Dowiedz się, które luki zagrażają Twoim technologiom i jak je usunąć. Znajdziesz tu opisy zagrożeń, podatne wersje i konkretne zalecenia - od CMS-ów i wtyczek po biblioteki aplikacji.
Luka typu denial of service w bibliotece markdown-it pozwala zdalnym atakującym zablokować pętlę zdarzeń Node.js za pomocą spreparowanych wielowierszowych definicji odnośników. Niezamknięte definicje powodują kwadratowy czas przetwarzania przy domyślnych ustawieniach.
Rozbieżność w parsowaniu adresów URL w kliencie HTTP frameworka Angular może prowadzić do wycieku tokenów XSRF do zewnętrznych domen. Atakujący może wykorzystać przechwycone tokeny do wykonywania nieautoryzowanych operacji w ramach sesji uwierzytelnionego użytkownika.
W podatnych wersjach MCP TypeScript SDK pojedyncze żądanie HTTP mieszczące się w domyślnym limicie rozmiaru może wyczerpać pamięć serwera podczas walidacji, doprowadzając do odmowy usługi i awarii procesu.
W markdown-it przy włączonym HTML parsowanie niezamkniętych struktur HTML prowadzi do kwadratowego czasu wykonania, co pozwala zablokować pętlę zdarzeń Node.js i wywołać odmowę usługi.
Luka w pakiecie MCP TypeScript server SDK sprawia, że odpowiedzi i powiadomienia mogą trafiać do niewłaściwego klienta HTTP przy współdzieleniu instancji serwera lub transportu.
Luka w launch-editor pozwala na ominięcie weryfikacji istnienia pliku w systemie Windows przy użyciu spreparowanej ścieżki. W połączeniu z błędami ucieczki znaków może to umożliwić wstrzyknięcie poleceń systemu operacyjnego, gdy atakujący kontroluje parametr pliku.
Luka w MCP TypeScript SDK sprawia, że serwery z uwierzytelnianiem bearer akceptują tokeny wystawione dla innych usług dzielących ten sam serwer autoryzacyjny. Może to umożliwić nieautoryzowany dostęp z użyciem ważnych tokenów z innych serwisów, jeśli weryfikacja odbiorcy nie jest skonfigurowana.
W podatnych wersjach MCP TypeScript SDK eksperymentalne zadania nie były powiązane z sesją twórcy. Klienci współdzielący procedurę obsługi mogli przeglądać, odczytywać i anulować zadania innych użytkowników.
Punkty końcowe powiadomień w ApostropheCMS nie weryfikują uwierzytelnienia ani praw własności. Nieuwierzytelniony atakujący znający identyfikator powiadomienia może zmodyfikować lub trwale usunąć powiadomienia innego użytkownika.
W systemie Windows launch-editor nie przetwarza poprawnie znaków procenta, co przy manipulacji plikami, zmiennymi środowiskowymi lub strumieniami NTFS może prowadzić do wykonania poleceń.
W bibliotece MCP TypeScript client SDK transporty HTTP i żądania OAuth podążały za przekierowaniami cross-origin, co mogło ujawnić niestandardowe nagłówki i treść żądań zewnętrznym serwerom.
W ApostropheCMS reguła viewRole nie obejmuje ogółu użytkowników, co może pozwolić na dostęp do obiektów użytkowników poprzez zdefiniowane relacje w nieprawidłowo skonstruowanych szablonach.
Luka w mechanizmie autoryzacji w API stron ApostropheCMS umożliwia nieuwierzytelnionym użytkownikom oraz osobom o niskich uprawnieniach odczyt zastrzeżonych treści stron oraz metadanych witryny.
Weryfikacja podciągu podczas wypakowywania plików tar w ApostropheCMS import-export nie blokuje relatywnych ścieżek, co pozwala zalogowanym użytkownikom zatrzymać proces Node.
Podatność typu client-side prototype pollution w ApostropheCMS umożliwia wykonanie dowolnego kodu JavaScript w sesji uwierzytelnionego użytkownika, jeśli ofiara otworzy spreparowany odnośnik. Może to prowadzić do przejęcia konta oraz pełnego skompromitowania instancji CMS.
Brak ograniczania liczby prób na uwierzytelnionym punkcie końcowym zmiany hasła w ApostropheCMS pozwala osobie z aktywną sesją na nieograniczone zgadywanie bieżącego hasła bez blokady konta, co może prowadzić do jego przejęcia.
W ApostropheCMS przed wersją 4.33.0 interfejs API exist-in-locale umożliwia uwierzytelnionym użytkownikom sprawdzanie istnienia zastrzeżonych dokumentów i wersji roboczych oraz pobieranie ich identyfikatorów bez odpowiedniej autoryzacji na poziomie obiektu.
Błąd pomijania prefiksu przestrzeni nazw w sanitize-html pozwala elementom animacji SVG SMIL obejść filtrowanie adresów URL, co może umożliwić atak cross-site scripting, jeśli dozwolone są tagi SVG.
W ApostropheCMS uploadfs z backendem Azure i opcją SAS token kontenera wycieka do publicznych adresów URL załączników. Pozwala to nieuprawnionym użytkownikom na odczyt, nadpisywanie, usuwanie i listowanie obiektów w kontenerze.
W @apostrophecms/ai-helper uwierzytelniony edytor może manipulować nagłówkiem Host, aby sterować adresem docelowym pobierania obrazu przez serwer i wywołać atak SSRF w sieci wewnętrznej.
Luka NoSQL injection w module import-export ApostropheCMS pozwala uwierzytelnionym użytkownikom dopasować i nadpisać niezamierzone dokumenty za pomocą spreparowanych wartości klucza.
Luka w autoryzacji w ApostropheCMS pozwala nieuwierzytelnionym użytkownikom znającym identyfikator dokumentu potwierdzić jego istnienie i uzyskać metadane wersji językowych.
Nieuwierzytelnione żądania importu CSV w ApostropheCMS pozostawiają odrzucone pliki w katalogu tymczasowym systemu. Osoba atakująca może wysyłać wielokrotne żądania z dużymi plikami, co prowadzi do wyczerpania przestrzeni dyskowej i odmowy usługi.
W pakietach ApostropheCMS tokeny odpowiedzi CAPTCHA są umieszczane w żądaniach weryfikacji bez kodowania URL. Umożliwia to wstrzyknięcie parametrów, powodując błędy weryfikacji i odmowę usługi w formularzach oraz logowaniu.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.
Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.
Codzienne zestawienie nowych podatności, także krytycznych.
Powiadomienia o ważnych aktualizacjach.
Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.
Wpisz co najmniej dwa znaki, żeby zobaczyć podpowiedzi.
/otwiera wyszukiwarkę↑↓wybór wynikuEnterprzejdź do wynikuESCzamyka
Szanujemy Twoją prywatność
Używamy ciasteczek, żeby strona działała, a my wiedzieli, co na niej poprawić. Bez Twojej zgody działa tylko to, co niezbędne. Wybór możesz zmienić w każdej chwili w stopce.
Czytaj politykę prywatności
Ustawienia ciasteczek
Zdecyduj, na co się zgadzasz. Ciasteczka wymagane działają zawsze - bez nich strona nie zapamiętałaby nawet tego wyboru.
Czytaj politykę prywatności
Zawsze aktywne
Sesja, zabezpieczenie formularzy i pamięć tego wyboru. Bez nich strona nie działa, więc nie da się ich wyłączyć.
Zapamiętanie języka, motywu i ustawień dostępności, żeby nie trzeba było ich wybierać przy każdej wizycie.
Anonimowe statystyki odwiedzin: które strony są czytane i gdzie ludzie się gubią. Na tym poprawiamy stronę.
Mierzenie skuteczności reklam i dobieranie ich do Twoich zainteresowań w serwisach zewnętrznych.
