Dowiedz się, które luki zagrażają Twoim technologiom i jak je usunąć. Znajdziesz tu opisy zagrożeń, podatne wersje i konkretne zalecenia - od CMS-ów i wtyczek po biblioteki aplikacji.
Luka w Microsoft WindowsDesktop App Runtime (WPF) związana z nieprawidłową walidacją pochodzenia może prowadzić do ujawnienia informacji. Programiści powinni zaktualizować podatne pakiety oraz instalacje środowiska .NET, aby usunąć zagrożenie.
Luka w .NET Core App Runtime i System.Private.CoreLib w systemach Linux i macOS pozwala lokalnemu atakującemu manipulować ścieżkami muteksów i pamięci współdzielonej, umożliwiając nadpisywanie plików i podniesienie uprawnień.
Luka w System.Net.Http sprawia, że SocketsHttpHandler zachowuje nagłówek uwierzytelniania serwera proxy podczas przekierowania HTTP. Może to prowadzić do ujawnienia informacji poprzez wyciek poświadczeń proxy do serwera docelowego.
Podatność w Microsoft.WindowsDesktop.App.Runtime (WPF) pozwala na desynchronizację analizy kodu cieniowania pikseli, powodując odczyty lub zapisy poza granicami sterty.
Luka umożliwiająca zdalne wykonanie kodu w Microsoft WindowsDesktop App Runtime pozwala uzyskać dostęp do treści kontrolowanych przez atakującego za pośrednictwem hiperłączy XPS w WPF. Skuteczne wykorzystanie podatności wymaga interakcji użytkownika i dotyczy aplikacji opartych na środowisku .NET.
Luka w Microsoft.WindowsDesktop.App.Runtime (WPF) pozwala spreparowanemu kodowi bajtowemu cieniowania pikseli rozsynchronizować przebiegi parsowania, wywołując błędy pamięci sterty i zdalne wykonanie kodu. Wydano zaktualizowane wersje środowiska oraz pakietów SDK.
Luka odmowy usługi w ASP.NET Core Kestrel pozwala nieuwierzytelnionemu atakującemu wywołać zakleszczenie wątków i wyczerpać zasoby serwera za pomocą spreparowanych sekwencji przerwania połączenia.
Luka umożliwiająca zdalne wykonanie kodu występuje w platformach .NET i Visual Studio wskutek deserializacji niezaufanych danych w pakietach Windows Desktop. Aplikacje używające podatnych wersji środowiska wymagają aktualizacji do bezpiecznych wydań oraz ponownej kompilacji w przypadku wdrożeń autonomicznych.
Podatność w Microsoft.WindowsDesktop.App.Runtime (WPF) pozwala atakującemu wywołać przepełnienie liczb całkowitych za pomocą współrzędnych glifów XPS, co prowadzi do zapisu poza zakresem i zakończenia procesu.
Luka typu spoofing w System.Security.Cryptography.Xml pozwala na akceptację serializowanych certyfikatów z metadanymi kontrolowanymi przez atakującego, umożliwiając fałszowanie tokenów. Wymagana jest aktualizacja platformy .NET, SDK oraz zależności pakietu.
Luka w Microsoft.AspNetCore.Authentication.Negotiate umożliwia nieprawidłowe powiązanie tożsamości z podmiotem LDAP z powodu braku weryfikacji identyfikatora SID Kerberos. Zaleca się zastosowanie aktualizacji platformy .NET.
Luka w Microsoft.AspNetCore.Components.WebAssembly.Server pozwala na wstrzykiwanie skryptów między źródłami przez niezakodowany tekst błędu na stronie debugowania Blazor.
W pakietach System.Security.Cryptography.Xml i System.Private.Xml wykryto lukę odmowy usługi spowodowaną alokacją zasobów bez ograniczeń. Zaleca się aktualizację pakietów i ponowne wdrożenie aplikacji.
Błąd Use After Free w Microsoft.Native.Quic.MsQuic.Schannel w systemie Windows umożliwia ujawnienie informacji w aplikacjach .NET. Zaleca się instalację najnowszej wersji .NET lub załatanego pakietu oraz ponowne uruchomienie lub rekompilację aplikacji.
W System.Security.Cryptography.Xml i System.Private.Xml w .NET zidentyfikowano podatność DoS prowadzącą do asymetrycznego zużycia zasobów. Zaleca się aktualizację pakietów lub środowiska .NET do wersji załatanych oraz ponowną kompilację aplikacji autonomicznych.
Luka odmowy usługi w ASP.NET Core pozwala klientom SignalR z mechanizmem stanowego ponownego łączenia trwale blokować transmisje i bezterminowo przetrzymywać zasoby.
Luka w TinaCMS CLI umożliwia wykonanie dowolnego kodu JavaScript podczas budowania projektu z powodu braku ucieczki znaków w nazwie gałęzi Git wstawianej do generowanego kodu klienta.
Ramka podglądu panelu TinaCMS ładuje pochodzenie kontrolowane przez atakującego z fragmentu URL. Jeśli zalogowany edytor otworzy spreparowany link, nieautoryzowany atakujący może uzyskać pełny dostęp do odczytu i zapisu w API treści witryny w jego kontekście.
Brak weryfikacji schematu URL w odnośnikach rich-text w @tinacms/web-components umożliwia atak typu stored XSS, pozwalając na wykonanie złośliwego kodu w przeglądarkach odwiedzających witrynę.
Luka typu path traversal w Shiny for Python pozwala nieuwierzytelnionym atakującym badać istnienie i poprawność plików JSON podczas przywracania zakładek lub odczytywać dowolne pliki, jeśli skonfigurowano zakładki po stronie serwera i pola wyboru plików.
Wyłączenie indeksowania chronionych stron w Contao może spowodować ujawnienie ich tytułów, adresów URL i fragmentów treści anonimowym użytkownikom w wynikach wyszukiwania.
Luka w module rejestracji Contao pozwala nieuwierzytelnionym użytkownikom wielokrotnie wysyłać e-maile aktywacyjne na dowolne adresy. Stwarza to ryzyko zalewania skrzynek pocztowych oraz ujawnia informacje o oczekujących rejestracjach użytkowników.
Podatność na fałszowanie żądań międzywitrynowych w Contao pozwala na wykonanie modyfikujących stan lub destrukcyjnych akcji panelu administracyjnego, jeśli zalogowany użytkownik otworzy spreparowany adres URL.
Błąd przejścia przez katalogi w kontrolerze obrazów Contao pozwala nieuwierzytelnionym użytkownikom odczytywać pliki graficzne spoza katalogu głównego oraz weryfikować istnienie ścieżek w projekcie.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.
Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.
Codzienne zestawienie nowych podatności, także krytycznych.
Powiadomienia o ważnych aktualizacjach.
Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.
Wpisz co najmniej dwa znaki, żeby zobaczyć podpowiedzi.
/otwiera wyszukiwarkę↑↓wybór wynikuEnterprzejdź do wynikuESCzamyka
Szanujemy Twoją prywatność
Używamy ciasteczek, żeby strona działała, a my wiedzieli, co na niej poprawić. Bez Twojej zgody działa tylko to, co niezbędne. Wybór możesz zmienić w każdej chwili w stopce.
Czytaj politykę prywatności
Ustawienia ciasteczek
Zdecyduj, na co się zgadzasz. Ciasteczka wymagane działają zawsze - bez nich strona nie zapamiętałaby nawet tego wyboru.
Czytaj politykę prywatności
Zawsze aktywne
Sesja, zabezpieczenie formularzy i pamięć tego wyboru. Bez nich strona nie działa, więc nie da się ich wyłączyć.
Zapamiętanie języka, motywu i ustawień dostępności, żeby nie trzeba było ich wybierać przy każdej wizycie.
Anonimowe statystyki odwiedzin: które strony są czytane i gdzie ludzie się gubią. Na tym poprawiamy stronę.
Mierzenie skuteczności reklam i dobieranie ich do Twoich zainteresowań w serwisach zewnętrznych.
