Dowiedz się, które luki zagrażają Twoim technologiom i jak je usunąć. Znajdziesz tu opisy zagrożeń, podatne wersje i konkretne zalecenia - od CMS-ów i wtyczek po biblioteki aplikacji.
Krytyczna luka w aplikacjach Next.js korzystających z App Router z komponentem Cache Component umożliwia nieuwierzytelnione zdalne wykonanie kodu, gdy funkcje zwracają wiele tablic typowanych. Zalecana jest natychmiastowa aktualizacja do wersji 16.4.1 lub nowszej.
Obejście oczyszczania wyrażeń szablonów w DOMPurify pozwala rozdzielonym wyrażeniom w dołączonych shadow root przetrwać filtrację w trybach zwracających DOM. Przetworzenie oczyszczonej zawartości przez silnik szablonów może umożliwić atakującemu wykonanie skryptów skrośnych lub wstrzyknięcie szablonu.
W Sentry-Javascript użycie trasy tunelowej w kompilacjach webpack może doprowadzić do pominięcia middleware Next.js dla żądań pod ścieżką tunelu, jeśli autoryzacja jest sprawdzana tylko w middleware.
Luka typu path traversal w systemie Windows pozwala klientom mającym dostęp do serwera Vite obejść listę dozwolonych przekierowań za pomocą ukośników odwrotnych. Umożliwia to odczyt plików spoza katalogu głównego Vite, do których dostęp ma proces serwera.
Wykrywanie CDP w OpenClaw może akceptować zablokowane adresy WebSocket, co pozwala wywołującym o niższym zaufaniu łączyć się z celami sieciowymi, które powinny być blokowane przez politykę.
Brak weryfikacji pochodzenia w Storybook preview pozwala złośliwej witrynie na nieautoryzowane modyfikacje plików na uruchomionym serwerze deweloperskim. W określonych warunkach i przy interakcji użytkownika może to doprowadzić do wykonania dowolnego kodu na maszynie programisty.
Błąd w Electron powoduje przypisanie uprawnień HID i USB z ramki iframe do ramki nadrzędnej. W rezultacie aplikacje weryfikujące pochodzenie mogą przyznać osadzonej ramce dostęp do urządzeń przeznaczony dla strony głównej.
W ApostropheCMS przed wersją 4.34.0 punkt końcowy REST pomija ograniczenia stron i pól, co pozwala użytkownikom z uprawnieniami edytora na odczyt poufnych danych po poznaniu identyfikatora dokumentu.
Brak uwierzytelnienia w ApostropheCMS pozwala nieuwierzytelnionym użytkownikom ze standardowym plikiem cookie CSRF na wywoływanie operacji czyszczenia, usuwanie tymczasowych plików eksportu oraz modyfikowanie zadań w bazie danych.
Luka w ApostropheCMS pozwala każdemu uwierzytelnionemu użytkownikowi na enumerację slugów w systemie za pośrednictwem punktu końcowego doc/slugTaken, ujawniając istnienie prywatnych, roboczych i administracyjnych treści.
W ApostropheCMS występuje podatność typu stored XSS, w której kontrolowane przez edytora wartości pól stylów w widgetach są serializowane do atrybutów HTML bez ucieczki znaków, co pozwala na wykonanie dowolnego skryptu.
Podatność na przechowywany cross-site scripting w ApostropheCMS pozwala uwierzytelnionym użytkownikom z prawami edycji na wstrzyknięcie złośliwego kodu HTML i JavaScript w polach koloru. Zaleca się aktualizację do wersji 4.34.0 lub nowszej.
W ApostropheCMS interfejs API importu omija role publikacji, co pozwala użytkownikom z uprawnieniami edycji na nieautoryzowane tworzenie, zastępowanie lub usuwanie opublikowanych treści.
Luka w ApostropheCMS pozwala uwierzytelnionym użytkownikom na wyczerpanie pamięci masowej serwera podczas rozpakowywania archiwów z powodu braku limitów zasobów i usuwania pozostałości po awarii, co może wywołać odmowę usługi.
W pakiecie @apostrophecms/import-export funkcja overrideDuplicates akceptuje wybory zastąpienia przekazane przez klienta, co pozwala współpracownikom nadpisywać opublikowane treści bez uprawnień do publikacji.
Luka w Vite umożliwia wykonywanie skryptów cross-origin, gdy serwer deweloperski przekazuje niezmodyfikowany URL żądania do niestandardowego oprogramowania pośredniczącego. Pozwala to atakującemu na uruchomienie skryptów w kontekście strony serwowanej przez serwer deweloperski.
Na serwerach deweloperskich Vite działających w środowisku Node.js lub Deno spreparowane żądania mogą ujawnić początkowe bajty plików spoza dozwolonych ścieżek dostępu za pośrednictwem komunikatów o błędach parsera WebAssembly.
W środowisku Vite na systemach innych niż Windows pliki spoza katalogu głównego projektu mogą zostać udostępnione, jeśli importowana ścieżka odpowiada bezwzględnej ścieżce systemowej, a serwer deweloperski jest dostępny w sieci. Aktualizacja do poprawionej wersji rozwiązuje ten problem.
Luka w ApostropheCMS pozwala nieuwierzytelnionemu atakującemu na wywołanie operacji przetwarzania i czyszczenia przesyłanych porcji plików przed autoryzacją, co prowadzi do wyczerpania zasobów i odmowy usługi.
Luka typu denial of service w bibliotece markdown-it pozwala zdalnym atakującym zablokować pętlę zdarzeń Node.js za pomocą spreparowanych wielowierszowych definicji odnośników. Niezamknięte definicje powodują kwadratowy czas przetwarzania przy domyślnych ustawieniach.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.
Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.
Codzienne zestawienie nowych podatności, także krytycznych.
Powiadomienia o ważnych aktualizacjach.
Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.
Wpisz co najmniej dwa znaki, żeby zobaczyć podpowiedzi.
/otwiera wyszukiwarkę↑↓wybór wynikuEnterprzejdź do wynikuESCzamyka
Szanujemy Twoją prywatność
Używamy ciasteczek, żeby strona działała, a my wiedzieli, co na niej poprawić. Bez Twojej zgody działa tylko to, co niezbędne. Wybór możesz zmienić w każdej chwili w stopce.
Czytaj politykę prywatności
Ustawienia ciasteczek
Zdecyduj, na co się zgadzasz. Ciasteczka wymagane działają zawsze - bez nich strona nie zapamiętałaby nawet tego wyboru.
Czytaj politykę prywatności
Zawsze aktywne
Sesja, zabezpieczenie formularzy i pamięć tego wyboru. Bez nich strona nie działa, więc nie da się ich wyłączyć.
Zapamiętanie języka, motywu i ustawień dostępności, żeby nie trzeba było ich wybierać przy każdej wizycie.
Anonimowe statystyki odwiedzin: które strony są czytane i gdzie ludzie się gubią. Na tym poprawiamy stronę.
Mierzenie skuteczności reklam i dobieranie ich do Twoich zainteresowań w serwisach zewnętrznych.
