Plan gratuito, sin tarjeta, el primer error en minutos.
Crear un proyecto gratisDescubre qué vulnerabilidades afectan a tus tecnologías y cómo solucionarlas. Encuentra explicaciones claras, versiones afectadas y recomendaciones prácticas - desde CMS y plugins hasta bibliotecas de aplicaciones.
Una evasión de prefijo de espacio de nombres en sanitize-html permite a animaciones SMIL SVG eludir restricciones de URL, posibilitando ataques de cross-site scripting si se permiten etiquetas SVG.
ApostropheCMS uploadfs con el backend Azure y SAS habilitado expone tokens SAS a nivel de contenedor en enlaces públicos de adjuntos. Esto permite a usuarios no autenticados leer, sobrescribir, borrar y listar blobs en el contenedor.
En @apostrophecms/ai-helper, un editor autenticado puede manipular la cabecera Host para controlar el origen de peticiones de imágenes y provocar ataques SSRF hacia la red interna.
Una inyección NoSQL en el módulo import-export de ApostropheCMS permite a usuarios autenticados hacer coincidir y sobrescribir documentos no deseados mediante valores de clave manipulados.
Una omisión de autorización en ApostropheCMS permite a usuarios no autenticados con un identificador de documento verificar su existencia y obtener metadatos de publicación regional.
Las solicitudes no autenticadas de importación de CSV en ApostropheCMS dejan archivos rechazados en el directorio temporal del sistema. Atacantes remotos pueden aprovechar esto enviando repetidamente archivos grandes, agotando el espacio en disco y provocando una denegación de servicio.
En paquetes de ApostropheCMS, el token de CAPTCHA se inserta sin codificar en las llamadas de verificación salientes. Esto permite inyectar parámetros que provocan fallos de verificación y denegación de servicio en inicios de sesión y formularios.
Atacantes no autenticados pueden enviar cuerpos multipart ilimitados al almacenamiento temporal en ApostropheCMS, provocando el agotamiento del espacio en disco y una denegación de servicio.
ApostropheCMS permite a usuarios autenticados en adaptadores SQLite o PostgreSQL eliminar métodos de prototipo compartidos mediante proyecciones de exclusión, provocando una denegación de servicio persistente en todo el proceso.
ApostropheCMS incluye tokens de migración de sesión en parámetros URL, lo que permite a quien intercepte el token secuestrar la sesión del usuario y obtener todos sus privilegios.
En sanitize-html antes de la versión 2.18.0, un cierre implícito dentro de elementos como <noscript> finaliza prematuramente la región de descarte, haciendo que su contenido se procese como elementos HTML ordinarios.
Una vulnerabilidad de denegación de servicio en Angular Router afecta al renderizado en el servidor (SSR) en Node.js. Atacantes remotos no autenticados pueden enviar URLs manipuladas con segmentos de salida vacíos para agotar la memoria o la CPU, provocando la caída del proceso y la interrupción del servicio.
Markdown manipulado puede causar un tiempo de procesamiento cuadrático en la regla smartquotes de markdown-it si la tipografía está activa, provocando denegación de servicio.
Un fallo de doble decodificación de rutas en Hono permite omitir el middleware configurado en prefijos estáticos, lo que podría permitir a atacantes no autenticados acceder a archivos estáticos protegidos.
Una vulnerabilidad de redirección abierta en Angular SSR permite a atacantes remotos usar URLs con segmentos de punto para eludir validaciones y desviar usuarios a dominios externos.
En JupyterLab, el diálogo de confianza de enlaces de comando puede marcar como confiable el documento activo actual en lugar del que recibió el clic, lo que permite que botones en documentos no confiables se ejecuten sin confirmación.
Una vulnerabilidad en aiohttp permite a un atacante mantener una conexión inactiva abierta indefinidamente antes de enviar datos, ya que no se aplicaba el tiempo de espera de keepalive al inicio de la solicitud.
En AIOHTTP, el atributo Secure no se aplicaba a las cookies compartidas, lo que permitía que se enviaran a través de solicitudes sin cifrar. El problema se resuelve actualizando a la versión 3.14.4 o posterior.
Múltiples fallos en aiohttp permiten provocar un consumo excesivo o ilimitado de memoria y CPU al procesar solicitudes manipuladas, lo que puede causar el agotamiento de recursos del sistema.
Un error de sintaxis en la lista de bloqueo de Mercury deja expuesto el endpoint /api/terminals, permitiendo a atacantes remotos sin autenticar ejecutar una shell interactiva en el sistema operativo.
Un endurecimiento incompleto de cpp #include en el extractor de Fortran de Graphify permite leer y exfiltrar archivos locales arbitrarios del host al indexar un repositorio no confiable.
Una vulnerabilidad de ejecución remota de código sin autenticación en Mercury permite a clientes de red ejecutar código Python arbitrario con los privilegios del proceso del servidor en instalaciones predeterminadas.
La función serve-status de LoopX utiliza una política CORS permisiva con encabezados comodín en rutas de lectura loopback no autenticadas. Sitios web maliciosos visitados por el operador pueden extraer sin interacción el estado del plano de control y archivos Markdown privados de los repositorios registrados.
Un desbordamiento de enteros en el capturador de fotogramas de cámaras IP en JavaCV puede generar un bucle infinito al procesar transmisiones HTTP MJPEG no confiables. Una cabecera manipulada puede dejar el hilo en un consumo permanente del 100 % de CPU, provocando una denegación de servicio.
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.