Dowiedz się, które luki zagrażają Twoim technologiom i jak je usunąć. Znajdziesz tu opisy zagrożeń, podatne wersje i konkretne zalecenia - od CMS-ów i wtyczek po biblioteki aplikacji.
Luka typu path traversal w systemie Windows pozwala klientom mającym dostęp do serwera Vite obejść listę dozwolonych przekierowań za pomocą ukośników odwrotnych. Umożliwia to odczyt plików spoza katalogu głównego Vite, do których dostęp ma proces serwera.
Brak weryfikacji pochodzenia w Storybook preview pozwala złośliwej witrynie na nieautoryzowane modyfikacje plików na uruchomionym serwerze deweloperskim. W określonych warunkach i przy interakcji użytkownika może to doprowadzić do wykonania dowolnego kodu na maszynie programisty.
Brak uwierzytelnienia w ApostropheCMS pozwala nieuwierzytelnionym użytkownikom ze standardowym plikiem cookie CSRF na wywoływanie operacji czyszczenia, usuwanie tymczasowych plików eksportu oraz modyfikowanie zadań w bazie danych.
W ApostropheCMS występuje podatność typu stored XSS, w której kontrolowane przez edytora wartości pól stylów w widgetach są serializowane do atrybutów HTML bez ucieczki znaków, co pozwala na wykonanie dowolnego skryptu.
Podatność na przechowywany cross-site scripting w ApostropheCMS pozwala uwierzytelnionym użytkownikom z prawami edycji na wstrzyknięcie złośliwego kodu HTML i JavaScript w polach koloru. Zaleca się aktualizację do wersji 4.34.0 lub nowszej.
W ApostropheCMS interfejs API importu omija role publikacji, co pozwala użytkownikom z uprawnieniami edycji na nieautoryzowane tworzenie, zastępowanie lub usuwanie opublikowanych treści.
Luka w ApostropheCMS pozwala uwierzytelnionym użytkownikom na wyczerpanie pamięci masowej serwera podczas rozpakowywania archiwów z powodu braku limitów zasobów i usuwania pozostałości po awarii, co może wywołać odmowę usługi.
W pakiecie @apostrophecms/import-export funkcja overrideDuplicates akceptuje wybory zastąpienia przekazane przez klienta, co pozwala współpracownikom nadpisywać opublikowane treści bez uprawnień do publikacji.
Luka w Vite umożliwia wykonywanie skryptów cross-origin, gdy serwer deweloperski przekazuje niezmodyfikowany URL żądania do niestandardowego oprogramowania pośredniczącego. Pozwala to atakującemu na uruchomienie skryptów w kontekście strony serwowanej przez serwer deweloperski.
Na serwerach deweloperskich Vite działających w środowisku Node.js lub Deno spreparowane żądania mogą ujawnić początkowe bajty plików spoza dozwolonych ścieżek dostępu za pośrednictwem komunikatów o błędach parsera WebAssembly.
W środowisku Vite na systemach innych niż Windows pliki spoza katalogu głównego projektu mogą zostać udostępnione, jeśli importowana ścieżka odpowiada bezwzględnej ścieżce systemowej, a serwer deweloperski jest dostępny w sieci. Aktualizacja do poprawionej wersji rozwiązuje ten problem.
Luka w ApostropheCMS pozwala nieuwierzytelnionemu atakującemu na wywołanie operacji przetwarzania i czyszczenia przesyłanych porcji plików przed autoryzacją, co prowadzi do wyczerpania zasobów i odmowy usługi.
Luka typu denial of service w bibliotece markdown-it pozwala zdalnym atakującym zablokować pętlę zdarzeń Node.js za pomocą spreparowanych wielowierszowych definicji odnośników. Niezamknięte definicje powodują kwadratowy czas przetwarzania przy domyślnych ustawieniach.
Rozbieżność w parsowaniu adresów URL w kliencie HTTP frameworka Angular może prowadzić do wycieku tokenów XSRF do zewnętrznych domen. Atakujący może wykorzystać przechwycone tokeny do wykonywania nieautoryzowanych operacji w ramach sesji uwierzytelnionego użytkownika.
W podatnych wersjach MCP TypeScript SDK pojedyncze żądanie HTTP mieszczące się w domyślnym limicie rozmiaru może wyczerpać pamięć serwera podczas walidacji, doprowadzając do odmowy usługi i awarii procesu.
Luka w pakiecie MCP TypeScript server SDK sprawia, że odpowiedzi i powiadomienia mogą trafiać do niewłaściwego klienta HTTP przy współdzieleniu instancji serwera lub transportu.
Luka w MCP TypeScript SDK sprawia, że serwery z uwierzytelnianiem bearer akceptują tokeny wystawione dla innych usług dzielących ten sam serwer autoryzacyjny. Może to umożliwić nieautoryzowany dostęp z użyciem ważnych tokenów z innych serwisów, jeśli weryfikacja odbiorcy nie jest skonfigurowana.
W podatnych wersjach MCP TypeScript SDK eksperymentalne zadania nie były powiązane z sesją twórcy. Klienci współdzielący procedurę obsługi mogli przeglądać, odczytywać i anulować zadania innych użytkowników.
W bibliotece MCP TypeScript client SDK transporty HTTP i żądania OAuth podążały za przekierowaniami cross-origin, co mogło ujawnić niestandardowe nagłówki i treść żądań zewnętrznym serwerom.
Weryfikacja podciągu podczas wypakowywania plików tar w ApostropheCMS import-export nie blokuje relatywnych ścieżek, co pozwala zalogowanym użytkownikom zatrzymać proces Node.
Podatność typu client-side prototype pollution w ApostropheCMS umożliwia wykonanie dowolnego kodu JavaScript w sesji uwierzytelnionego użytkownika, jeśli ofiara otworzy spreparowany odnośnik. Może to prowadzić do przejęcia konta oraz pełnego skompromitowania instancji CMS.
Brak ograniczania liczby prób na uwierzytelnionym punkcie końcowym zmiany hasła w ApostropheCMS pozwala osobie z aktywną sesją na nieograniczone zgadywanie bieżącego hasła bez blokady konta, co może prowadzić do jego przejęcia.
W ApostropheCMS przed wersją 4.33.0 interfejs API exist-in-locale umożliwia uwierzytelnionym użytkownikom sprawdzanie istnienia zastrzeżonych dokumentów i wersji roboczych oraz pobieranie ich identyfikatorów bez odpowiedniej autoryzacji na poziomie obiektu.
Błąd pomijania prefiksu przestrzeni nazw w sanitize-html pozwala elementom animacji SVG SMIL obejść filtrowanie adresów URL, co może umożliwić atak cross-site scripting, jeśli dozwolone są tagi SVG.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.
Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.
Codzienne zestawienie nowych podatności, także krytycznych.
Powiadomienia o ważnych aktualizacjach.
Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.
Wpisz co najmniej dwa znaki, żeby zobaczyć podpowiedzi.
/otwiera wyszukiwarkę↑↓wybór wynikuEnterprzejdź do wynikuESCzamyka
Szanujemy Twoją prywatność
Używamy ciasteczek, żeby strona działała, a my wiedzieli, co na niej poprawić. Bez Twojej zgody działa tylko to, co niezbędne. Wybór możesz zmienić w każdej chwili w stopce.
Czytaj politykę prywatności
Ustawienia ciasteczek
Zdecyduj, na co się zgadzasz. Ciasteczka wymagane działają zawsze - bez nich strona nie zapamiętałaby nawet tego wyboru.
Czytaj politykę prywatności
Zawsze aktywne
Sesja, zabezpieczenie formularzy i pamięć tego wyboru. Bez nich strona nie działa, więc nie da się ich wyłączyć.
Zapamiętanie języka, motywu i ustawień dostępności, żeby nie trzeba było ich wybierać przy każdej wizycie.
Anonimowe statystyki odwiedzin: które strony są czytane i gdzie ludzie się gubią. Na tym poprawiamy stronę.
Mierzenie skuteczności reklam i dobieranie ich do Twoich zainteresowań w serwisach zewnętrznych.
