База данных уязвимостей CVE

Ветка разработки SiYuan (конечная точка, введенная коммитом 9b8e8956f, отсутствует в версии 3.7.3 или master, исправлена ​​в версии 3.7.4) содержит уязвимость отсутствия авторизации в конечной точке /api/av/getAttributeViewSearchTarget. Маршрут регистрируется только с …

Версии SiYuan до версии 3.7.4 содержат уязвимость раскрытия информации в конечной точке /api/storage/getOutlineStorage, которая не выполняет проверки авторизации. Злоумышленники могут получить состояние структуры, включая идентификаторы заголовков для любого документа, указав …

Версии SiYuan до версии 3.7.4 содержат уязвимость раскрытия информации в конечной точке /api/block/getRefIDs, из-за которой не удается проверить уровни документов, защищенные паролем. Неавторизованные читатели могут обнаружить, что документы, защищенные паролем, …

Версии SiYuan до версии 3.7.4 содержат уязвимость обхода пути в конечной точке getUniqueFilename, которая позволяет анонимным читателям проверять существование файловой системы без проверки или ограничения. Злоумышленники могут предоставить произвольные абсолютные …

Flowise до версии 3.1.3 содержит уязвимость неполного редактирования учетных данных в конечной точке GET /api/v1/credentials/:id, которая возвращает расшифрованные секреты в открытом тексте. Пользователи, прошедшие проверку подлинности с учетными данными: разрешение …

Flowise до версии 3.1.4 не может проверить видимость потока чата в неаутентифицированной конечной точке преобразования текста в речь, что позволяет злоумышленникам злоупотреблять учетными данными TTS частного потока чата. Злоумышленники, не …

Flowise до 3.1.3 содержит уязвимость выхода из песочницы в песочнице JavaScript vm2, которая позволяет аутентифицированным пользователям выполнять произвольный код, используя обход проверки локали момента. Злоумышленники могут создать поддельный объект String …

Версии Flowise до 3.1.3 содержат уязвимость удаленного выполнения кода в узле Custom MCP, когда для CUSTOM_MCP_PROTOCOL установлено значение stdio, что позволяет прошедшим проверку подлинности пользователям выполнять произвольные команды путем манипулирования …

Версии Flowise до 3.1.3 содержат небезопасную уязвимость прямой ссылки на объект в конечной точке GET /api/v1/organization/customer-default-source, которая позволяет злоумышленникам, прошедшим проверку подлинности, получить доступ к данным платежей и профилей других …

Flowise до версии 3.1.3 содержит обход валидатора кода Python на основе регулярных выражений в узлах CSV и агента Airtable, который позволяет неаутентифицированным злоумышленникам внедрять вредоносный код посредством внедрения подсказки. Злоумышленники …