Poznaj podatności. Chroń swoje aplikacje.

@angular/router: Odmowa usługi poprzez niedopasowane dopasowywanie tras outletów o pustej ścieżce w renderowaniu po stronie serwera (SSR)

Luka typu odmowa usługi w Angular Router dotyczy renderowania po stronie serwera (SSR) w Node.js. Nieuwierzytelnieni atakujący mogą przesyłać spreparowane adresy URL z pustymi segmentami outletów, co doprowadza do wyczerpania pamięci lub zasobów procesora i awarii procesu roboczego.

markdown-it: Złożoność kwadratowa w regule smartquotes przy niedopasowanych cudzysłowach zamykających

Specjalnie spreparowany Markdown może wywołać kwadratowy czas przetwarzania w regule smartquotes biblioteki markdown-it przy włączonej typografii, prowadząc do DoS.

Claude Code: Obejście przypiętego skrótu wtyczki pozwala na ominięcie weryfikacji hasha

Podatność w Claude Code umożliwiała pominięcie weryfikacji przypiętego skrótu commitu podczas instalacji wtyczki za pomocą specjalnie nazwanej gałęzi Git, co prowadziło do instalacji niezweryfikowanego kodu. Zaleca się aktualizację oprogramowania.

Qwik: Awaria dowolnego serwera Qwik za pośrednictwem thenable w Resource

Domyślnie skonfigurowany serwer Qwik może zostać wyłączony za pomocą jednego nieuwierzytelnionego żądania HTTP. Zapętlenie takich żądań pozwala atakującemu na ciągłe blokowanie działania wszystkich replik serwera.

OpenNext Cloudflare: Przechwytywanie pamięci podręcznej może ominąć ochronę middleware dla zakodowanych ścieżek

W OpenNext Cloudflare przechwytywanie pamięci podręcznej może różnie dekodować ścieżki, pozwalając na ominięcie middleware autoryzacyjnego i pobranie zbuforowanych zasobów.

Tina: Wstrzyknięcie kodu przez niesanitaryzowaną nazwę gałęzi Git w wygenerowanym kodzie klienta

Luka w TinaCMS CLI umożliwia wykonanie dowolnego kodu JavaScript podczas budowania projektu z powodu braku ucieczki znaków w nazwie gałęzi Git wstawianej do generowanego kodu klienta.

@tinacms/web-components: `tina-markdown` zapisuje adresy URL odnośników w `href` bez walidacji schematu, umożliwiając stored XSS

Brak weryfikacji schematu URL w odnośnikach rich-text w @tinacms/web-components umożliwia atak typu stored XSS, pozwalając na wykonanie złośliwego kodu w przeglądarkach odwiedzających witrynę.

fast-jwt: createVerifier accepts unsigned JWTs when key is '' or null and algorithms is explicitly set

fast-jwt : Silent claim-validator bypass when JWT payload is a JSON array

fast-jwt treats raw public JWK JSON as an HMAC secret, enabling HS256 token forgery

PraisonAI: AgentOS defaults to network-exposed no-auth mode, allowing unauthenticated agent invocation and instruction disclosure