Plan darmowy, bez karty, pierwszy błąd w kilka minut.
Załóż projekt za darmoDowiedz się, które luki zagrażają Twoim technologiom i jak je usunąć. Znajdziesz tu opisy zagrożeń, podatne wersje i konkretne zalecenia - od CMS-ów i wtyczek po biblioteki aplikacji.
Luka w bibliotece Pillow powoduje wielokrotne kopiowanie długich komentarzy podczas zapisywania plików GIF. Może to prowadzić do nadmiernego zużycia procesora i odmowy usługi przy przetwarzaniu niezaufanych obrazów.
Luka typu out-of-bounds read w bibliotece Pillow pozwala wybranym dekoderom odczytać dane z pamięci sterty poza buforem podczas przetwarzania obrazów o określonych wymiarach. Może to prowadzić do ujawnienia zawartości pamięci w zdekodowanych pikselach lub awarii aplikacji.
Luka typu path traversal w systemie Windows pozwala klientom mającym dostęp do serwera Vite obejść listę dozwolonych przekierowań za pomocą ukośników odwrotnych. Umożliwia to odczyt plików spoza katalogu głównego Vite, do których dostęp ma proces serwera.
Wykrywanie CDP w OpenClaw może akceptować zablokowane adresy WebSocket, co pozwala wywołującym o niższym zaufaniu łączyć się z celami sieciowymi, które powinny być blokowane przez politykę.
Zastosowanie w Pillow filtrów rangowych, medianowych, minimalnych lub maksymalnych do obrazów o zerowej szerokości lub wysokości wywołuje dereferencję wskaźnika NULL, powodując awarię procesu Pythona i odmowę usługi.
Luka w bibliotece Pillow pozwala spreparowanym plikom Microsoft Image Composer (MIC) z osadzonymi strumieniami TIFF wywołać nieskończoną pętlę i pełne obciążenie procesora podczas sprawdzania liczby klatek, co prowadzi do odmowy usługi.
Luka związana z dereferencją wskaźnika NULL w bibliotece Pillow pozwala zdalnym atakującym na wywołanie odmowy usługi (awarii procesu) za pomocą odpowiednio spreparowanych plików graficznych przetwarzanych przez wtyczkę IPTC.
W bibliotece Pillow renderowanie tekstu z obrysem przy użyciu niezaufanych czcionek we FreeType może wywołać nieprawidłowe lub podwójne zwolnienie pamięci, prowadząc do awarii.
Brak sanityzacji nazw plików przekazywanych do narzędzia Ghostscript w bibliotece Pillow pozwala na wstrzyknięcie argumentów wiersza poleceń, co może prowadzić do zdalnego wykonania kodu.
Podatność typu cross-site scripting w module Drupal UI Icons pozwala atakującym z uprawnieniami do edycji treści w dozwolonym formacie tekstu na wykonanie skryptów za pośrednictwem widżetu CKEditor w rzadkich okolicznościach.
Luka w module FFmpeg Image Toolkit wynika z niedostatecznego oczyszczania nazw plików przekazywanych do narzędzia wiersza poleceń ffmpeg. Do jej wykorzystania wymagane jest posiadanie uprawnień do wgrywania obrazów.
W module Frontend Editing dla Drupala wykryto lukę polegającą na niewystarczającym sprawdzaniu uprawnień do pól podczas modyfikowania elementów akapitów, wymagającą określonych ról redaktorskich.
Motyw ABC dla systemu Drupal nie oczyszcza w wystarczającym stopniu tytułów łączy menu przed wstawieniem ich do atrybutów klas HTML. Atakujący posiadający uprawnienia do edycji menu może wykorzystać tę podatność.
Brak wystarczającej weryfikacji uprawnień dostępu w module Dopup może umożliwić nieautoryzowanym użytkownikom podejrzenie tytułów prywatnych formularzy Webform.
Podatność CSRF w module frontend_editing dla Drupala pozwala atakującemu nakłonić zalogowanego redaktora do usunięcia lub zmiany kolejności paragrafów w węźle.
Luka typu cross-site scripting w module Drupal Block Attributes pozwala użytkownikom ze specjalnymi uprawnieniami na wstrzykiwanie kodu ze względu na niewystarczającą sanityzację atrybutów bloków.
Moduł Media Bulk Upload dla Drupal niedostatecznie sprawdza uprawnienia do tworzenia określonych typów mediów w formularzu masowego przesyłania. Do wykorzystania luki wymagane jest posiadanie uprawnienia do tego formularza.
Luka w module Drupal ui_icons umożliwia renderowanie niedostatecznie zweryfikowanych ustawień ikon przekazanych przez użytkowników.
Moduł dystrybucji Sector dla systemu Drupal niedostatecznie oczyszcza nazwy plików multimedialnych, co przy uprawnieniach do tworzenia lub edycji mediów może umożliwić atak cross-site scripting.
Osoba atakująca może wywołać nieskończoną pętlę w pypdf za pomocą spreparowanego, niekompletnego pliku PDF kończącego się wewnątrz tabeli xref.
Brak weryfikacji pochodzenia w Storybook preview pozwala złośliwej witrynie na nieautoryzowane modyfikacje plików na uruchomionym serwerze deweloperskim. W określonych warunkach i przy interakcji użytkownika może to doprowadzić do wykonania dowolnego kodu na maszynie programisty.
Błąd w Electron powoduje przypisanie uprawnień HID i USB z ramki iframe do ramki nadrzędnej. W rezultacie aplikacje weryfikujące pochodzenie mogą przyznać osadzonej ramce dostęp do urządzeń przeznaczony dla strony głównej.
W ApostropheCMS przed wersją 4.34.0 punkt końcowy REST pomija ograniczenia stron i pól, co pozwala użytkownikom z uprawnieniami edytora na odczyt poufnych danych po poznaniu identyfikatora dokumentu.
Brak uwierzytelnienia w ApostropheCMS pozwala nieuwierzytelnionym użytkownikom ze standardowym plikiem cookie CSRF na wywoływanie operacji czyszczenia, usuwanie tymczasowych plików eksportu oraz modyfikowanie zadań w bazie danych.
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.