Schwachstellen verstehen. Anwendungen schützen.

@angular/router: Denial of Service durch fehlerhaftes Routen-Matching von Empty-Path-Outlets beim Server-Side-Rendering (SSR)

Eine Denial-of-Service-Schwachstelle im Angular Router betrifft Server-Side Rendering (SSR) unter Node.js. Nicht authentifizierte Angreifer können speziell gestaltete URLs mit leeren Outlet-Pfaden senden, um Speicher oder CPU-Ressourcen zu erschöpfen und Worker-Abstürze herbeizuführen.

markdown-it: Quadratische Komplexität in smartquotes bei nicht übereinstimmenden schließenden Anführungszeichen

In markdown-it kann speziell gestaltetes Markdown bei aktivierter Typografie zu quadratischer Verarbeitungszeit in smartquotes und damit zu Denial-of-Service führen.

Claude Code: Umgehung des Plugin-Hash-Pinnings ermöglicht Hash-Pin-Bypass

Eine Schwachstelle in Claude Code ermöglichte das Umgehen des Hash-Pinnings bei der Plugin-Installation über speziell benannte Git-Branches, was zur Ausführung von durch Angreifer kontrolliertem Code führen konnte. Benutzern wird ein Update empfohlen.

Qwik: Absturz jedes Qwik-Servers über Resource-Thenable

Ein Qwik-Server in Standardkonfiguration kann durch eine unauthentifizierte HTTP-Anfrage zum Absturz gebracht werden. Durch das Senden wiederholter Anfragen können Angreifer alle Server-Replikate dauerhaft lahmlegen.

OpenNext Cloudflare: Cache-Interception kann Middleware-Schutz bei enkodierten Pfaden umgehen

In OpenNext Cloudflare kann bei aktivierter Cache-Interception eine unterschiedliche Pfaddekodierung den Middleware-Schutz umgehen und unbefugten Zugriff auf zwischengespeicherte Inhalte ermöglichen.

Tina: Code-Injection über ungesicherten Git-Branch-Namen im generierten Client-Quellcode

Eine Schwachstelle in TinaCMS CLI ermöglicht die Ausführung von beliebigem JavaScript-Code während des Build-Prozesses, da Git-Branch-Namen unmaskiert in generierten Client-Code eingefügt werden.

@tinacms/web-components: `tina-markdown` schreibt Rich-Text-Link-URLs ohne Schema-Validierung nach `href`, was Stored XSS ermöglicht

In @tinacms/web-components führt eine fehlende Validierung des URL-Schemas in Rich-Text-Links zu Stored Cross-Site Scripting, wodurch manipulierte Links JavaScript im Kontext der Website ausführen können.

fast-jwt: createVerifier accepts unsigned JWTs when key is '' or null and algorithms is explicitly set

fast-jwt : Silent claim-validator bypass when JWT payload is a JSON array

fast-jwt treats raw public JWK JSON as an HMAC secret, enabling HS256 token forgery

PraisonAI: AgentOS defaults to network-exposed no-auth mode, allowing unauthenticated agent invocation and instruction disclosure