Plan darmowy, bez karty, pierwszy błąd w kilka minut.
Załóż projekt za darmoDowiedz się, które luki zagrażają Twoim technologiom i jak je usunąć. Znajdziesz tu opisy zagrożeń, podatne wersje i konkretne zalecenia - od CMS-ów i wtyczek po biblioteki aplikacji.
Luka typu spoofing w System.Security.Cryptography.Xml pozwala na akceptację serializowanych certyfikatów z metadanymi kontrolowanymi przez atakującego, umożliwiając fałszowanie tokenów. Wymagana jest aktualizacja platformy .NET, SDK oraz zależności pakietu.
Luka w Microsoft.AspNetCore.Authentication.Negotiate umożliwia nieprawidłowe powiązanie tożsamości z podmiotem LDAP z powodu braku weryfikacji identyfikatora SID Kerberos. Zaleca się zastosowanie aktualizacji platformy .NET.
Luka w Microsoft.AspNetCore.Components.WebAssembly.Server pozwala na wstrzykiwanie skryptów między źródłami przez niezakodowany tekst błędu na stronie debugowania Blazor.
W pakietach System.Security.Cryptography.Xml i System.Private.Xml wykryto lukę odmowy usługi spowodowaną alokacją zasobów bez ograniczeń. Zaleca się aktualizację pakietów i ponowne wdrożenie aplikacji.
Błąd Use After Free w Microsoft.Native.Quic.MsQuic.Schannel w systemie Windows umożliwia ujawnienie informacji w aplikacjach .NET. Zaleca się instalację najnowszej wersji .NET lub załatanego pakietu oraz ponowne uruchomienie lub rekompilację aplikacji.
W System.Security.Cryptography.Xml i System.Private.Xml w .NET zidentyfikowano podatność DoS prowadzącą do asymetrycznego zużycia zasobów. Zaleca się aktualizację pakietów lub środowiska .NET do wersji załatanych oraz ponowną kompilację aplikacji autonomicznych.
Luka odmowy usługi w ASP.NET Core pozwala klientom SignalR z mechanizmem stanowego ponownego łączenia trwale blokować transmisje i bezterminowo przetrzymywać zasoby.
Luka w TinaCMS CLI umożliwia wykonanie dowolnego kodu JavaScript podczas budowania projektu z powodu braku ucieczki znaków w nazwie gałęzi Git wstawianej do generowanego kodu klienta.
Ramka podglądu panelu TinaCMS ładuje pochodzenie kontrolowane przez atakującego z fragmentu URL. Jeśli zalogowany edytor otworzy spreparowany link, nieautoryzowany atakujący może uzyskać pełny dostęp do odczytu i zapisu w API treści witryny w jego kontekście.
Brak weryfikacji schematu URL w odnośnikach rich-text w @tinacms/web-components umożliwia atak typu stored XSS, pozwalając na wykonanie złośliwego kodu w przeglądarkach odwiedzających witrynę.
Luka typu path traversal w Shiny for Python pozwala nieuwierzytelnionym atakującym badać istnienie i poprawność plików JSON podczas przywracania zakładek lub odczytywać dowolne pliki, jeśli skonfigurowano zakładki po stronie serwera i pola wyboru plików.
Wyłączenie indeksowania chronionych stron w Contao może spowodować ujawnienie ich tytułów, adresów URL i fragmentów treści anonimowym użytkownikom w wynikach wyszukiwania.
Luka w module rejestracji Contao pozwala nieuwierzytelnionym użytkownikom wielokrotnie wysyłać e-maile aktywacyjne na dowolne adresy. Stwarza to ryzyko zalewania skrzynek pocztowych oraz ujawnia informacje o oczekujących rejestracjach użytkowników.
Podatność na fałszowanie żądań międzywitrynowych w Contao pozwala na wykonanie modyfikujących stan lub destrukcyjnych akcji panelu administracyjnego, jeśli zalogowany użytkownik otworzy spreparowany adres URL.
Błąd przejścia przez katalogi w kontrolerze obrazów Contao pozwala nieuwierzytelnionym użytkownikom odczytywać pliki graficzne spoza katalogu głównego oraz weryfikować istnienie ścieżek w projekcie.
Luka cross-site scripting w module komentarzy Contao pozwala nieuwierzytelnionym użytkownikom na wstrzyknięcie kodu, który wykonuje się w sesji administratora przeglądającego komentarze, co może prowadzić do przejęcia konta lub wykonania kodu.
Błąd kontroli dostępu w Contao umożliwia użytkownikom panelu bez uprawnień administratora odczytanie wszystkich linków podglądu i dostęp do nieopublikowanych treści za pomocą podpisanych adresów URL.
Błąd buforowania w voterze bezpieczeństwa Contao pozwala użytkownikom zaplecza o niskich uprawnieniach na obejście ograniczeń modułów i uzyskanie nieautoryzowanego dostępu do wrażliwych tabel bazy danych.
Błąd autoryzacji w mechanizmie kontroli zgód pacioli pozwala zagnieżdżonym operacjom anulować wskazane przez wywołującego istniejące dokumenty bez wymaganych znaczników zgody lub wpisów audytowych.
Podatność typu Stored Cross-Site Scripting we wtyczce PeproDev Ultimate Profile Solutions dla WordPressa pozwala uwierzytelnionym użytkownikom z uprawnieniami współtwórcy na wstrzykiwanie złośliwych skryptów.
Luka w HivePress pozwala nieuwierzytelnionym użytkownikom wstrzykiwać złośliwe skrypty za pośrednictwem pól atrybutów profilu, które wykonują się podczas wyświetlania stron użytkowników.
Wtyczka Listdom dla WordPressa w wersjach do 6.1.2 pozwala uwierzytelnionym administratorom na usuwanie dowolnych plików na serwerze poprzez podatność typu path traversal, co może prowadzić do zdalnego wykonania kodu.
Podatność na odczyt plików we wtyczce Divi Plus dla WordPressa pozwala nieuwierzytelnionym atakującym na pobieranie poufnych plików z serwera poprzez punkt końcowy REST.
Podatność na przechowywane DOM-based XSS we wtyczce Molongui Authorship pozwala nieuwierzytelnionym atakującym na wstrzykiwanie złośliwego kodu przez atrybuty href w komentarzach, co prowadzi do jego wykonania w przeglądarkach odwiedzających użytkowników.
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.