Poznaj podatności. Chroń swoje aplikacje.

ip-address: Address6 matches a zone identifier in quadratic time ahead of its length limit, allowing a single long string to stall the process

Nodemailer: Quadratic (O(n^2)) DKIM header unfolding lets a large folded header cause remote denial of service during signing

stream-json: FlexAssembler string/RegExp path filters join the full key stack per container start, giving O(depth^2) CPU denial of service

ApostropheCMS: Unauthenticated publicApiProjection bypass via search and sort query builders in the public REST API

ApostropheCMS sanitize-html: unbounded recursion when re-sanitizing the fallback of a discarded iframe (stack overflow, nestingLimit not enforced)

launch-editor: Editor CLI flag misinterpretation causing arbitrary command execution for some editors

ApostropheCMS: Same-parent page reorder in @apostrophecms/page move() re-ranks a restricted parent's children without create authorization

AdonisJS HTTP Server: Uncontrolled Resource Consumption and Inefficient Regular Expression Complexity

Vitest: Obejście listy dozwolonych przekierowań w @vitest/mocker poprzez znaki ukośnika odwrotnego w systemie Windows

Luka typu path traversal w systemie Windows pozwala klientom mającym dostęp do serwera Vite obejść listę dozwolonych przekierowań za pomocą ukośników odwrotnych. Umożliwia to odczyt plików spoza katalogu głównego Vite, do których dostęp ma proces serwera.

OpenClaw: Wykrywanie CDP przeglądarki może akceptować zablokowane adresy URL WebSocket

Wykrywanie CDP w OpenClaw może akceptować zablokowane adresy WebSocket, co pozwala wywołującym o niższym zaufaniu łączyć się z celami sieciowymi, które powinny być blokowane przez politykę.

Electron: weryfikacja uprawnień HID i USB może zostać przypisana do niewłaściwego źródła

Błąd w Electron powoduje przypisanie uprawnień HID i USB z ramki iframe do ramki nadrzędnej. W rezultacie aplikacje weryfikujące pochodzenie mogą przyznać osadzonej ramce dostęp do urządzeń przeznaczony dla strony głównej.

ApostropheCMS: GET /api/v1/@apostrophecms/page/:id omija ograniczenie viewRole i ujawnia pola chronione przez viewPermission użytkownikom o niższych uprawnieniach

W ApostropheCMS przed wersją 4.34.0 punkt końcowy REST pomija ograniczenia stron i pól, co pozwala użytkownikom z uprawnieniami edytora na odczyt poufnych danych po poznaniu identyfikatora dokumentu.

ApostropheCMS: Ujawnienie istnienia prywatnych i administracyjnych treści przez punkt końcowy doc/slugTaken

Luka w ApostropheCMS pozwala każdemu uwierzytelnionemu użytkownikowi na enumerację slugów w systemie za pośrednictwem punktu końcowego doc/slugTaken, ujawniając istnienie prywatnych, roboczych i administracyjnych treści.

ApostropheCMS: Podatność Stored XSS przez brak ucieczki znaków przy serializacji atrybutów stylów widgetów

W ApostropheCMS występuje podatność typu stored XSS, w której kontrolowane przez edytora wartości pól stylów w widgetach są serializowane do atrybutów HTML bez ucieczki znaków, co pozwala na wykonanie dowolnego skryptu.

ApostropheCMS: Obejście walidacji pola koloru umożliwia przechowywany XSS przez kod HTML dołączony po prefiksie rgb()/hsl()

Podatność na przechowywany cross-site scripting w ApostropheCMS pozwala uwierzytelnionym użytkownikom z prawami edycji na wstrzyknięcie złośliwego kodu HTML i JavaScript w polach koloru. Zaleca się aktualizację do wersji 4.34.0 lub nowszej.

ApostropheCMS: API importu omija role publikacji dla chronionych treści

W ApostropheCMS interfejs API importu omija role publikacji, co pozwala użytkownikom z uprawnieniami edycji na nieautoryzowane tworzenie, zastępowanie lub usuwanie opublikowanych treści.

ApostropheCMS: Archiwa importu mogą wyczerpać pamięć masową serwera i wywołać odmowę usługi

Luka w ApostropheCMS pozwala uwierzytelnionym użytkownikom na wyczerpanie pamięci masowej serwera podczas rozpakowywania archiwów z powodu braku limitów zasobów i usuwania pozostałości po awarii, co może wywołać odmowę usługi.

ApostropheCMS: Kontynuacja duplikatów archiwum pozwala współpracownikom na nadpisywanie opublikowanych treści

W pakiecie @apostrophecms/import-export funkcja overrideDuplicates akceptuje wybory zastąpienia przekazane przez klienta, co pozwala współpracownikom nadpisywać opublikowane treści bez uprawnień do publikacji.