Erfahren Sie, welche Schwachstellen Ihre Technologien betreffen und wie Sie diese beheben. Hier finden Sie verständliche Erklärungen, betroffene Versionen und konkrete Empfehlungen - von CMS und Plugins bis zu Anwendungsbibliotheken.
Eine Schwachstelle in Next.js-Anwendungen mit App Router und Cache Component ermöglicht eine nicht authentifizierte Remotecodeausführung, wenn Funktionen mehrere typisierte Arrays zurückgeben. Ein sofortiges Upgrade auf Version 16.4.1 oder höher wird empfohlen.
Eine Umgehung der Bereinigung von Template-Ausdrücken in DOMPurify erlaubt es aufgeteilten Ausdrücken in Shadow-Roots, die Filterung in DOM-Rückgabemodi zu überstehen. Wertet eine Anwendung die bereinigten Inhalte anschließend aus, kann dies zu Cross-Site-Scripting oder Template-Injection führen.
In Sentry-Javascript kann bei Verwendung der Tunnel-Route und Webpack-Builds Next.js-Middleware umgangen werden, falls Routen unter dem Tunnel-Pfad auflösen und die Autorisierung nur in der Middleware stattfindet.
Eine Path-Traversal-Schwachstelle unter Windows ermöglicht es Clients, die Zugriff auf einen Vite-Server haben, die Redirect-Zulassungsliste mithilfe von Backslashes zu umgehen. Dadurch können Dateien außerhalb des Vite-Stammverzeichnisses gelesen werden, auf die der Serverprozess Zugriff hat.
In OpenClaw kann die Browser-CDP-Erkennung blockierte WebSocket-URLs akzeptieren. Dadurch können Aufrufer mit geringerem Vertrauen Netzwerkziele erreichen, die gemäß Richtlinie blockiert sein sollten.
Eine fehlende Origin-Validierung in der Storybook-Preview erlaubt es bösartigen Websites, nicht autorisierte Dateiänderungen auf einem Entwicklungsserver vorzunehmen. Unter bestimmten Bedingungen kann dies bei Benutzerinteraktion zur Ausführung von beliebigem Code auf dem Entwicklerrechner führen.
Ein Problem in Electron führt dazu, dass HID- und USB-Berechtigungsprüfungen aus Iframes dem übergeordneten Frame zugeordnet werden. Dadurch können eingebettete Frames fälschlicherweise Geräteberechtigungen erhalten, die für die Hauptseite bestimmt waren.
In ApostropheCMS vor Version 4.34.0 umgeht ein REST-Endpunkt Zugriffsbeschränkungen auf Seitenebene und Feldebene, sodass Benutzer mit Editor-Rechten sensible Inhalte und Felder einsehen können.
Eine fehlende Authentifizierungsprüfung in ApostropheCMS ermöglicht es nicht authentifizierten Benutzern mit einem standardmäßigen CSRF-Cookie, Bereinigungsoperationen auszulösen, temporäre Exportdateien zu löschen und Auftragsdatensätze in der Datenbank zu ändern.
Eine Schwachstelle in ApostropheCMS ermöglicht es authentifizierten Benutzern, über den Endpunkt doc/slugTaken Slugs im gesamten System aufzuzählen und so die Existenz privater, entwurfsbasierter und administrativer Inhalte offenzulegen.
In ApostropheCMS besteht eine Sicherheitslücke für gespeichertes Cross-Site-Scripting, da editorgesteuerte Stilfeldwerte in Widgets ohne Escaping in Wrapper-Attribute serialisiert werden, was die Ausführung von Skriptcode ermöglicht.
Eine Stored-Cross-Site-Scripting-Schwachstelle in ApostropheCMS ermöglicht es authentifizierten Benutzern mit Schreibrechten, beliebigen HTML- und JavaScript-Code über Farbfelder einzuschleusen. Aktualisieren Sie auf Version 4.34.0 oder höher.
In ApostropheCMS umgeht die Import-API Veröffentlichungsrollen für geschützte Inhalte. Redakteure ohne Veröffentlichungsrechte können dadurch veröffentlichte Inhalte unbefugt anlegen, ersetzen oder löschen.
Eine Schwachstelle in ApostropheCMS ermöglicht es authentifizierten Benutzern, durch fehlende Kontingente und mangelhafte Fehlerbereinigung den Serverspeicher beim Entpacken von Archiven zu erschöpfen und DoS auszulösen.
In @apostrophecms/import-export akzeptiert die Fortsetzung overrideDuplicates vom Client übergebene Ersetzungsoptionen, wodurch Mitwirkende veröffentlichte Inhalte ohne Veröffentlichungsrechte überschreiben können.
Eine Schwachstelle in Vite ermöglicht die herkunftsübergreifende Skriptausführung, wenn ein Entwicklungsserver eine unveränderte Anfrage-URL an benutzerdefinierte Middleware übergibt. Ein Angreifer kann bösartige Skripte im Kontext der vom Entwicklungsserver bereitgestellten Seite ausführen lassen.
In Vite-Entwicklungsservern unter Node.js oder Deno können speziell gestaltete Anfragen über Fehlermeldungen des WebAssembly-Parsers die ersten Bytes beliebiger Dateien außerhalb der konfigurierten Zugriffsgrenzen offenlegen.
Unter Vite auf Nicht-Windows-Systemen können Dateien außerhalb des Projekt-Roots ausgeliefert werden, wenn importierte Pfade absoluten Systempfaden entsprechen und der Entwicklungsserver im Netzwerk freigegeben ist. Ein Update auf eine behobene Version behebt das Problem.
Eine Schwachstelle bezüglich nicht authentifizierter Ressourcenerschöpfung in ApostropheCMS ermöglicht es Angreifern, chunked Upload- und Bereinigungsprozesse ohne Authentifizierung auszulösen und so Denial-of-Service-Zustände herbeizuführen.
Eine Denial-of-Service-Schwachstelle in markdown-it ermöglicht es Angreifern, die Node.js-Ereignisschleife durch speziell gestaltete mehrzeilige Link-Referenzdefinitionen zu blockieren. Nicht geschlossene Definitionen führen in Standardkonfigurationen zu quadratischer Ausführungszeit.
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.
Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.
Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
Benachrichtigungen über wichtige Updates.
Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.
Geben Sie mindestens zwei Zeichen ein, um Vorschläge zu sehen.
/öffnet die Suche↑↓Ergebnis wählenEnterzum ErgebnisESCschließt
Wir respektieren Ihre Privatsphäre
Wir verwenden Cookies, damit die Website funktioniert und wir wissen, was wir verbessern sollten. Ohne Ihre Einwilligung läuft nur das Nötigste. Ihre Auswahl können Sie jederzeit über die Fußzeile ändern.
Datenschutzerklärung lesen
Cookie-Einstellungen
Entscheiden Sie, womit Sie einverstanden sind. Erforderliche Cookies sind immer aktiv - ohne sie könnte die Website nicht einmal diese Auswahl speichern.
Datenschutzerklärung lesen
Immer aktiv
Sitzung, Formularschutz und das Speichern genau dieser Auswahl. Ohne sie funktioniert die Website nicht, deshalb lassen sie sich nicht abschalten.
Merken von Sprache, Design und Barrierefreiheits-Einstellungen, damit Sie diese nicht bei jedem Besuch neu wählen müssen.
Anonyme Besuchsstatistiken: welche Seiten gelesen werden und wo Menschen nicht weiterkommen. Daran verbessern wir die Website.
Messen der Wirksamkeit unserer Anzeigen und deren Abstimmung auf Ihre Interessen auf externen Diensten.
