Plan gratuito, sin tarjeta, el primer error en minutos.
Crear un proyecto gratisDescubre qué vulnerabilidades afectan a tus tecnologías y cómo solucionarlas. Encuentra explicaciones claras, versiones afectadas y recomendaciones prácticas - desde CMS y plugins hasta bibliotecas de aplicaciones.
ApostropheCMS presenta una vulnerabilidad de cross-site scripting persistente donde los valores de estilo controlados por el editor en widgets se serializan en atributos HTML sin escape, permitiendo la ejecución de scripts arbitrarios.
Una vulnerabilidad de cross-site scripting almacenado en ApostropheCMS permite a usuarios autenticados con permisos de edición inyectar HTML y JavaScript arbitrarios en campos de color. Se recomienda actualizar a la versión 4.34.0 o posterior.
Una vulnerabilidad en Vite permite la ejecución de scripts entre orígenes cuando un servidor de desarrollo pasa una URL de solicitud sin modificar a un middleware personalizado. Esto permite a un atacante ejecutar scripts maliciosos en el contexto de la página servida por el entorno de desarrollo.
Con HTML habilitado, markdown-it puede incurrir en tiempos de análisis cuadráticos ante construcciones HTML repetidas sin cerrar, lo que permite bloquear el bucle de eventos y provocar denegación de servicio.
Una validación de subcadena en la extracción tar de ApostropheCMS import-export no bloquea rutas relativas alternas, permitiendo a usuarios autenticados detener el proceso de Node.
Una vulnerabilidad de prototype pollution del lado del cliente en ApostropheCMS permite a atacantes ejecutar código JavaScript arbitrario en la sesión de un usuario autenticado si la víctima abre un enlace manipulado, lo que puede derivar en el compromiso total de la instancia.
La falta de limitación de intentos en el endpoint autenticado de cambio de contraseña de ApostropheCMS permite a atacantes con una sesión activa adivinar repetidamente la contraseña actual sin bloqueos, facilitando la toma de control de la cuenta.
En @apostrophecms/ai-helper, un editor autenticado puede manipular la cabecera Host para controlar el origen de peticiones de imágenes y provocar ataques SSRF hacia la red interna.
Atacantes no autenticados pueden enviar cuerpos multipart ilimitados al almacenamiento temporal en ApostropheCMS, provocando el agotamiento del espacio en disco y una denegación de servicio.
En sanitize-html antes de la versión 2.18.0, un cierre implícito dentro de elementos como <noscript> finaliza prematuramente la región de descarte, haciendo que su contenido se procese como elementos HTML ordinarios.
Una vulnerabilidad de denegación de servicio en Angular Router afecta al renderizado en el servidor (SSR) en Node.js. Atacantes remotos no autenticados pueden enviar URLs manipuladas con segmentos de salida vacíos para agotar la memoria o la CPU, provocando la caída del proceso y la interrupción del servicio.
Una vulnerabilidad de redirección abierta en Angular SSR permite a atacantes remotos usar URLs con segmentos de punto para eludir validaciones y desviar usuarios a dominios externos.
Una vulnerabilidad de XSS reflejado en TanStack Start permite a atacantes no autenticados ejecutar JavaScript malicioso en el navegador de la víctima mediante enlaces manipulados. Se recomienda actualizar inmediatamente a las versiones parcheadas.
Una vulnerabilidad en TinaCMS CLI permite la ejecución arbitraria de JavaScript durante la compilación del proyecto debido a la inserción de un nombre de rama de Git sin escapar en el código cliente generado.
El iframe de vista previa del administrador de TinaCMS carga un origen controlado por atacantes desde el fragmento de la URL. Si un editor autenticado abre un enlace manipulado, atacantes remotos no autenticados pueden leer y escribir arbitrariamente en la API de contenido con sus privilegios.
Una vulnerabilidad de XSS almacenado en @tinacms/web-components permite a usuarios con permisos de edición ejecutar scripts maliciosos debido a la falta de validación del esquema de URL en enlaces de texto enriquecido.
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.