Plan gratuito, sin tarjeta, el primer error en minutos.
Crear un proyecto gratisDescubre qué vulnerabilidades afectan a tus tecnologías y cómo solucionarlas. Encuentra explicaciones claras, versiones afectadas y recomendaciones prácticas - desde CMS y plugins hasta bibliotecas de aplicaciones.
Una vulnerabilidad en ApostropheCMS permite a cualquier usuario autenticado enumerar slugs en todo el sistema mediante el endpoint doc/slugTaken, exponiendo la existencia de contenido privado, borradores y contenido administrativo.
ApostropheCMS presenta una vulnerabilidad de cross-site scripting persistente donde los valores de estilo controlados por el editor en widgets se serializan en atributos HTML sin escape, permitiendo la ejecución de scripts arbitrarios.
Una vulnerabilidad de cross-site scripting almacenado en ApostropheCMS permite a usuarios autenticados con permisos de edición inyectar HTML y JavaScript arbitrarios en campos de color. Se recomienda actualizar a la versión 4.34.0 o posterior.
Una vulnerabilidad en la API de importación de ApostropheCMS elude los roles de publicación, permitiendo a editores sin permisos de publicación crear, reemplazar o eliminar contenido publicado no autorizado.
Una vulnerabilidad en ApostropheCMS permite a usuarios autenticados agotar el almacenamiento del servidor al descomprimir archivos debido a la falta de cuotas y limpieza tras fallos, provocando denegación de servicio.
En @apostrophecms/import-export, la continuación overrideDuplicates acepta opciones de reemplazo del cliente, lo que permite a colaboradores sobrescribir contenido publicado sin autorización de publicación.
La lista de bloqueo de invocación estricta de OGNL puede eludirse mediante proxies de reflexión. Solo afecta a aplicaciones que evalúan expresiones no confiables con acceso a miembros permisivo por defecto y que dependen únicamente de dicha lista como sandbox.
Una vulnerabilidad en el script activate.fish de virtualenv permite ejecutar comandos si la ruta del entorno o el prompt contiene una barra invertida antes de una comilla. Corregido en la versión 21.14.2.
Una vulnerabilidad en pypdf permite a un atacante provocar un bucle infinito mediante un archivo PDF manipulado cuando se elimina un objeto, como un elemento de esquema, de un árbol.
Una vulnerabilidad en pypdf permite a un atacante crear un documento PDF manipulado que desencadena un bucle infinito al procesar elementos del esquema, provocando una denegación de servicio.
Una vulnerabilidad en los scripts de activación de virtualenv permite la ejecución de código si la ruta o el prompt del entorno contienen marcadores de posición. Activar un entorno virtual manipulado puede provocar la ejecución de comandos no deseados.
Una vulnerabilidad en pypdf permite a atacantes provocar un consumo excesivo de memoria mediante archivos PDF manipulados cuyos flujos contienen múltiples filtros.
Una vulnerabilidad en Vite permite la ejecución de scripts entre orígenes cuando un servidor de desarrollo pasa una URL de solicitud sin modificar a un middleware personalizado. Esto permite a un atacante ejecutar scripts maliciosos en el contexto de la página servida por el entorno de desarrollo.
En los servidores de desarrollo de Vite que se ejecutan en Node.js o Deno, peticiones manipuladas pueden exponer los primeros bytes de archivos ubicados fuera de los límites de acceso configurados mediante errores del analizador WebAssembly.
En Vite en sistemas que no son Windows, se pueden servir archivos fuera de la raíz del proyecto si una ruta importada coincide con una ruta absoluta del sistema y el servidor de desarrollo está expuesto a la red. La actualización a una versión corregida soluciona el problema.
Una vulnerabilidad de agotamiento de recursos sin autenticación en ApostropheCMS permite a atacantes remotos desencadenar el procesamiento y la limpieza de cargas fragmentadas sin autenticarse, lo que puede provocar una denegación de servicio.
Un desbordamiento de búfer en el montículo en Pillow permite a atacantes escribir fuera de los límites de memoria al decodificar imágenes JPEG sin pérdidas manipuladas usando escalado draft. Esto ocurre cuando libjpeg-turbo descarta el escalado solicitado, causando corrupción de memoria.
A2A Java SDK registra tokens y credenciales de notificaciones push en texto plano cuando falla la deserialización de protobuf, exponiéndolos a usuarios con acceso a los registros del servidor.
Una vulnerabilidad en A2A Java SDK permite que un agente comprometido defina un encabezado HTTP personalizado para las credenciales. Al seguir una redirección HTTP, el cliente reenvía estos encabezados a un servidor externo, lo que puede provocar la filtración de las claves de API del cliente.
Una vulnerabilidad de cross-site scripting almacenado en Cachet permite a atacantes autenticados inyectar código malicioso en los campos de incidentes. El código se ejecuta en el navegador de quienes visitan la página pública de estado, lo que puede derivar en el robo de sesiones y la toma de cuentas.
Una recursión ilimitada en Pillow al analizar árboles de páginas o cadenas de trailer en PDFs puede provocar denegación de servicio y un consumo excesivo de CPU y memoria.
Un fallo en Pillow permite que un archivo GIF manipulado provoque una asignación excesiva de memoria cuando una aplicación captura errores de descompresión al avanzar fotogramas y reutiliza el objeto de imagen. Esto puede provocar el agotamiento de la memoria y una denegación de servicio.
Pillow es vulnerable a una escritura fuera de límites al procesar imágenes PPM o PGM de ancho cero en operaciones de morfología. Abrir una imagen manipulada puede provocar la caída de la aplicación y una posible corrupción de memoria.
Una lectura fuera de límites en el decodificador de TIFF por teselas de Pillow permite que una imagen manipulada provoque la caída del proceso o copie memoria adyacente del heap en el búfer de píxeles.
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.