Plan darmowy, bez karty, pierwszy błąd w kilka minut.
Załóż projekt za darmoDowiedz się, które luki zagrażają Twoim technologiom i jak je usunąć. Znajdziesz tu opisy zagrożeń, podatne wersje i konkretne zalecenia - od CMS-ów i wtyczek po biblioteki aplikacji.
Nieuwierzytelnieni użytkownicy mogą przesyłać nieograniczone dane formularzy na dysk serwera w ApostropheCMS, co może prowadzić do wyczerpania przestrzeni dyskowej i odmowy usługi (DoS).
W ApostropheCMS uwierzytelniony użytkownik korzystający z adaptera SQLite lub PostgreSQL może usunąć metody z prototypu za pomocą projekcji wykluczających, wywołując trwałą odmowę usługi w całym procesie Node.
ApostropheCMS przekazuje jednorazowe tokeny migracji sesji w parametrach URL. Przechwycenie takiego tokena pozwala na przejęcie sesji użytkownika wraz z jego uprawnieniami.
W pakiecie sanitize-html przed wersją 2.18.0 domyślne zamknięcie wewnątrz elementów takich jak <noscript> powoduje przedwczesne zakończenie obszaru odrzucania i nieoczekiwane renderowanie zawartości jako kodu HTML.
Luka typu odmowa usługi w Angular Router dotyczy renderowania po stronie serwera (SSR) w Node.js. Nieuwierzytelnieni atakujący mogą przesyłać spreparowane adresy URL z pustymi segmentami outletów, co doprowadza do wyczerpania pamięci lub zasobów procesora i awarii procesu roboczego.
Specjalnie spreparowany Markdown może wywołać kwadratowy czas przetwarzania w regule smartquotes biblioteki markdown-it przy włączonej typografii, prowadząc do DoS.
Błąd podwójnego dekodowania ścieżki w Hono pozwala na obejście oprogramowania pośredniczącego na statycznych ścieżkach, umożliwiając nieautoryzowany dostęp do chronionych plików.
Luka open redirect w Angular SSR umożliwia nieuwierzytelnionym atakującym obejście kontroli ścieżek URL i przekierowanie użytkowników do zewnętrznych domen.
Interfejs tabeli DataStore w ckan-mcp-server nie weryfikuje pochodzenia wiadomości przychodzących i wysyła wiadomości wychodzące do celu "*". Umożliwia to fałszowanie wyświetlanej zawartości i zakłócanie komunikacji.
Podatność w Claude Code umożliwiała pominięcie weryfikacji przypiętego skrótu commitu podczas instalacji wtyczki za pomocą specjalnie nazwanej gałęzi Git, co prowadziło do instalacji niezweryfikowanego kodu. Zaleca się aktualizację oprogramowania.
Domyślnie skonfigurowany serwer Qwik może zostać wyłączony za pomocą jednego nieuwierzytelnionego żądania HTTP. Zapętlenie takich żądań pozwala atakującemu na ciągłe blokowanie działania wszystkich replik serwera.
Luka w mechanizmie rozpakowywania archiwów ZIP w bibliotece @appium/support umożliwia zapis dowolnych plików za pomocą dowiązań symbolicznych wskazujących poza katalog docelowy. Dostarczenie złośliwego archiwum może pozwolić atakującemu na nadpisanie plików lub wykonanie kodu z uprawnieniami procesu.
Luka zatruwania pamięci podręcznej w Nuxt OG Image pozwala nieuwierzytelnionemu atakującemu na modyfikację zawartości obrazów dostarczanych użytkownikom ze względu na przewidywalne klucze pamięci podręcznej na trasach dynamicznych obrazów.
Luka w kontroli dostępu w Backstage pozwala uwierzytelnionym użytkownikom na wywoływanie akcji backendu wykluczonych w konfiguracji. Standardowe uprawnienia do akcji i dalsza autoryzacja pozostają egzekwowane.
W OpenNext Cloudflare przechwytywanie pamięci podręcznej może różnie dekodować ścieżki, pozwalając na ominięcie middleware autoryzacyjnego i pobranie zbuforowanych zasobów.
Luka reflected XSS w TanStack Start pozwala nieuwierzytelnionemu atakującemu na wykonanie złośliwego kodu JavaScript w przeglądarce ofiary po otwarciu spreparowanego odnośnika. Zalecana jest niezwłoczna aktualizacja do załatanych wersji pakietów.
Luka w TinaCMS CLI umożliwia wykonanie dowolnego kodu JavaScript podczas budowania projektu z powodu braku ucieczki znaków w nazwie gałęzi Git wstawianej do generowanego kodu klienta.
Ramka podglądu panelu TinaCMS ładuje pochodzenie kontrolowane przez atakującego z fragmentu URL. Jeśli zalogowany edytor otworzy spreparowany link, nieautoryzowany atakujący może uzyskać pełny dostęp do odczytu i zapisu w API treści witryny w jego kontekście.
Brak weryfikacji schematu URL w odnośnikach rich-text w @tinacms/web-components umożliwia atak typu stored XSS, pozwalając na wykonanie złośliwego kodu w przeglądarkach odwiedzających witrynę.
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.