Plan darmowy, bez karty, pierwszy błąd w kilka minut.
Załóż projekt za darmoDowiedz się, które luki zagrażają Twoim technologiom i jak je usunąć. Znajdziesz tu opisy zagrożeń, podatne wersje i konkretne zalecenia - od CMS-ów i wtyczek po biblioteki aplikacji.
W ApostropheCMS uploadfs z backendem Azure i opcją SAS token kontenera wycieka do publicznych adresów URL załączników. Pozwala to nieuprawnionym użytkownikom na odczyt, nadpisywanie, usuwanie i listowanie obiektów w kontenerze.
W @apostrophecms/ai-helper uwierzytelniony edytor może manipulować nagłówkiem Host, aby sterować adresem docelowym pobierania obrazu przez serwer i wywołać atak SSRF w sieci wewnętrznej.
W pakietach ApostropheCMS tokeny odpowiedzi CAPTCHA są umieszczane w żądaniach weryfikacji bez kodowania URL. Umożliwia to wstrzyknięcie parametrów, powodując błędy weryfikacji i odmowę usługi w formularzach oraz logowaniu.
Nieuwierzytelnieni użytkownicy mogą przesyłać nieograniczone dane formularzy na dysk serwera w ApostropheCMS, co może prowadzić do wyczerpania przestrzeni dyskowej i odmowy usługi (DoS).
W ApostropheCMS uwierzytelniony użytkownik korzystający z adaptera SQLite lub PostgreSQL może usunąć metody z prototypu za pomocą projekcji wykluczających, wywołując trwałą odmowę usługi w całym procesie Node.
ApostropheCMS przekazuje jednorazowe tokeny migracji sesji w parametrach URL. Przechwycenie takiego tokena pozwala na przejęcie sesji użytkownika wraz z jego uprawnieniami.
Luka typu odmowa usługi w Angular Router dotyczy renderowania po stronie serwera (SSR) w Node.js. Nieuwierzytelnieni atakujący mogą przesyłać spreparowane adresy URL z pustymi segmentami outletów, co doprowadza do wyczerpania pamięci lub zasobów procesora i awarii procesu roboczego.
Błąd podwójnego dekodowania ścieżki w Hono pozwala na obejście oprogramowania pośredniczącego na statycznych ścieżkach, umożliwiając nieautoryzowany dostęp do chronionych plików.
Luka open redirect w Angular SSR umożliwia nieuwierzytelnionym atakującym obejście kontroli ścieżek URL i przekierowanie użytkowników do zewnętrznych domen.
Interfejs tabeli DataStore w ckan-mcp-server nie weryfikuje pochodzenia wiadomości przychodzących i wysyła wiadomości wychodzące do celu "*". Umożliwia to fałszowanie wyświetlanej zawartości i zakłócanie komunikacji.
Domyślnie skonfigurowany serwer Qwik może zostać wyłączony za pomocą jednego nieuwierzytelnionego żądania HTTP. Zapętlenie takich żądań pozwala atakującemu na ciągłe blokowanie działania wszystkich replik serwera.
Luka zatruwania pamięci podręcznej w Nuxt OG Image pozwala nieuwierzytelnionemu atakującemu na modyfikację zawartości obrazów dostarczanych użytkownikom ze względu na przewidywalne klucze pamięci podręcznej na trasach dynamicznych obrazów.
Luka reflected XSS w TanStack Start pozwala nieuwierzytelnionemu atakującemu na wykonanie złośliwego kodu JavaScript w przeglądarce ofiary po otwarciu spreparowanego odnośnika. Zalecana jest niezwłoczna aktualizacja do załatanych wersji pakietów.
Ramka podglądu panelu TinaCMS ładuje pochodzenie kontrolowane przez atakującego z fragmentu URL. Jeśli zalogowany edytor otworzy spreparowany link, nieautoryzowany atakujący może uzyskać pełny dostęp do odczytu i zapisu w API treści witryny w jego kontekście.
Brak weryfikacji schematu URL w odnośnikach rich-text w @tinacms/web-components umożliwia atak typu stored XSS, pozwalając na wykonanie złośliwego kodu w przeglądarkach odwiedzających witrynę.
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.