Dowiedz się, które luki zagrażają Twoim technologiom i jak je usunąć. Znajdziesz tu opisy zagrożeń, podatne wersje i konkretne zalecenia - od CMS-ów i wtyczek po biblioteki aplikacji.
Luka umożliwiająca zdalne wykonanie kodu występuje w platformach .NET i Visual Studio wskutek deserializacji niezaufanych danych w pakietach Windows Desktop. Aplikacje używające podatnych wersji środowiska wymagają aktualizacji do bezpiecznych wydań oraz ponownej kompilacji w przypadku wdrożeń autonomicznych.
Podatność w Microsoft.WindowsDesktop.App.Runtime (WPF) pozwala atakującemu wywołać przepełnienie liczb całkowitych za pomocą współrzędnych glifów XPS, co prowadzi do zapisu poza zakresem i zakończenia procesu.
Luka typu spoofing w System.Security.Cryptography.Xml pozwala na akceptację serializowanych certyfikatów z metadanymi kontrolowanymi przez atakującego, umożliwiając fałszowanie tokenów. Wymagana jest aktualizacja platformy .NET, SDK oraz zależności pakietu.
Luka w Microsoft.AspNetCore.Authentication.Negotiate umożliwia nieprawidłowe powiązanie tożsamości z podmiotem LDAP z powodu braku weryfikacji identyfikatora SID Kerberos. Zaleca się zastosowanie aktualizacji platformy .NET.
Luka w Microsoft.AspNetCore.Components.WebAssembly.Server pozwala na wstrzykiwanie skryptów między źródłami przez niezakodowany tekst błędu na stronie debugowania Blazor.
W pakietach System.Security.Cryptography.Xml i System.Private.Xml wykryto lukę odmowy usługi spowodowaną alokacją zasobów bez ograniczeń. Zaleca się aktualizację pakietów i ponowne wdrożenie aplikacji.
Błąd Use After Free w Microsoft.Native.Quic.MsQuic.Schannel w systemie Windows umożliwia ujawnienie informacji w aplikacjach .NET. Zaleca się instalację najnowszej wersji .NET lub załatanego pakietu oraz ponowne uruchomienie lub rekompilację aplikacji.
W System.Security.Cryptography.Xml i System.Private.Xml w .NET zidentyfikowano podatność DoS prowadzącą do asymetrycznego zużycia zasobów. Zaleca się aktualizację pakietów lub środowiska .NET do wersji załatanych oraz ponowną kompilację aplikacji autonomicznych.
Luka odmowy usługi w ASP.NET Core pozwala klientom SignalR z mechanizmem stanowego ponownego łączenia trwale blokować transmisje i bezterminowo przetrzymywać zasoby.
Luka w TinaCMS CLI umożliwia wykonanie dowolnego kodu JavaScript podczas budowania projektu z powodu braku ucieczki znaków w nazwie gałęzi Git wstawianej do generowanego kodu klienta.
Ramka podglądu panelu TinaCMS ładuje pochodzenie kontrolowane przez atakującego z fragmentu URL. Jeśli zalogowany edytor otworzy spreparowany link, nieautoryzowany atakujący może uzyskać pełny dostęp do odczytu i zapisu w API treści witryny w jego kontekście.
Brak weryfikacji schematu URL w odnośnikach rich-text w @tinacms/web-components umożliwia atak typu stored XSS, pozwalając na wykonanie złośliwego kodu w przeglądarkach odwiedzających witrynę.
Luka typu path traversal w Shiny for Python pozwala nieuwierzytelnionym atakującym badać istnienie i poprawność plików JSON podczas przywracania zakładek lub odczytywać dowolne pliki, jeśli skonfigurowano zakładki po stronie serwera i pola wyboru plików.
Wyłączenie indeksowania chronionych stron w Contao może spowodować ujawnienie ich tytułów, adresów URL i fragmentów treści anonimowym użytkownikom w wynikach wyszukiwania.
Luka w module rejestracji Contao pozwala nieuwierzytelnionym użytkownikom wielokrotnie wysyłać e-maile aktywacyjne na dowolne adresy. Stwarza to ryzyko zalewania skrzynek pocztowych oraz ujawnia informacje o oczekujących rejestracjach użytkowników.
Podatność na fałszowanie żądań międzywitrynowych w Contao pozwala na wykonanie modyfikujących stan lub destrukcyjnych akcji panelu administracyjnego, jeśli zalogowany użytkownik otworzy spreparowany adres URL.
Błąd przejścia przez katalogi w kontrolerze obrazów Contao pozwala nieuwierzytelnionym użytkownikom odczytywać pliki graficzne spoza katalogu głównego oraz weryfikować istnienie ścieżek w projekcie.
Luka cross-site scripting w module komentarzy Contao pozwala nieuwierzytelnionym użytkownikom na wstrzyknięcie kodu, który wykonuje się w sesji administratora przeglądającego komentarze, co może prowadzić do przejęcia konta lub wykonania kodu.
Błąd kontroli dostępu w Contao umożliwia użytkownikom panelu bez uprawnień administratora odczytanie wszystkich linków podglądu i dostęp do nieopublikowanych treści za pomocą podpisanych adresów URL.
Błąd buforowania w voterze bezpieczeństwa Contao pozwala użytkownikom zaplecza o niskich uprawnieniach na obejście ograniczeń modułów i uzyskanie nieautoryzowanego dostępu do wrażliwych tabel bazy danych.
Błąd autoryzacji w mechanizmie kontroli zgód pacioli pozwala zagnieżdżonym operacjom anulować wskazane przez wywołującego istniejące dokumenty bez wymaganych znaczników zgody lub wpisów audytowych.
Podatność typu Stored Cross-Site Scripting we wtyczce PeproDev Ultimate Profile Solutions dla WordPressa pozwala uwierzytelnionym użytkownikom z uprawnieniami współtwórcy na wstrzykiwanie złośliwych skryptów.
Luka w HivePress pozwala nieuwierzytelnionym użytkownikom wstrzykiwać złośliwe skrypty za pośrednictwem pól atrybutów profilu, które wykonują się podczas wyświetlania stron użytkowników.
Wtyczka Listdom dla WordPressa w wersjach do 6.1.2 pozwala uwierzytelnionym administratorom na usuwanie dowolnych plików na serwerze poprzez podatność typu path traversal, co może prowadzić do zdalnego wykonania kodu.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.
Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.
Codzienne zestawienie nowych podatności, także krytycznych.
Powiadomienia o ważnych aktualizacjach.
Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.
Wpisz co najmniej dwa znaki, żeby zobaczyć podpowiedzi.
/otwiera wyszukiwarkę↑↓wybór wynikuEnterprzejdź do wynikuESCzamyka
Szanujemy Twoją prywatność
Używamy ciasteczek, żeby strona działała, a my wiedzieli, co na niej poprawić. Bez Twojej zgody działa tylko to, co niezbędne. Wybór możesz zmienić w każdej chwili w stopce.
Czytaj politykę prywatności
Ustawienia ciasteczek
Zdecyduj, na co się zgadzasz. Ciasteczka wymagane działają zawsze - bez nich strona nie zapamiętałaby nawet tego wyboru.
Czytaj politykę prywatności
Zawsze aktywne
Sesja, zabezpieczenie formularzy i pamięć tego wyboru. Bez nich strona nie działa, więc nie da się ich wyłączyć.
Zapamiętanie języka, motywu i ustawień dostępności, żeby nie trzeba było ich wybierać przy każdej wizycie.
Anonimowe statystyki odwiedzin: które strony są czytane i gdzie ludzie się gubią. Na tym poprawiamy stronę.
Mierzenie skuteczności reklam i dobieranie ich do Twoich zainteresowań w serwisach zewnętrznych.
