Plan gratuito, sin tarjeta, el primer error en minutos.
Crear un proyecto gratisDescubre qué vulnerabilidades afectan a tus tecnologías y cómo solucionarlas. Encuentra explicaciones claras, versiones afectadas y recomendaciones prácticas - desde CMS y plugins hasta bibliotecas de aplicaciones.
Una vulnerabilidad de cross-site scripting en el módulo UI Icons de Drupal permite a atacantes con permisos para editar contenido con un formato de texto permitido ejecutar secuencias de comandos mediante el widget de CKEditor en situaciones poco comunes.
Una vulnerabilidad en el módulo FFmpeg Image Toolkit provoca que los nombres de archivo enviados a la herramienta ffmpeg no se saneen correctamente. La explotación requiere permisos para subir imágenes al sitio.
Una vulnerabilidad en el módulo Frontend Editing para Drupal no verifica adecuadamente los permisos de acceso a los campos al manipular párrafos, requiriendo permisos de edición específicos.
El tema ABC para Drupal no sanea suficientemente los títulos de enlaces de menú antes de insertarlos en atributos de clase HTML. Un atacante con permisos para modificar enlaces de menú podría aprovechar esta vulnerabilidad.
Una vulnerabilidad en el módulo Dopup puede permitir a usuarios no autorizados ver los títulos de Webforms privados debido a comprobaciones de acceso insuficientes.
Una vulnerabilidad de CSRF en el módulo frontend_editing de Drupal permite a atacantes engañar a un editor autenticado para eliminar o reordenar párrafos en un nodo.
Una vulnerabilidad de cross-site scripting en el módulo Block Attributes de Drupal permite a atacantes con permisos específicos inyectar código malicioso debido a una desinfección insuficiente de los atributos de bloque.
El módulo Media Bulk Upload para Drupal no verifica adecuadamente los permisos para crear tipos de medios específicos al usar el formulario de carga masiva. Se requiere contar con el permiso para dicho formulario para su explotación.
Una vulnerabilidad en el módulo ui_icons de Drupal permite que se rendericen configuraciones de iconos proporcionadas por los usuarios sin suficiente validación.
Un módulo en la distribución Sector para Drupal no sanea correctamente los nombres de medios, lo que permite ataques de cross-site scripting a usuarios con permisos para crear o editar entidades multimedia.
Un atacante puede provocar un bucle infinito en pypdf mediante un archivo PDF incompleto y manipulado que finaliza dentro de la tabla xref.
La falta de validación de origen en Storybook preview permite que un sitio malicioso realice cambios no autorizados en archivos de un servidor de desarrollo en ejecución. En condiciones específicas y con interacción del usuario, esto podría provocar la ejecución de código arbitrario.
Un problema en Electron causa que las comprobaciones de permisos HID y USB desde un iframe se atribuyan al marco principal. Esto puede provocar que aplicaciones con lógica basada en el origen otorguen a marcos embebidos accesos destinados a la página principal.
En ApostropheCMS antes de la versión 4.34.0, un endpoint REST elude las restricciones de páginas y campos, permitiendo a editores acceder a contenidos reservados a administradores si conocen el identificador.
La falta de autenticación en ApostropheCMS permite a usuarios no autenticados con una cookie CSRF estándar ejecutar operaciones de limpieza, eliminar archivos temporales de exportación y modificar registros de tareas en la base de datos.
Una vulnerabilidad en ApostropheCMS permite a cualquier usuario autenticado enumerar slugs en todo el sistema mediante el endpoint doc/slugTaken, exponiendo la existencia de contenido privado, borradores y contenido administrativo.
ApostropheCMS presenta una vulnerabilidad de cross-site scripting persistente donde los valores de estilo controlados por el editor en widgets se serializan en atributos HTML sin escape, permitiendo la ejecución de scripts arbitrarios.
Una vulnerabilidad de cross-site scripting almacenado en ApostropheCMS permite a usuarios autenticados con permisos de edición inyectar HTML y JavaScript arbitrarios en campos de color. Se recomienda actualizar a la versión 4.34.0 o posterior.
Una vulnerabilidad en la API de importación de ApostropheCMS elude los roles de publicación, permitiendo a editores sin permisos de publicación crear, reemplazar o eliminar contenido publicado no autorizado.
Una vulnerabilidad en ApostropheCMS permite a usuarios autenticados agotar el almacenamiento del servidor al descomprimir archivos debido a la falta de cuotas y limpieza tras fallos, provocando denegación de servicio.
En @apostrophecms/import-export, la continuación overrideDuplicates acepta opciones de reemplazo del cliente, lo que permite a colaboradores sobrescribir contenido publicado sin autorización de publicación.
La lista de bloqueo de invocación estricta de OGNL puede eludirse mediante proxies de reflexión. Solo afecta a aplicaciones que evalúan expresiones no confiables con acceso a miembros permisivo por defecto y que dependen únicamente de dicha lista como sandbox.
Una vulnerabilidad en el script activate.fish de virtualenv permite ejecutar comandos si la ruta del entorno o el prompt contiene una barra invertida antes de una comilla. Corregido en la versión 21.14.2.
Una vulnerabilidad en pypdf permite a un atacante provocar un bucle infinito mediante un archivo PDF manipulado cuando se elimina un objeto, como un elemento de esquema, de un árbol.
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.