Kostenloser Plan, keine Kreditkarte, erster Fehler in Minuten.
Kostenloses Projekt anlegenErfahren Sie, welche Schwachstellen Ihre Technologien betreffen und wie Sie diese beheben. Hier finden Sie verständliche Erklärungen, betroffene Versionen und konkrete Empfehlungen - von CMS und Plugins bis zu Anwendungsbibliotheken.
Im A2A Java SDK werden Push-Benachrichtigungs-Tokens und Zugangsdaten bei Protobuf-Parsing-Fehlern im Klartext in Serverprotokolle geschrieben. Personen mit Log-Zugriff können diese sensiblen Daten abfangen.
Eine Schwachstelle im A2A Java SDK ermöglicht es einem manipulierten Agenten, einen benutzerdefinierten HTTP-Header für Zugangsdaten vorzugeben. Bei HTTP-Weiterleitungen leitet der Client diese Header an externe Server weiter, wodurch API-Schlüssel des Clients offengelegt werden können.
Eine gespeicherte Cross-Site-Scripting-Schwachstelle in Cachet ermöglicht es authentifizierten Angreifern, Schadcode über Vorfallsfelder einzuschleusen. Dieser Code wird bei Besuchern der öffentlichen Statusseite ausgeführt und kann zum Diebstahl von Sitzungen sowie zur Übernahme von Konten führen.
In Pillow können unbegrenzte Rekursionen beim Parsen von PDF-Seitenbäumen oder Trailer-Ketten zu übermäßigem CPU- und Speicherverbrauch sowie Denial-of-Service führen.
Ein Fehler in Pillow ermöglicht es einer manipulierten GIF-Datei, eine übermäßige Speicherbelegung auszulösen, wenn eine Anwendung Dekomprimierungsfehler beim Frame-Wechsel abfängt und dasselbe Bildobjekt weiterverwendet. Dies kann zur Erschöpfung des Speichers und zu Denial-of-Service führen.
In Pillow besteht eine Sicherheitslücke durch Speicherzugriffe außerhalb der Grenzen bei Morphologie-Operationen auf Bildern mit der Breite null. Das Verarbeiten speziell präparierter PPM- oder PGM-Dateien kann zu einem Absturz der Anwendung oder möglicher Speicherkorruption führen.
Ein Pufferüberlauf beim Lesen im TIFF-Decoder von Pillow kann zu einem Prozessabsturz oder zur Offenlegung von Heap-Speicher führen, wenn eine manipulierte Kachel-TIFF-Datei verarbeitet wird.
Ein Überlauf bei der Verarbeitung von Max-Age in aiohttp kann das Schließen von Verbindungen verhindern, wodurch Angreifer den Verbindungspool vorübergehend erschöpfen können, bis die Garbage Collection greift.
In AIOHTTP können Anfragen in absoluter Form das Verbindungsschema fälschen. Wenn eine Anwendung dieses Schema für Sicherheitsprüfungen nutzt, können Angreifer die Logik umgehen und unverschlüsselte Verbindungen als verschlüsselt erscheinen lassen oder umgekehrt.
Eine Schwachstelle in aiohttp ermöglicht es einer Subdomain, das Host-Only-Flag bestehender Cookies einer übergeordneten Domain zu entfernen, was den Schutz des Cookie-Gültigkeitsbereichs beeinträchtigen kann.
Eine Denial-of-Service-Schwachstelle in markdown-it ermöglicht es Angreifern, die Node.js-Ereignisschleife durch speziell gestaltete mehrzeilige Link-Referenzdefinitionen zu blockieren. Nicht geschlossene Definitionen führen in Standardkonfigurationen zu quadratischer Ausführungszeit.
Eine Diskrepanz beim URL-Parsing im Angular-HTTP-Client kann dazu führen, dass XSRF-Tokens bei zustandsverändernden Anfragen an externe Domänen übertragen werden. Angreifer können die abgefangenen Tokens nutzen, um unberechtigte Aktionen in der Sitzung des Opfers auszuführen.
In betroffenen Versionen des MCP TypeScript SDK kann eine HTTP-Anfrage innerhalb der Standardgrößenbegrenzung während der Validierung den Serverspeicher erschöpfen. Dies ermöglicht es Angreifern, den Serverprozess über Denial-of-Service zum Absturz zu bringen.
In markdown-it kann bei aktiviertem HTML das Parsen nicht abgeschlossener Konstrukte quadratische Laufzeit verursachen. Dies kann die Event-Loop von Node.js blockieren und zu einem Denial of Service führen.
Eine Schwachstelle im MCP TypeScript Server SDK führt dazu, dass Nachrichten bei geteilten Server- oder Transport-Instanzen an falsche HTTP-Clients ausgeliefert werden können.
Eine Schwachstelle in launch-editor ermöglicht es Angreifern unter Windows, Prüfungen auf Dateiexistenz mittels einer manipulierten Pfadangabe zu umgehen. Dies kann in Kombination mit Escaping-Problemen zu OS-Befehlsinjektionen führen, wenn Dateipfade kontrolliert werden.
Eine Schwachstelle im MCP TypeScript SDK führt dazu, dass Server mit Bearer-Authentifizierung Token akzeptieren, die für andere Dienste ausgestellt wurden. Wenn ein Autorisierungsserver mehrere Dienste bedient, können fremde Token unberechtigten Zugriff ermöglichen, sofern keine Zielgruppenprüfung erfolgt.
Der Pure-Python-Parser in aiohttp ist anfällig für HTTP-Request-Smuggling, wenn keine Standard-C-Erweiterungen verwendet werden. Dies kann durch ein Update von aiohttp oder den Wechsel zum standardmäßigen C-Parser behoben werden.
Eine Schwachstelle in AIOHTTP ermöglicht es Angreifern, Dateideskriptoren durch speziell manipulierte Multipart-Anfragen zu erschöpfen. Dies kann zur Erschöpfung von Systemressourcen und Denial-of-Service führen.
Der gebündelte Zertifikatsspeicher in betroffenen uv-Versionen vertraut einer Root-CA mit kompromittierten Zwischenzertifikatsschlüsseln. Angreifer im Besitz dieser Schlüssel können gültige Zertifikate für beliebige Hostnamen ausstellen und Man-in-the-Middle-Angriffe auf TLS-Verbindungen durchführen.
Certifi enthielt ein Stammzertifikat mit kompromittierten Zwischen-CA-Schlüsseln. Angreifer im Netzwerkpfad können für beliebige Hostnamen gefälschte Zertifikate ausstellen und TLS-Verbindungen betroffener Clients abfangen oder manipulieren.
In betroffenen Versionen des MCP TypeScript SDK wurden experimentelle Aufgaben nicht an die erstellende Sitzung gebunden. Dadurch konnten Clients, die denselben Handler teilen, Aufgaben anderer Clients einsehen und abbrechen.
In ApostropheCMS fehlt an Benachrichtigungsendpunkten eine ausreichende Zugriffskontrolle. Ein nicht authentifizierter Angreifer mit Kenntnis einer Benachrichtigungs-ID kann dadurch fremde Benachrichtigungen verändern oder dauerhaft löschen.
Unter Windows maskiert launch-editor Umgebungsvariablenzeichen nicht ausreichend. Unter bestimmten Voraussetzungen kann dies bei manipulierten Dateinamen oder Variablen zur Befehlsausführung führen.
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.