una vulnerabilidad en aiohttp permite a un atacante mantener una conexión inactiva abierta indefinidamente antes de enviar datos, ya que no se aplicaba el tiempo de espera de keepalive al inicio de la solicitud.
En AIOHTTP, el atributo Secure no se aplicaba a las cookies compartidas, lo que permitía que se enviaran a través de solicitudes sin cifrar. El problema se resuelve actualizando a la versión 3.14.4 o posterior.
Múltiples fallos en aiohttp permiten provocar un consumo excesivo o ilimitado de memoria y CPU al procesar solicitudes manipuladas, lo que puede causar el agotamiento de recursos del sistema.
Un error de sintaxis en la lista de bloqueo de Mercury deja expuesto el endpoint /api/terminals, permitiendo a atacantes remotos sin autenticar ejecutar una shell interactiva en el sistema operativo.
Un endurecimiento incompleto de cpp #include en el extractor de Fortran de Graphify permite leer y exfiltrar archivos locales arbitrarios del host al indexar un repositorio no confiable.
Una vulnerabilidad de ejecución remota de código sin autenticación en Mercury permite a clientes de red ejecutar código Python arbitrario con los privilegios del proceso del servidor en instalaciones predeterminadas.
La función serve-status de LoopX utiliza una política CORS permisiva con encabezados comodín en rutas de lectura loopback no autenticadas. Sitios web maliciosos visitados por el operador pueden extraer sin interacción el estado del plano de control y archivos Markdown privados de los repositorios registrados.
Una vulnerabilidad de inyección de argumentos en Claude Agent SDK para Python permite la ejecución de comandos arbitrarios al inicio de la CLI si se procesa una entrada no confiable como identificador de sesión. Se recomienda actualizar el paquete.
Exponer el runner de desarrollo de Pipecat a redes no confiables permite a usuarios no autenticados crear sesiones de bot y salas de Daily de pago. Esto puede derivar en interacciones no autorizadas con bots y en el consumo de recursos locales y cuotas de terceros.
Una vulnerabilidad de salto de directorio en ClickMigrate permite a un atacante con control sobre el nombre de la migración crear un archivo en ubicaciones arbitrarias con permisos de escritura.
Una vulnerabilidad en tinytag permite que archivos M4A con un subátomo de tamaño cero provoquen un bucle infinito durante el análisis, resultando en una denegación de servicio.
Los complementos y cargadores HTTP de Apprise siguen redirecciones por defecto y reenvían las cabeceras de autenticación configuradas. Si un destino se ve comprometido o sufre un ataque de intermediario, los secretos pueden filtrarse a un host de origen cruzado arbitrario.
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.