Kostenloser Plan, keine Kreditkarte, erster Fehler in Minuten.
Kostenloses Projekt anlegenErfahren Sie, welche Schwachstellen Ihre Technologien betreffen und wie Sie diese beheben. Hier finden Sie verständliche Erklärungen, betroffene Versionen und konkrete Empfehlungen - von CMS und Plugins bis zu Anwendungsbibliotheken.
In ApostropheCMS besteht eine Sicherheitslücke für gespeichertes Cross-Site-Scripting, da editorgesteuerte Stilfeldwerte in Widgets ohne Escaping in Wrapper-Attribute serialisiert werden, was die Ausführung von Skriptcode ermöglicht.
Eine Stored-Cross-Site-Scripting-Schwachstelle in ApostropheCMS ermöglicht es authentifizierten Benutzern mit Schreibrechten, beliebigen HTML- und JavaScript-Code über Farbfelder einzuschleusen. Aktualisieren Sie auf Version 4.34.0 oder höher.
Eine Schwachstelle in Vite ermöglicht die herkunftsübergreifende Skriptausführung, wenn ein Entwicklungsserver eine unveränderte Anfrage-URL an benutzerdefinierte Middleware übergibt. Ein Angreifer kann bösartige Skripte im Kontext der vom Entwicklungsserver bereitgestellten Seite ausführen lassen.
In markdown-it kann bei aktiviertem HTML das Parsen nicht abgeschlossener Konstrukte quadratische Laufzeit verursachen. Dies kann die Event-Loop von Node.js blockieren und zu einem Denial of Service führen.
In ApostropheCMS import-export ermöglicht eine unzureichende Prüfung von Tar-Dateipfaden authentifizierten Benutzern, den Node-Prozess über ein manipuliertes Archiv zum Absturz zu bringen.
Eine clientseitige Prototype-Pollution-Schwachstelle in ApostropheCMS ermöglicht es Angreifern, beliebigen JavaScript-Code in der Sitzung authentifizierter Benutzer auszuführen, wenn das Opfer einen manipulierten Link aufruft. Dies kann zur Kompromittierung des Kontos und der CMS-Instanz führen.
Da ApostropheCMS die Anzahl der Versuche am Endpunkt zur Passwortänderung nicht begrenzt, können Angreifer mit einer gültigen Sitzung das aktuelle Passwort ohne Sperren oder Verzögerungen erraten und das Konto übernehmen.
In @apostrophecms/ai-helper kann ein authentifizierter Editor über einen manipulierten Host-Header den Zielursprung serverseitiger Bildabrufe manipulieren und SSRF-Anfragen an interne Hosts und Ports auslösen.
Nicht authentifizierte Angreifer können über Formulare in ApostropheCMS unbegrenzte Datenmengen auf die Festplatte übertragen, was zur Erschöpfung des Speicherplatzes und zu Denial-of-Service führen kann.
In sanitize-html vor Version 2.18.0 führt ein implizites Schließen innerhalb von Elementen wie <noscript> dazu, dass der Verwerfungsbereich vorzeitig endet und unerwünschte Inhalte als HTML gerendert werden.
Eine Denial-of-Service-Schwachstelle im Angular Router betrifft Server-Side Rendering (SSR) unter Node.js. Nicht authentifizierte Angreifer können speziell gestaltete URLs mit leeren Outlet-Pfaden senden, um Speicher oder CPU-Ressourcen zu erschöpfen und Worker-Abstürze herbeizuführen.
Eine Open-Redirect-Schwachstelle in Angular Platform-Server ermöglicht es Angreifern, Server-Side-Rendering-Anfragen mit manipulierten Dot-Segmenten zu versehen, um Benutzer auf externe Domains umzuleiten.
In TanStack Start können unauthentifizierte Angreifer über manipulierte URLs schädliches JavaScript im Kontext der Anwendung ausführen lassen, wenn ein Benutzer den Link aufruft. Ein Update auf die behobenen Paketversionen wird dringend empfohlen.
Eine Schwachstelle in TinaCMS CLI ermöglicht die Ausführung von beliebigem JavaScript-Code während des Build-Prozesses, da Git-Branch-Namen unmaskiert in generierten Client-Code eingefügt werden.
In TinaCMS lädt das Admin-Vorschau-iFrame eine vom Angreifer kontrollierte Herkunft aus dem URL-Fragment. Wenn ein angemeldeter Redakteur einen präparierten Link öffnet, können nicht authentifizierte Remote-Angreifer über die Content-API beliebige Lese- und Schreiboperationen mit dessen Rechten ausführen.
In @tinacms/web-components führt eine fehlende Validierung des URL-Schemas in Rich-Text-Links zu Stored Cross-Site Scripting, wodurch manipulierte Links JavaScript im Kontext der Website ausführen können.
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.