Plan gratuito, sin tarjeta, el primer error en minutos.
Crear un proyecto gratisDescubre qué vulnerabilidades afectan a tus tecnologías y cómo solucionarlas. Encuentra explicaciones claras, versiones afectadas y recomendaciones prácticas - desde CMS y plugins hasta bibliotecas de aplicaciones.
A2A Java SDK registra tokens y credenciales de notificaciones push en texto plano cuando falla la deserialización de protobuf, exponiéndolos a usuarios con acceso a los registros del servidor.
Una vulnerabilidad en A2A Java SDK permite que un agente comprometido defina un encabezado HTTP personalizado para las credenciales. Al seguir una redirección HTTP, el cliente reenvía estos encabezados a un servidor externo, lo que puede provocar la filtración de las claves de API del cliente.
Una vulnerabilidad de cross-site scripting almacenado en Cachet permite a atacantes autenticados inyectar código malicioso en los campos de incidentes. El código se ejecuta en el navegador de quienes visitan la página pública de estado, lo que puede derivar en el robo de sesiones y la toma de cuentas.
Una recursión ilimitada en Pillow al analizar árboles de páginas o cadenas de trailer en PDFs puede provocar denegación de servicio y un consumo excesivo de CPU y memoria.
Un fallo en Pillow permite que un archivo GIF manipulado provoque una asignación excesiva de memoria cuando una aplicación captura errores de descompresión al avanzar fotogramas y reutiliza el objeto de imagen. Esto puede provocar el agotamiento de la memoria y una denegación de servicio.
Pillow es vulnerable a una escritura fuera de límites al procesar imágenes PPM o PGM de ancho cero en operaciones de morfología. Abrir una imagen manipulada puede provocar la caída de la aplicación y una posible corrupción de memoria.
Una lectura fuera de límites en el decodificador de TIFF por teselas de Pillow permite que una imagen manipulada provoque la caída del proceso o copie memoria adyacente del heap en el búfer de píxeles.
Un desbordamiento en el procesamiento de Max-Age en aiohttp puede omitir el cierre de conexiones, permitiendo a un atacante agotar temporalmente el grupo de conexiones hasta que actúe el recolector de basura.
En AIOHTTP, las solicitudes en forma absoluta pueden suplantar el esquema de la petición. Si la aplicación depende del esquema para controles de seguridad, un atacante puede eludir dicha lógica haciendo pasar conexiones no cifradas como cifradas o viceversa.
Una vulnerabilidad en aiohttp permite que un subdominio elimine el atributo Host-Only de cookies existentes de un dominio principal, lo que puede debilitar las restricciones de alcance de las cookies.
Una vulnerabilidad de denegación de servicio en markdown-it permite a atacantes remotos bloquear el bucle de eventos de Node.js mediante definiciones de referencia de enlace multilínea manipuladas. Las definiciones no cerradas provocan un tiempo de ejecución cuadrático con la configuración predeterminada.
Una discrepancia en el procesamiento de URL en el cliente HTTP de Angular puede provocar la fuga de tokens XSRF hacia dominios externos. Los atacantes pueden aprovechar estos tokens para realizar acciones no autorizadas en la sesión de un usuario autenticado.
En las versiones afectadas del SDK de TypeScript para MCP, una solicitud HTTP dentro del límite de tamaño predeterminado puede agotar la memoria del servidor durante la validación, lo que permite provocar una denegación de servicio y bloquear el proceso.
Con HTML habilitado, markdown-it puede incurrir en tiempos de análisis cuadráticos ante construcciones HTML repetidas sin cerrar, lo que permite bloquear el bucle de eventos y provocar denegación de servicio.
Una vulnerabilidad en el SDK de servidor MCP TypeScript provoca que se entreguen respuestas y notificaciones al cliente HTTP equivocado si se comparten instancias de servidor o transporte.
Una vulnerabilidad en launch-editor permite eludir la comprobación de existencia de archivos en Windows mediante una ruta manipulada. Combinada con fallos de escape de argumentos, puede derivar en inyección de comandos del sistema operativo si se controla la ruta del archivo.
Una vulnerabilidad en el SDK MCP para TypeScript permite que servidores con autenticación bearer acepten tokens emitidos para otros servicios al compartir un servidor de autorización. Esto permite reutilizar tokens válidos para acceder sin autorización a menos que se verifique la audiencia del token.
El analizador pure-Python en aiohttp es vulnerable a ataques de contrabando de solicitudes HTTP cuando no se usan las extensiones estándar en C. Se mitiga actualizando aiohttp o usando el analizador en C predeterminado.
Una vulnerabilidad en AIOHTTP permite a atacantes agotar los descriptores de archivos mediante solicitudes multipart manipuladas, lo que puede provocar el agotamiento de recursos del sistema.
El almacén de certificados empaquetado en versiones afectadas de uv confía en una CA raíz cuyas claves intermedias están comprometidas. Un atacante con acceso a dichas claves podría emitir certificados válidos para cualquier nombre de host y realizar ataques de intermediario (MITM) en conexiones TLS.
Certifi incluyó una CA raíz con claves intermedias comprometidas. Un atacante intermediario en la red podría emitir certificados falsos para cualquier nombre de host e interceptar o alterar el tráfico TLS de clientes afectados.
En versiones afectadas de MCP TypeScript SDK, las tareas experimentales no estaban vinculadas a la sesión que las creó. Clientes que compartían un controlador podían listar, leer y cancelar tareas de otros clientes.
ApostropheCMS no valida la autenticación ni la propiedad en endpoints de notificaciones. Un atacante no autenticado que obtenga un identificador válido puede modificar o eliminar permanentemente las notificaciones de otros usuarios.
En Windows, launch-editor no escapa adecuadamente el carácter de porcentaje, lo que permite la ejecución de comandos si se colocan archivos manipulados y se alteran variables de entorno o flujos NTFS.
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.