Conoce las vulnerabilidades.
Protege tus aplicaciones.
Descubre qué vulnerabilidades afectan a tus tecnologías y cómo solucionarlas. Encuentra explicaciones claras, versiones afectadas y recomendaciones prácticas - desde CMS y plugins hasta bibliotecas de aplicaciones.
En ApostropheCMS antes de la versión 4.34.0, un endpoint REST elude las restricciones de páginas y campos, permitiendo a editores acceder a contenidos reservados a administradores si conocen el identificador.
La falta de autenticación en ApostropheCMS permite a usuarios no autenticados con una cookie CSRF estándar ejecutar operaciones de limpieza, eliminar archivos temporales de exportación y modificar registros de tareas en la base de datos.
Una vulnerabilidad en ApostropheCMS permite a cualquier usuario autenticado enumerar slugs en todo el sistema mediante el endpoint doc/slugTaken, exponiendo la existencia de contenido privado, borradores y contenido administrativo.
ApostropheCMS presenta una vulnerabilidad de cross-site scripting persistente donde los valores de estilo controlados por el editor en widgets se serializan en atributos HTML sin escape, permitiendo la ejecución de scripts arbitrarios.
Una vulnerabilidad de cross-site scripting almacenado en ApostropheCMS permite a usuarios autenticados con permisos de edición inyectar HTML y JavaScript arbitrarios en campos de color. Se recomienda actualizar a la versión 4.34.0 o posterior.
Una vulnerabilidad en la API de importación de ApostropheCMS elude los roles de publicación, permitiendo a editores sin permisos de publicación crear, reemplazar o eliminar contenido publicado no autorizado.
Una vulnerabilidad en ApostropheCMS permite a usuarios autenticados agotar el almacenamiento del servidor al descomprimir archivos debido a la falta de cuotas y limpieza tras fallos, provocando denegación de servicio.
En @apostrophecms/import-export, la continuación overrideDuplicates acepta opciones de reemplazo del cliente, lo que permite a colaboradores sobrescribir contenido publicado sin autorización de publicación.
Una vulnerabilidad de agotamiento de recursos sin autenticación en ApostropheCMS permite a atacantes remotos desencadenar el procesamiento y la limpieza de cargas fragmentadas sin autenticarse, lo que puede provocar una denegación de servicio.
ApostropheCMS no valida la autenticación ni la propiedad en endpoints de notificaciones. Un atacante no autenticado que obtenga un identificador válido puede modificar o eliminar permanentemente las notificaciones de otros usuarios.
En ApostropheCMS, la falta de aplicación de viewRole al público general permite acceder a objetos de usuario mediante relaciones si las plantillas exponen la información de forma indebida.
Una omisión de autorización en la API REST de páginas de ApostropheCMS permite a visitantes no autenticados y colaboradores con pocos privilegios leer contenido restringido y la estructura del sitio.
Una validación de subcadena en la extracción tar de ApostropheCMS import-export no bloquea rutas relativas alternas, permitiendo a usuarios autenticados detener el proceso de Node.
Una vulnerabilidad de prototype pollution del lado del cliente en ApostropheCMS permite a atacantes ejecutar código JavaScript arbitrario en la sesión de un usuario autenticado si la víctima abre un enlace manipulado, lo que puede derivar en el compromiso total de la instancia.
La falta de limitación de intentos en el endpoint autenticado de cambio de contraseña de ApostropheCMS permite a atacantes con una sesión activa adivinar repetidamente la contraseña actual sin bloqueos, facilitando la toma de control de la cuenta.
En ApostropheCMS anterior a 4.33.0, la API exist-in-locale permite a usuarios autenticados con bajos privilegios determinar la existencia de documentos y borradores restringidos y obtener identificadores localizados sin autorización adecuada a nivel de documento.
Una evasión de prefijo de espacio de nombres en sanitize-html permite a animaciones SMIL SVG eludir restricciones de URL, posibilitando ataques de cross-site scripting si se permiten etiquetas SVG.
ApostropheCMS uploadfs con el backend Azure y SAS habilitado expone tokens SAS a nivel de contenedor en enlaces públicos de adjuntos. Esto permite a usuarios no autenticados leer, sobrescribir, borrar y listar blobs en el contenedor.
En @apostrophecms/ai-helper, un editor autenticado puede manipular la cabecera Host para controlar el origen de peticiones de imágenes y provocar ataques SSRF hacia la red interna.
Una inyección NoSQL en el módulo import-export de ApostropheCMS permite a usuarios autenticados hacer coincidir y sobrescribir documentos no deseados mediante valores de clave manipulados.
Una omisión de autorización en ApostropheCMS permite a usuarios no autenticados con un identificador de documento verificar su existencia y obtener metadatos de publicación regional.
Las solicitudes no autenticadas de importación de CSV en ApostropheCMS dejan archivos rechazados en el directorio temporal del sistema. Atacantes remotos pueden aprovechar esto enviando repetidamente archivos grandes, agotando el espacio en disco y provocando una denegación de servicio.
En paquetes de ApostropheCMS, el token de CAPTCHA se inserta sin codificar en las llamadas de verificación salientes. Esto permite inyectar parámetros que provocan fallos de verificación y denegación de servicio en inicios de sesión y formularios.
Atacantes no autenticados pueden enviar cuerpos multipart ilimitados al almacenamiento temporal en ApostropheCMS, provocando el agotamiento del espacio en disco y una denegación de servicio.
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.
Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.
Un resumen diario de nuevas vulnerabilidades, también las críticas.
Avisos sobre actualizaciones importantes.
Consejos prácticos sobre seguridad y monitorización de aplicaciones.
Escriba al menos dos caracteres para ver sugerencias.
/abre el buscador↑↓elegir resultadoEnterir al resultadoESCcierra
Respetamos tu privacidad
Usamos cookies para que el sitio funcione y para saber qué mejorar en él. Sin tu consentimiento solo funciona lo imprescindible. Puedes cambiar tu elección cuando quieras desde el pie de página.
Leer la política de privacidad
Ajustes de cookies
Decide a qué das tu consentimiento. Las cookies necesarias están siempre activas: sin ellas el sitio ni siquiera recordaría esta elección.
Leer la política de privacidad
Siempre activas
La sesión, la protección de los formularios y el recuerdo de esta misma elección. El sitio no funciona sin ellas, así que no se pueden desactivar.
Recordar tu idioma, el tema y los ajustes de accesibilidad para que no tengas que elegirlos en cada visita.
Estadísticas anónimas de visitas: qué páginas se leen y dónde se pierde la gente. Con eso mejoramos el sitio.
Medir la eficacia de nuestros anuncios y ajustarlos a tus intereses en servicios externos.
