Plan darmowy, bez karty, pierwszy błąd w kilka minut.
Załóż projekt za darmoDowiedz się, które luki zagrażają Twoim technologiom i jak je usunąć. Znajdziesz tu opisy zagrożeń, podatne wersje i konkretne zalecenia - od CMS-ów i wtyczek po biblioteki aplikacji.
Brak weryfikacji uprawnień w obsłudze WebSocket bramy w Jupyter Server pozwala uwierzytelnionym użytkownikom bez prawa uruchamiania kerneli na otwieranie kanałów i wykonywanie kodu.
Luka w modułach ładowania obrazów wieloklatkowych w bibliotece Pillow pozwala na ponowne użycie pamięci natywnej po zmianie trybu, co może prowadzić do zapisu poza buforem, awarii procesu lub wykonania kodu.
Luka typu out-of-bounds read w bibliotece Pillow pozwala wybranym dekoderom odczytać dane z pamięci sterty poza buforem podczas przetwarzania obrazów o określonych wymiarach. Może to prowadzić do ujawnienia zawartości pamięci w zdekodowanych pikselach lub awarii aplikacji.
Zastosowanie w Pillow filtrów rangowych, medianowych, minimalnych lub maksymalnych do obrazów o zerowej szerokości lub wysokości wywołuje dereferencję wskaźnika NULL, powodując awarię procesu Pythona i odmowę usługi.
Brak sanityzacji nazw plików przekazywanych do narzędzia Ghostscript w bibliotece Pillow pozwala na wstrzyknięcie argumentów wiersza poleceń, co może prowadzić do zdalnego wykonania kodu.
Osoba atakująca może wywołać nieskończoną pętlę w pypdf za pomocą spreparowanego, niekompletnego pliku PDF kończącego się wewnątrz tabeli xref.
Luka w bibliotece aiohttp pozwala subdomenie na usunięcie flagi Host-Only z istniejących plików cookie domeny nadrzędnej, co może osłabić mechanizmy ograniczania zasięgu ciasteczek.
W JupyterLab monit zaufania dla łącza polecenia może oznaczyć jako zaufany bieżący dokument zamiast klikniętego. Umożliwia to późniejsze wykonywanie poleceń w niezaufanym dokumencie bez potwierdzenia ze strony użytkownika.
Niekompletne zabezpieczenie dyrektyw cpp #include w ekstraktorze Fortran w Graphify umożliwia odczyt i eksfiltrację dowolnych plików z hosta podczas indeksowania niezaufanego repozytorium.
Nieuwierzytelnione zdalne wykonanie kodu w Mercury pozwala klientom sieciowym na uruchomienie dowolnego kodu Python jako użytkownik procesu serwera w domyślnych wdrożeniach przez anonimowy dostęp do punktów końcowych kernela.
Funkcja serve-status w LoopX stosuje zbyt permisywną politykę CORS z nagłówkiem wieloznacznym na trasach odczytu loopback. Złośliwe strony odwiedzane przez operatora mogą bez jego wiedzy wykradać stan płaszczyzny sterowania oraz zawartość prywatnych plików Markdown ze wszystkich zarejestrowanych repozytoriów.
Błąd autoryzacji w mechanizmie kontroli zgód pacioli pozwala zagnieżdżonym operacjom anulować wskazane przez wywołującego istniejące dokumenty bez wymaganych znaczników zgody lub wpisów audytowych.
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.