Schwachstellen verstehen. Anwendungen schützen.

Vitest: Windows-Backslash-Traversal umgeht Fix der Redirect-Allowlist in @vitest/mocker

Eine Path-Traversal-Schwachstelle unter Windows ermöglicht es Clients, die Zugriff auf einen Vite-Server haben, die Redirect-Zulassungsliste mithilfe von Backslashes zu umgehen. Dadurch können Dateien außerhalb des Vite-Stammverzeichnisses gelesen werden, auf die der Serverprozess Zugriff hat.

@angular/common: XSRF-Token-Offenlegung durch URL-Parsing-Diskrepanz im Angular HTTP-Client (Unvollständiger Fix für CVE-2025-66035)

Eine Diskrepanz beim URL-Parsing im Angular-HTTP-Client kann dazu führen, dass XSRF-Tokens bei zustandsverändernden Anfragen an externe Domänen übertragen werden. Angreifer können die abgefangenen Tokens nutzen, um unberechtigte Aktionen in der Sitzung des Opfers auszuführen.

ApostropheCMS import-export tar guard misses './..' because it is a literal '../' substring test

In ApostropheCMS import-export ermöglicht eine unzureichende Prüfung von Tar-Dateipfaden authentifizierten Benutzern, den Node-Prozess über ein manipuliertes Archiv zum Absturz zu bringen.

Hono: `serveStatic` decodiert den Anfragepfad ein zweites Mal und umgeht Middleware auf statischen Pfaden

In Hono führt eine doppelte Pfaddecodierung dazu, dass für statische Pfade konfigurierte Middleware umgangen werden kann. Nicht authentifizierte Angreifer können so unter Umständen geschützte statische Dateien abrufen.

Appium: Symlink-basierter Zip Slip beim Entpacken von ZIP-Dateien in @appium/support

Eine Schwachstelle beim Entpacken von ZIP-Dateien in @appium/support ermöglicht das Schreiben beliebiger Dateien über symbolische Links, die aus dem Zielverzeichnis herausführen. Ein bösartiges Archiv kann Dateien überschreiben und potenziell Code mit den Rechten des Prozesses ausführen.

pbkdf2 rehashes long passwords on every iteration, enabling denial of service

electerm's encrypt method not safe enough

Saltcorn: Open Redirect in `POST /auth/login` due to incomplete `is_relative_url` validation (backslash bypass)

Flowise has Insufficient Password Salt Rounds

ALTCHA Proof-of-Work Vulnerable to Challenge Splicing and Replay

Manifest Uses a One-Way Hash without a Salt