Poznaj podatności. Chroń swoje aplikacje.

Nuxt: Server-side route rules (`redirect`, `headers`, `proxy`, `ssr`) are skipped for case-variant paths when routing is case-insensitive

Nuxt server islands render `useHeadSafe` input without sanitisation

Nuxt: Route rules are matched against the raw request path, so a percent-encoded segment can bypass `appMiddleware` on dynamic and catch-all routes

Astro: Reflected/Stored XSS via unescaped <script>/<style> tag content in JSX/MDX rendering

next.js cache leak across root param values in nested 'use cache' functions

ip-address: Address6 matches a zone identifier in quadratic time ahead of its length limit, allowing a single long string to stall the process

Nodemailer: Quadratic (O(n^2)) DKIM header unfolding lets a large folded header cause remote denial of service during signing

stream-json: FlexAssembler string/RegExp path filters join the full key stack per container start, giving O(depth^2) CPU denial of service

ApostropheCMS: Unauthenticated publicApiProjection bypass via search and sort query builders in the public REST API

ApostropheCMS sanitize-html: unbounded recursion when re-sanitizing the fallback of a discarded iframe (stack overflow, nestingLimit not enforced)

ApostropheCMS: Same-parent page reorder in @apostrophecms/page move() re-ranks a restricted parent's children without create authorization

AdonisJS HTTP Server: Uncontrolled Resource Consumption and Inefficient Regular Expression Complexity

Vitest: Obejście listy dozwolonych przekierowań w @vitest/mocker poprzez znaki ukośnika odwrotnego w systemie Windows

Luka typu path traversal w systemie Windows pozwala klientom mającym dostęp do serwera Vite obejść listę dozwolonych przekierowań za pomocą ukośników odwrotnych. Umożliwia to odczyt plików spoza katalogu głównego Vite, do których dostęp ma proces serwera.

ApostropheCMS: Podatność Stored XSS przez brak ucieczki znaków przy serializacji atrybutów stylów widgetów

W ApostropheCMS występuje podatność typu stored XSS, w której kontrolowane przez edytora wartości pól stylów w widgetach są serializowane do atrybutów HTML bez ucieczki znaków, co pozwala na wykonanie dowolnego skryptu.

ApostropheCMS: Obejście walidacji pola koloru umożliwia przechowywany XSS przez kod HTML dołączony po prefiksie rgb()/hsl()

Podatność na przechowywany cross-site scripting w ApostropheCMS pozwala uwierzytelnionym użytkownikom z prawami edycji na wstrzyknięcie złośliwego kodu HTML i JavaScript w polach koloru. Zaleca się aktualizację do wersji 4.34.0 lub nowszej.

ApostropheCMS: API importu omija role publikacji dla chronionych treści

W ApostropheCMS interfejs API importu omija role publikacji, co pozwala użytkownikom z uprawnieniami edycji na nieautoryzowane tworzenie, zastępowanie lub usuwanie opublikowanych treści.

ApostropheCMS: Archiwa importu mogą wyczerpać pamięć masową serwera i wywołać odmowę usługi

Luka w ApostropheCMS pozwala uwierzytelnionym użytkownikom na wyczerpanie pamięci masowej serwera podczas rozpakowywania archiwów z powodu braku limitów zasobów i usuwania pozostałości po awarii, co może wywołać odmowę usługi.