Kostenloser Plan, keine Kreditkarte, erster Fehler in Minuten.
Kostenloses Projekt anlegenErfahren Sie, welche Schwachstellen Ihre Technologien betreffen und wie Sie diese beheben. Hier finden Sie verständliche Erklärungen, betroffene Versionen und konkrete Empfehlungen - von CMS und Plugins bis zu Anwendungsbibliotheken.
Eine Schwachstelle in Pillow führt beim Speichern von GIF-Dateien mit langen Kommentaren zu wiederholten Kopiervorgängen. Dies kann bei der Verarbeitung nicht vertrauenswürdiger Bild-Uploads eine hohe CPU-Auslastung und Denial-of-Service-Zustände verursachen.
Eine Out-of-bounds-Read-Schwachstelle in Pillow ermöglicht es bestimmten Decodern, Heap-Speicher jenseits der Puffergrenzen zu lesen. Dies kann dazu führen, dass benachbarte Speicherdaten in decodierte Pixelwerte einfließen oder die Anwendung abstürzt.
In Pillow führt das Anwenden von Rang-, Median-, Minimum- oder Maximumfiltern auf Bilder mit einer Breite oder Höhe von null zu einer NULL-Zeiger-Dereferenzierung. Angreifer können dies für Denial-of-Service-Angriffe ausnutzen.
Eine Schwachstelle in Pillow ermöglicht es präparierten Microsoft Image Composer (MIC)-Dateien mit eingebetteten TIFF-Streams, beim Abfragen der Frame-Anzahl eine Endlosschleife und 100 % CPU-Last auszulösen, was zu einem Denial of Service führt.
Eine NULL-Zeiger-Dereferenzierung in Pillow ermöglicht es Angreifern, über manipulierte Bilddateien, die über das IPTC-Modul und Image.merge verarbeitet werden, einen Denial-of-Service durch einen Prozessabsturz herbeizuführen.
In Pillow kann das Rendern von Text mit Strichbreite über FreeType bei fehlerhaften Glyphen zu einer ungültigen Speicherfreigabe oder einem Double Free führen, wenn Schriften aus nicht vertrauenswürdigen Daten geladen werden.
In Pillow ermöglicht eine fehlende Bereinigung von Dateinamen bei Aufrufen von Ghostscript eine Argument-Injection, wenn Pfade mit Sonderzeichen an Image.open() übergeben werden. Dies kann potenziell zur Remotecodeausführung führen.
Ein Angreifer kann in pypdf eine Endlosschleife auslösen, indem er eine manipulierte, unvollständige PDF-Datei bereitstellt, die innerhalb der xref-Tabelle endet.
In virtualenv kann das Skript activate.fish bei Pfaden oder Prompts, die einen Backslash vor einem Anführungszeichen enthalten, beliebige Befehle ausführen. Dies betrifft alle Versionen vor 21.14.2.
Eine Schwachstelle in pypdf ermöglicht es Angreifern, durch eine manipulierte PDF-Datei eine Endlosschleife auszulösen, wenn ein Objekt wie ein Gliederungselement aus einer Baumstruktur entfernt wird.
Eine Schwachstelle in pypdf ermöglicht es Angreifern, ein manipuliertes PDF-Dokument zu erstellen, das beim Verarbeiten von Gliederungselementen eine Endlosschleife auslöst und so einen Denial-of-Service verursacht.
Eine Schwachstelle in virtualenv-Aktivierungsskripten ermöglicht die Ausführung von beliebigem Code, wenn Pfade oder Eingabeaufforderungen Platzhalternamen enthalten. Das Aktivieren einer manipulierten Umgebung kann dazu führen, dass unerwünschte Befehle ausgeführt werden.
Eine Schwachstelle in pypdf ermöglicht es Angreifern, durch manipulierte PDF-Dateien mit ressourcenintensiven Datenstromfiltern einen hohen Speicherverbrauch herbeizuführen.
Ein Heap-Pufferüberlauf in Pillow ermöglicht es Angreifern, beim Dekodieren speziell gestalteter verlustfreier JPEG-Bilder mit Draft-Skalierung über die Puffergrenzen zu schreiben. Das Problem entsteht, weil libjpeg-turbo Skalierungsanfragen ignoriert, was zu Speicherbeschädigungen führt.
In Pillow können unbegrenzte Rekursionen beim Parsen von PDF-Seitenbäumen oder Trailer-Ketten zu übermäßigem CPU- und Speicherverbrauch sowie Denial-of-Service führen.
Ein Fehler in Pillow ermöglicht es einer manipulierten GIF-Datei, eine übermäßige Speicherbelegung auszulösen, wenn eine Anwendung Dekomprimierungsfehler beim Frame-Wechsel abfängt und dasselbe Bildobjekt weiterverwendet. Dies kann zur Erschöpfung des Speichers und zu Denial-of-Service führen.
In Pillow besteht eine Sicherheitslücke durch Speicherzugriffe außerhalb der Grenzen bei Morphologie-Operationen auf Bildern mit der Breite null. Das Verarbeiten speziell präparierter PPM- oder PGM-Dateien kann zu einem Absturz der Anwendung oder möglicher Speicherkorruption führen.
Ein Pufferüberlauf beim Lesen im TIFF-Decoder von Pillow kann zu einem Prozessabsturz oder zur Offenlegung von Heap-Speicher führen, wenn eine manipulierte Kachel-TIFF-Datei verarbeitet wird.
Ein Überlauf bei der Verarbeitung von Max-Age in aiohttp kann das Schließen von Verbindungen verhindern, wodurch Angreifer den Verbindungspool vorübergehend erschöpfen können, bis die Garbage Collection greift.
In AIOHTTP können Anfragen in absoluter Form das Verbindungsschema fälschen. Wenn eine Anwendung dieses Schema für Sicherheitsprüfungen nutzt, können Angreifer die Logik umgehen und unverschlüsselte Verbindungen als verschlüsselt erscheinen lassen oder umgekehrt.
Eine Schwachstelle in aiohttp ermöglicht es einer Subdomain, das Host-Only-Flag bestehender Cookies einer übergeordneten Domain zu entfernen, was den Schutz des Cookie-Gültigkeitsbereichs beeinträchtigen kann.
Der Pure-Python-Parser in aiohttp ist anfällig für HTTP-Request-Smuggling, wenn keine Standard-C-Erweiterungen verwendet werden. Dies kann durch ein Update von aiohttp oder den Wechsel zum standardmäßigen C-Parser behoben werden.
Eine Schwachstelle in AIOHTTP ermöglicht es Angreifern, Dateideskriptoren durch speziell manipulierte Multipart-Anfragen zu erschöpfen. Dies kann zur Erschöpfung von Systemressourcen und Denial-of-Service führen.
Der gebündelte Zertifikatsspeicher in betroffenen uv-Versionen vertraut einer Root-CA mit kompromittierten Zwischenzertifikatsschlüsseln. Angreifer im Besitz dieser Schlüssel können gültige Zertifikate für beliebige Hostnamen ausstellen und Man-in-the-Middle-Angriffe auf TLS-Verbindungen durchführen.
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.