Plan darmowy, bez karty, pierwszy błąd w kilka minut.
Załóż projekt za darmoDowiedz się, które luki zagrażają Twoim technologiom i jak je usunąć. Znajdziesz tu opisy zagrożeń, podatne wersje i konkretne zalecenia - od CMS-ów i wtyczek po biblioteki aplikacji.
W bibliotece AIOHTTP atrybut Secure nie był egzekwowany dla współdzielonych ciasteczek, co mogło prowadzić do ich wysłania w niezaszyfrowanym żądaniu. Problem rozwiązano w wersji 3.14.4.
W bibliotece aiohttp wykryto luki umożliwiające nadmierne lub nieograniczone zużycie pamięci oraz procesora podczas obsługi złośliwych żądań, co może doprowadzić do wyczerpania zasobów.
Brakujący przecinek w regułach blokowania Mercury uniemożliwia ochronę punktu /api/terminals, pozwalając nieuwierzytelnionym atakującym na uruchomienie interaktywnej powłoki systemowej roota.
Niekompletne zabezpieczenie dyrektyw cpp #include w ekstraktorze Fortran w Graphify umożliwia odczyt i eksfiltrację dowolnych plików z hosta podczas indeksowania niezaufanego repozytorium.
Nieuwierzytelnione zdalne wykonanie kodu w Mercury pozwala klientom sieciowym na uruchomienie dowolnego kodu Python jako użytkownik procesu serwera w domyślnych wdrożeniach przez anonimowy dostęp do punktów końcowych kernela.
Funkcja serve-status w LoopX stosuje zbyt permisywną politykę CORS z nagłówkiem wieloznacznym na trasach odczytu loopback. Złośliwe strony odwiedzane przez operatora mogą bez jego wiedzy wykradać stan płaszczyzny sterowania oraz zawartość prywatnych plików Markdown ze wszystkich zarejestrowanych repozytoriów.
Przepełnienie liczby całkowitej w komponencie JavaCV do pobierania klatek z kamer IP może spowodować nieskończoną pętlę podczas przetwarzania strumieni HTTP MJPEG. Zmanipulowany nagłówek odpowiedzi wymusza stałe 100% zużycie procesora przez wątek, prowadząc do odmowy usługi.
Podatność na wstrzykiwanie argumentów w Claude Agent SDK dla Pythona umożliwia wykonanie dowolnych poleceń podczas uruchamiania CLI, jeśli aplikacja przekaże niezaufany identyfikator sesji. Zaleca się aktualizację pakietu.
Interfejs tabeli DataStore w ckan-mcp-server nie weryfikuje pochodzenia wiadomości przychodzących i wysyła wiadomości wychodzące do celu "*". Umożliwia to fałszowanie wyświetlanej zawartości i zakłócanie komunikacji.
Wystawienie deweloperskiego runnera Pipecat na działanie niezaufanych sieci pozwala nieuwierzytelnionym użytkownikom na tworzenie sesji botów i płatnych pokojów Daily. Może to prowadzić do wyczerpania zasobów lokalnych oraz limitów usług zewnętrznych.
Podatność w Claude Code umożliwiała pominięcie weryfikacji przypiętego skrótu commitu podczas instalacji wtyczki za pomocą specjalnie nazwanej gałęzi Git, co prowadziło do instalacji niezweryfikowanego kodu. Zaleca się aktualizację oprogramowania.
Domyślnie skonfigurowany serwer Qwik może zostać wyłączony za pomocą jednego nieuwierzytelnionego żądania HTTP. Zapętlenie takich żądań pozwala atakującemu na ciągłe blokowanie działania wszystkich replik serwera.
Luka w mechanizmie rozpakowywania archiwów ZIP w bibliotece @appium/support umożliwia zapis dowolnych plików za pomocą dowiązań symbolicznych wskazujących poza katalog docelowy. Dostarczenie złośliwego archiwum może pozwolić atakującemu na nadpisanie plików lub wykonanie kodu z uprawnieniami procesu.
Luka typu path traversal w ClickMigrate pozwala osobie atakującej z kontrolą nad nazwą migracji na utworzenie pliku w dowolnej lokalizacji z prawem do zapisu poza docelowym katalogiem.
Podatność na odmowę usługi w tinytag pozwala na wywołanie nieskończonej pętli podczas analizowania nieprawidłowych plików M4A zawierających podatom o zerowym rozmiarze.
Luka zatruwania pamięci podręcznej w Nuxt OG Image pozwala nieuwierzytelnionemu atakującemu na modyfikację zawartości obrazów dostarczanych użytkownikom ze względu na przewidywalne klucze pamięci podręcznej na trasach dynamicznych obrazów.
Luka w kontroli dostępu w Backstage pozwala uwierzytelnionym użytkownikom na wywoływanie akcji backendu wykluczonych w konfiguracji. Standardowe uprawnienia do akcji i dalsza autoryzacja pozostają egzekwowane.
W OpenNext Cloudflare przechwytywanie pamięci podręcznej może różnie dekodować ścieżki, pozwalając na ominięcie middleware autoryzacyjnego i pobranie zbuforowanych zasobów.
Luka reflected XSS w TanStack Start pozwala nieuwierzytelnionemu atakującemu na wykonanie złośliwego kodu JavaScript w przeglądarce ofiary po otwarciu spreparowanego odnośnika. Zalecana jest niezwłoczna aktualizacja do załatanych wersji pakietów.
Luka typu denial of service w bibliotekach Microsoft.OpenApi.YamlReader oraz Microsoft.OpenApi.Readers pozwala spreparowanym dokumentom YAML OpenAPI z zagnieżdżonymi kotwicami i aliasami wywołać nadmierne zużycie pamięci oraz awarię procesu przetwarzającego.
Metalama w systemach Linux i macOS ufa plikom w tymczasowych katalogach współdzielonych, co pozwala lokalnemu atakującemu na wykonanie złośliwego kodu z uprawnieniami użytkownika uruchamiającego proces kompilacji.
Wtyczki i moduły pobierania HTTP w Apprise domyślnie podążają za przekierowaniami, przesyłając skonfigurowane nagłówki uwierzytelniania. W przypadku przejęcia celu lub ataku man-in-the-middle poufne dane uwierzytelniające mogą zostać ujawnione zewnętrznemu hostowi.
Luka w mechanizmach bezpieczeństwa ASP.NET Core Kestrel umożliwia ponowne przetworzenie nieprzeczytanych bajtów treści żądania po przerwaniu połączenia jako kolejnego żądania. Może to prowadzić do ataków typu HTTP request smuggling lub desynchronizacji połączeń.
Luka ujawnienia informacji w Microsoft.WindowsDesktop.App.Runtime (WPF) dotyczy aplikacji .NET w systemie Windows. Podatne pakiety środowiska uruchomieniowego mogą umożliwić dostęp do poufnych informacji podczas niebezpiecznych operacji XAML i XPS.
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.