Plan darmowy, bez karty, pierwszy błąd w kilka minut.
Załóż projekt za darmoDowiedz się, które luki zagrażają Twoim technologiom i jak je usunąć. Znajdziesz tu opisy zagrożeń, podatne wersje i konkretne zalecenia - od CMS-ów i wtyczek po biblioteki aplikacji.
W ApostropheCMS występuje podatność typu stored XSS, w której kontrolowane przez edytora wartości pól stylów w widgetach są serializowane do atrybutów HTML bez ucieczki znaków, co pozwala na wykonanie dowolnego skryptu.
Podatność na przechowywany cross-site scripting w ApostropheCMS pozwala uwierzytelnionym użytkownikom z prawami edycji na wstrzyknięcie złośliwego kodu HTML i JavaScript w polach koloru. Zaleca się aktualizację do wersji 4.34.0 lub nowszej.
Luka w Vite umożliwia wykonywanie skryptów cross-origin, gdy serwer deweloperski przekazuje niezmodyfikowany URL żądania do niestandardowego oprogramowania pośredniczącego. Pozwala to atakującemu na uruchomienie skryptów w kontekście strony serwowanej przez serwer deweloperski.
W markdown-it przy włączonym HTML parsowanie niezamkniętych struktur HTML prowadzi do kwadratowego czasu wykonania, co pozwala zablokować pętlę zdarzeń Node.js i wywołać odmowę usługi.
Weryfikacja podciągu podczas wypakowywania plików tar w ApostropheCMS import-export nie blokuje relatywnych ścieżek, co pozwala zalogowanym użytkownikom zatrzymać proces Node.
Podatność typu client-side prototype pollution w ApostropheCMS umożliwia wykonanie dowolnego kodu JavaScript w sesji uwierzytelnionego użytkownika, jeśli ofiara otworzy spreparowany odnośnik. Może to prowadzić do przejęcia konta oraz pełnego skompromitowania instancji CMS.
Brak ograniczania liczby prób na uwierzytelnionym punkcie końcowym zmiany hasła w ApostropheCMS pozwala osobie z aktywną sesją na nieograniczone zgadywanie bieżącego hasła bez blokady konta, co może prowadzić do jego przejęcia.
W @apostrophecms/ai-helper uwierzytelniony edytor może manipulować nagłówkiem Host, aby sterować adresem docelowym pobierania obrazu przez serwer i wywołać atak SSRF w sieci wewnętrznej.
Nieuwierzytelnieni użytkownicy mogą przesyłać nieograniczone dane formularzy na dysk serwera w ApostropheCMS, co może prowadzić do wyczerpania przestrzeni dyskowej i odmowy usługi (DoS).
W pakiecie sanitize-html przed wersją 2.18.0 domyślne zamknięcie wewnątrz elementów takich jak <noscript> powoduje przedwczesne zakończenie obszaru odrzucania i nieoczekiwane renderowanie zawartości jako kodu HTML.
Luka typu odmowa usługi w Angular Router dotyczy renderowania po stronie serwera (SSR) w Node.js. Nieuwierzytelnieni atakujący mogą przesyłać spreparowane adresy URL z pustymi segmentami outletów, co doprowadza do wyczerpania pamięci lub zasobów procesora i awarii procesu roboczego.
Luka open redirect w Angular SSR umożliwia nieuwierzytelnionym atakującym obejście kontroli ścieżek URL i przekierowanie użytkowników do zewnętrznych domen.
Luka reflected XSS w TanStack Start pozwala nieuwierzytelnionemu atakującemu na wykonanie złośliwego kodu JavaScript w przeglądarce ofiary po otwarciu spreparowanego odnośnika. Zalecana jest niezwłoczna aktualizacja do załatanych wersji pakietów.
Luka w TinaCMS CLI umożliwia wykonanie dowolnego kodu JavaScript podczas budowania projektu z powodu braku ucieczki znaków w nazwie gałęzi Git wstawianej do generowanego kodu klienta.
Ramka podglądu panelu TinaCMS ładuje pochodzenie kontrolowane przez atakującego z fragmentu URL. Jeśli zalogowany edytor otworzy spreparowany link, nieautoryzowany atakujący może uzyskać pełny dostęp do odczytu i zapisu w API treści witryny w jego kontekście.
Brak weryfikacji schematu URL w odnośnikach rich-text w @tinacms/web-components umożliwia atak typu stored XSS, pozwalając na wykonanie złośliwego kodu w przeglądarkach odwiedzających witrynę.
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.