Plan gratuito, sin tarjeta, el primer error en minutos.
Crear un proyecto gratisDescubre qué vulnerabilidades afectan a tus tecnologías y cómo solucionarlas. Encuentra explicaciones claras, versiones afectadas y recomendaciones prácticas - desde CMS y plugins hasta bibliotecas de aplicaciones.
En AIOHTTP, el atributo Secure no se aplicaba a las cookies compartidas, lo que permitía que se enviaran a través de solicitudes sin cifrar. El problema se resuelve actualizando a la versión 3.14.4 o posterior.
Múltiples fallos en aiohttp permiten provocar un consumo excesivo o ilimitado de memoria y CPU al procesar solicitudes manipuladas, lo que puede causar el agotamiento de recursos del sistema.
Un error de sintaxis en la lista de bloqueo de Mercury deja expuesto el endpoint /api/terminals, permitiendo a atacantes remotos sin autenticar ejecutar una shell interactiva en el sistema operativo.
Un endurecimiento incompleto de cpp #include en el extractor de Fortran de Graphify permite leer y exfiltrar archivos locales arbitrarios del host al indexar un repositorio no confiable.
Una vulnerabilidad de ejecución remota de código sin autenticación en Mercury permite a clientes de red ejecutar código Python arbitrario con los privilegios del proceso del servidor en instalaciones predeterminadas.
La función serve-status de LoopX utiliza una política CORS permisiva con encabezados comodín en rutas de lectura loopback no autenticadas. Sitios web maliciosos visitados por el operador pueden extraer sin interacción el estado del plano de control y archivos Markdown privados de los repositorios registrados.
Un desbordamiento de enteros en el capturador de fotogramas de cámaras IP en JavaCV puede generar un bucle infinito al procesar transmisiones HTTP MJPEG no confiables. Una cabecera manipulada puede dejar el hilo en un consumo permanente del 100 % de CPU, provocando una denegación de servicio.
Una vulnerabilidad de inyección de argumentos en Claude Agent SDK para Python permite la ejecución de comandos arbitrarios al inicio de la CLI si se procesa una entrada no confiable como identificador de sesión. Se recomienda actualizar el paquete.
La interfaz de tabla DataStore en ckan-mcp-server no valida el origen de mensajes entrantes y usa un comodín para mensajes salientes. Esto permite a otros marcos falsear contenido e interferir con la comunicación.
Exponer el runner de desarrollo de Pipecat a redes no confiables permite a usuarios no autenticados crear sesiones de bot y salas de Daily de pago. Esto puede derivar en interacciones no autorizadas con bots y en el consumo de recursos locales y cuotas de terceros.
Una vulnerabilidad en Claude Code permitía eludir la verificación de hash fijado durante la instalación de complementos mediante ramas de Git especialmente nombradas, instalando código no confiable. Se recomienda actualizar a la última versión.
Un servidor Qwik con su configuración predeterminada puede bloquearse mediante una única solicitud HTTP no autenticada. El envío reiterado de solicitudes permite mantener fuera de servicio todas las réplicas del servidor.
Una vulnerabilidad en la extracción de archivos ZIP en @appium/support permite escribir archivos arbitrarios mediante enlaces simbólicos que apuntan fuera del directorio de destino. Un atacante con un archivo malicioso podría sobrescribir ficheros y potencialmente ejecutar código con los permisos del proceso.
Una vulnerabilidad de salto de directorio en ClickMigrate permite a un atacante con control sobre el nombre de la migración crear un archivo en ubicaciones arbitrarias con permisos de escritura.
Una vulnerabilidad en tinytag permite que archivos M4A con un subátomo de tamaño cero provoquen un bucle infinito durante el análisis, resultando en una denegación de servicio.
Una vulnerabilidad de envenenamiento de caché en Nuxt OG Image permite a atacantes no autenticados modificar el contenido de las imágenes entregadas a los usuarios debido a claves de caché derivables en rutas de imágenes dinámicas.
Una vulnerabilidad de control de acceso en Backstage permite a usuarios autenticados invocar acciones del backend que fueron excluidas mediante configuración. Los permisos y la autorización posterior siguen vigentes.
En OpenNext Cloudflare con la interceptación de caché activada, una inconsistencia en rutas codificadas permite eludir el middleware de autorización y acceder a respuestas en caché.
Una vulnerabilidad de XSS reflejado en TanStack Start permite a atacantes no autenticados ejecutar JavaScript malicioso en el navegador de la víctima mediante enlaces manipulados. Se recomienda actualizar inmediatamente a las versiones parcheadas.
Una vulnerabilidad de denegación de servicio en Microsoft.OpenApi.YamlReader y Microsoft.OpenApi.Readers permite que documentos OpenAPI en YAML manipulados causen un consumo excesivo de memoria mediante anclas y alias anidados, provocando la caída del proceso.
En Metalama para Linux y macOS, usuarios locales pueden plantar archivos DLL en directorios temporales compartidos para ejecutar código con los permisos de otros usuarios que inicien compilaciones.
Los complementos y cargadores HTTP de Apprise siguen redirecciones por defecto y reenvían las cabeceras de autenticación configuradas. Si un destino se ve comprometido o sufre un ataque de intermediario, los secretos pueden filtrarse a un host de origen cruzado arbitrario.
Una vulnerabilidad de elusión de funciones de seguridad en ASP.NET Core Kestrel permite que conexiones anuladas vuelvan a analizar bytes no leídos del cuerpo como una nueva solicitud, lo que puede provocar ataques de HTTP request smuggling o desincronización.
Una vulnerabilidad de divulgación de información en Microsoft.WindowsDesktop.App.Runtime (WPF) afecta a aplicaciones .NET en Windows. Las aplicaciones con versiones vulnerables del runtime pueden exponer información mediante operaciones no seguras en XAML y XPS.
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.