Kostenloser Plan, keine Kreditkarte, erster Fehler in Minuten.
Kostenloses Projekt anlegenErfahren Sie, welche Schwachstellen Ihre Technologien betreffen und wie Sie diese beheben. Hier finden Sie verständliche Erklärungen, betroffene Versionen und konkrete Empfehlungen - von CMS und Plugins bis zu Anwendungsbibliotheken.
Eine Schwachstelle in ApostropheCMS ermöglicht es authentifizierten Benutzern, über den Endpunkt doc/slugTaken Slugs im gesamten System aufzuzählen und so die Existenz privater, entwurfsbasierter und administrativer Inhalte offenzulegen.
In ApostropheCMS besteht eine Sicherheitslücke für gespeichertes Cross-Site-Scripting, da editorgesteuerte Stilfeldwerte in Widgets ohne Escaping in Wrapper-Attribute serialisiert werden, was die Ausführung von Skriptcode ermöglicht.
Eine Stored-Cross-Site-Scripting-Schwachstelle in ApostropheCMS ermöglicht es authentifizierten Benutzern mit Schreibrechten, beliebigen HTML- und JavaScript-Code über Farbfelder einzuschleusen. Aktualisieren Sie auf Version 4.34.0 oder höher.
In ApostropheCMS umgeht die Import-API Veröffentlichungsrollen für geschützte Inhalte. Redakteure ohne Veröffentlichungsrechte können dadurch veröffentlichte Inhalte unbefugt anlegen, ersetzen oder löschen.
Eine Schwachstelle in ApostropheCMS ermöglicht es authentifizierten Benutzern, durch fehlende Kontingente und mangelhafte Fehlerbereinigung den Serverspeicher beim Entpacken von Archiven zu erschöpfen und DoS auszulösen.
In @apostrophecms/import-export akzeptiert die Fortsetzung overrideDuplicates vom Client übergebene Ersetzungsoptionen, wodurch Mitwirkende veröffentlichte Inhalte ohne Veröffentlichungsrechte überschreiben können.
In OGNL kann die sekundäre Blockliste im Modus für strengere Aufrufe über Reflection-Proxys umgangen werden. Betroffen sind nur Anwendungen, die nicht vertrauenswürdige Ausdrücke auswerten, freizügige Zugriffskontrollen nutzen und sich allein auf die Blockliste als Schutz verlassen.
In virtualenv kann das Skript activate.fish bei Pfaden oder Prompts, die einen Backslash vor einem Anführungszeichen enthalten, beliebige Befehle ausführen. Dies betrifft alle Versionen vor 21.14.2.
Eine Schwachstelle in pypdf ermöglicht es Angreifern, durch eine manipulierte PDF-Datei eine Endlosschleife auszulösen, wenn ein Objekt wie ein Gliederungselement aus einer Baumstruktur entfernt wird.
Eine Schwachstelle in pypdf ermöglicht es Angreifern, ein manipuliertes PDF-Dokument zu erstellen, das beim Verarbeiten von Gliederungselementen eine Endlosschleife auslöst und so einen Denial-of-Service verursacht.
Eine Schwachstelle in virtualenv-Aktivierungsskripten ermöglicht die Ausführung von beliebigem Code, wenn Pfade oder Eingabeaufforderungen Platzhalternamen enthalten. Das Aktivieren einer manipulierten Umgebung kann dazu führen, dass unerwünschte Befehle ausgeführt werden.
Eine Schwachstelle in pypdf ermöglicht es Angreifern, durch manipulierte PDF-Dateien mit ressourcenintensiven Datenstromfiltern einen hohen Speicherverbrauch herbeizuführen.
Eine Schwachstelle in Vite ermöglicht die herkunftsübergreifende Skriptausführung, wenn ein Entwicklungsserver eine unveränderte Anfrage-URL an benutzerdefinierte Middleware übergibt. Ein Angreifer kann bösartige Skripte im Kontext der vom Entwicklungsserver bereitgestellten Seite ausführen lassen.
In Vite-Entwicklungsservern unter Node.js oder Deno können speziell gestaltete Anfragen über Fehlermeldungen des WebAssembly-Parsers die ersten Bytes beliebiger Dateien außerhalb der konfigurierten Zugriffsgrenzen offenlegen.
Unter Vite auf Nicht-Windows-Systemen können Dateien außerhalb des Projekt-Roots ausgeliefert werden, wenn importierte Pfade absoluten Systempfaden entsprechen und der Entwicklungsserver im Netzwerk freigegeben ist. Ein Update auf eine behobene Version behebt das Problem.
Eine Schwachstelle bezüglich nicht authentifizierter Ressourcenerschöpfung in ApostropheCMS ermöglicht es Angreifern, chunked Upload- und Bereinigungsprozesse ohne Authentifizierung auszulösen und so Denial-of-Service-Zustände herbeizuführen.
Ein Heap-Pufferüberlauf in Pillow ermöglicht es Angreifern, beim Dekodieren speziell gestalteter verlustfreier JPEG-Bilder mit Draft-Skalierung über die Puffergrenzen zu schreiben. Das Problem entsteht, weil libjpeg-turbo Skalierungsanfragen ignoriert, was zu Speicherbeschädigungen führt.
Im A2A Java SDK werden Push-Benachrichtigungs-Tokens und Zugangsdaten bei Protobuf-Parsing-Fehlern im Klartext in Serverprotokolle geschrieben. Personen mit Log-Zugriff können diese sensiblen Daten abfangen.
Eine Schwachstelle im A2A Java SDK ermöglicht es einem manipulierten Agenten, einen benutzerdefinierten HTTP-Header für Zugangsdaten vorzugeben. Bei HTTP-Weiterleitungen leitet der Client diese Header an externe Server weiter, wodurch API-Schlüssel des Clients offengelegt werden können.
Eine gespeicherte Cross-Site-Scripting-Schwachstelle in Cachet ermöglicht es authentifizierten Angreifern, Schadcode über Vorfallsfelder einzuschleusen. Dieser Code wird bei Besuchern der öffentlichen Statusseite ausgeführt und kann zum Diebstahl von Sitzungen sowie zur Übernahme von Konten führen.
In Pillow können unbegrenzte Rekursionen beim Parsen von PDF-Seitenbäumen oder Trailer-Ketten zu übermäßigem CPU- und Speicherverbrauch sowie Denial-of-Service führen.
Ein Fehler in Pillow ermöglicht es einer manipulierten GIF-Datei, eine übermäßige Speicherbelegung auszulösen, wenn eine Anwendung Dekomprimierungsfehler beim Frame-Wechsel abfängt und dasselbe Bildobjekt weiterverwendet. Dies kann zur Erschöpfung des Speichers und zu Denial-of-Service führen.
In Pillow besteht eine Sicherheitslücke durch Speicherzugriffe außerhalb der Grenzen bei Morphologie-Operationen auf Bildern mit der Breite null. Das Verarbeiten speziell präparierter PPM- oder PGM-Dateien kann zu einem Absturz der Anwendung oder möglicher Speicherkorruption führen.
Ein Pufferüberlauf beim Lesen im TIFF-Decoder von Pillow kann zu einem Prozessabsturz oder zur Offenlegung von Heap-Speicher führen, wenn eine manipulierte Kachel-TIFF-Datei verarbeitet wird.
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.