Erfahren Sie, welche Schwachstellen Ihre Technologien betreffen und wie Sie diese beheben. Hier finden Sie verständliche Erklärungen, betroffene Versionen und konkrete Empfehlungen - von CMS und Plugins bis zu Anwendungsbibliotheken.
Eine Path-Traversal-Schwachstelle unter Windows ermöglicht es Clients, die Zugriff auf einen Vite-Server haben, die Redirect-Zulassungsliste mithilfe von Backslashes zu umgehen. Dadurch können Dateien außerhalb des Vite-Stammverzeichnisses gelesen werden, auf die der Serverprozess Zugriff hat.
Eine fehlende Origin-Validierung in der Storybook-Preview erlaubt es bösartigen Websites, nicht autorisierte Dateiänderungen auf einem Entwicklungsserver vorzunehmen. Unter bestimmten Bedingungen kann dies bei Benutzerinteraktion zur Ausführung von beliebigem Code auf dem Entwicklerrechner führen.
Eine fehlende Authentifizierungsprüfung in ApostropheCMS ermöglicht es nicht authentifizierten Benutzern mit einem standardmäßigen CSRF-Cookie, Bereinigungsoperationen auszulösen, temporäre Exportdateien zu löschen und Auftragsdatensätze in der Datenbank zu ändern.
In ApostropheCMS besteht eine Sicherheitslücke für gespeichertes Cross-Site-Scripting, da editorgesteuerte Stilfeldwerte in Widgets ohne Escaping in Wrapper-Attribute serialisiert werden, was die Ausführung von Skriptcode ermöglicht.
Eine Stored-Cross-Site-Scripting-Schwachstelle in ApostropheCMS ermöglicht es authentifizierten Benutzern mit Schreibrechten, beliebigen HTML- und JavaScript-Code über Farbfelder einzuschleusen. Aktualisieren Sie auf Version 4.34.0 oder höher.
In ApostropheCMS umgeht die Import-API Veröffentlichungsrollen für geschützte Inhalte. Redakteure ohne Veröffentlichungsrechte können dadurch veröffentlichte Inhalte unbefugt anlegen, ersetzen oder löschen.
Eine Schwachstelle in ApostropheCMS ermöglicht es authentifizierten Benutzern, durch fehlende Kontingente und mangelhafte Fehlerbereinigung den Serverspeicher beim Entpacken von Archiven zu erschöpfen und DoS auszulösen.
In @apostrophecms/import-export akzeptiert die Fortsetzung overrideDuplicates vom Client übergebene Ersetzungsoptionen, wodurch Mitwirkende veröffentlichte Inhalte ohne Veröffentlichungsrechte überschreiben können.
Eine Schwachstelle in Vite ermöglicht die herkunftsübergreifende Skriptausführung, wenn ein Entwicklungsserver eine unveränderte Anfrage-URL an benutzerdefinierte Middleware übergibt. Ein Angreifer kann bösartige Skripte im Kontext der vom Entwicklungsserver bereitgestellten Seite ausführen lassen.
In Vite-Entwicklungsservern unter Node.js oder Deno können speziell gestaltete Anfragen über Fehlermeldungen des WebAssembly-Parsers die ersten Bytes beliebiger Dateien außerhalb der konfigurierten Zugriffsgrenzen offenlegen.
Unter Vite auf Nicht-Windows-Systemen können Dateien außerhalb des Projekt-Roots ausgeliefert werden, wenn importierte Pfade absoluten Systempfaden entsprechen und der Entwicklungsserver im Netzwerk freigegeben ist. Ein Update auf eine behobene Version behebt das Problem.
Eine Schwachstelle bezüglich nicht authentifizierter Ressourcenerschöpfung in ApostropheCMS ermöglicht es Angreifern, chunked Upload- und Bereinigungsprozesse ohne Authentifizierung auszulösen und so Denial-of-Service-Zustände herbeizuführen.
Eine Denial-of-Service-Schwachstelle in markdown-it ermöglicht es Angreifern, die Node.js-Ereignisschleife durch speziell gestaltete mehrzeilige Link-Referenzdefinitionen zu blockieren. Nicht geschlossene Definitionen führen in Standardkonfigurationen zu quadratischer Ausführungszeit.
Eine Diskrepanz beim URL-Parsing im Angular-HTTP-Client kann dazu führen, dass XSRF-Tokens bei zustandsverändernden Anfragen an externe Domänen übertragen werden. Angreifer können die abgefangenen Tokens nutzen, um unberechtigte Aktionen in der Sitzung des Opfers auszuführen.
In betroffenen Versionen des MCP TypeScript SDK kann eine HTTP-Anfrage innerhalb der Standardgrößenbegrenzung während der Validierung den Serverspeicher erschöpfen. Dies ermöglicht es Angreifern, den Serverprozess über Denial-of-Service zum Absturz zu bringen.
Eine Schwachstelle im MCP TypeScript Server SDK führt dazu, dass Nachrichten bei geteilten Server- oder Transport-Instanzen an falsche HTTP-Clients ausgeliefert werden können.
Eine Schwachstelle im MCP TypeScript SDK führt dazu, dass Server mit Bearer-Authentifizierung Token akzeptieren, die für andere Dienste ausgestellt wurden. Wenn ein Autorisierungsserver mehrere Dienste bedient, können fremde Token unberechtigten Zugriff ermöglichen, sofern keine Zielgruppenprüfung erfolgt.
In betroffenen Versionen des MCP TypeScript SDK wurden experimentelle Aufgaben nicht an die erstellende Sitzung gebunden. Dadurch konnten Clients, die denselben Handler teilen, Aufgaben anderer Clients einsehen und abbrechen.
In betroffenen Versionen des MCP TypeScript Client SDK folgten HTTP-Transports und OAuth-Anfragen Cross-Origin-Weiterleitungen. Dabei konnten sensible Header und Anfrage-Bodys an fremde Ursprünge übertragen werden.
In ApostropheCMS import-export ermöglicht eine unzureichende Prüfung von Tar-Dateipfaden authentifizierten Benutzern, den Node-Prozess über ein manipuliertes Archiv zum Absturz zu bringen.
Eine clientseitige Prototype-Pollution-Schwachstelle in ApostropheCMS ermöglicht es Angreifern, beliebigen JavaScript-Code in der Sitzung authentifizierter Benutzer auszuführen, wenn das Opfer einen manipulierten Link aufruft. Dies kann zur Kompromittierung des Kontos und der CMS-Instanz führen.
Da ApostropheCMS die Anzahl der Versuche am Endpunkt zur Passwortänderung nicht begrenzt, können Angreifer mit einer gültigen Sitzung das aktuelle Passwort ohne Sperren oder Verzögerungen erraten und das Konto übernehmen.
In ApostropheCMS vor Version 4.33.0 erlaubt die API exist-in-locale authentifizierten Benutzern mit geringen Rechten, die Existenz geschützter Dokumente und unveröffentlichter Entwürfe in bestimmten Locales festzustellen und Dokumenten-IDs abzufragen.
Eine Umgehung von Namespace-Präfixen in sanitize-html ermöglicht SVG-SMIL-Animationselementen das Umgehen von URL-Prüfungen, was zu Cross-Site-Scripting führen kann, wenn SVG-Elemente zugelassen sind.
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.
Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.
Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
Benachrichtigungen über wichtige Updates.
Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.
Geben Sie mindestens zwei Zeichen ein, um Vorschläge zu sehen.
/öffnet die Suche↑↓Ergebnis wählenEnterzum ErgebnisESCschließt
Wir respektieren Ihre Privatsphäre
Wir verwenden Cookies, damit die Website funktioniert und wir wissen, was wir verbessern sollten. Ohne Ihre Einwilligung läuft nur das Nötigste. Ihre Auswahl können Sie jederzeit über die Fußzeile ändern.
Datenschutzerklärung lesen
Cookie-Einstellungen
Entscheiden Sie, womit Sie einverstanden sind. Erforderliche Cookies sind immer aktiv - ohne sie könnte die Website nicht einmal diese Auswahl speichern.
Datenschutzerklärung lesen
Immer aktiv
Sitzung, Formularschutz und das Speichern genau dieser Auswahl. Ohne sie funktioniert die Website nicht, deshalb lassen sie sich nicht abschalten.
Merken von Sprache, Design und Barrierefreiheits-Einstellungen, damit Sie diese nicht bei jedem Besuch neu wählen müssen.
Anonyme Besuchsstatistiken: welche Seiten gelesen werden und wo Menschen nicht weiterkommen. Daran verbessern wir die Website.
Messen der Wirksamkeit unserer Anzeigen und deren Abstimmung auf Ihre Interessen auf externen Diensten.
