База данных уязвимостей CVE

phpList до версии 3.7.0-RC5 содержит уязвимость подделки межсайтовых запросов (CSRF) в lists/admin/admins.php. Действие удаления администратора запускается через неаутентифицированный запрос GET (?page=admins&delete=N), который не защищен токеном CSRF (центральная проверкаverifyCsrfGetToken использует принудительное …

phpList до версии 3.7.0-RC5 не может обеспечить проверку токена CSRF в конечной точке удаления правила отказов (bouncerules.php/bouncerule.php). Удаление выполняется с помощью запроса GET (?page=bouncerules&del=N), а центральная проверка CSRF (verifyCsrfGetToken) вызывается …

NodeBB до версии 4.15.0 содержит сохраненную уязвимость межсайтового скриптинга в функции renderEmoji, которая не позволяет экранировать атрибуты tag.icon.url и tag.name. Злоумышленники могут доставлять вредоносные объекты ActivityPub Create/Note со специально созданными …

Следующие версии AI Draw.io с 0.2.1 по 0.4.16 содержат отраженную уязвимость межсайтового скриптинга в параметре запроса mcp, который интерполируется без перехода в HTML и JavaScript. Злоумышленники могут создавать вредоносные URL-адреса …

Следующие версии AI Draw.io до 0.4.16 содержат уязвимость подделки запросов на стороне сервера в конечной точке POST /api/parse-url из-за проверки имени хоста, которая проверяет только шаблоны строк без разрешения DNS. …

IBM i 7.6, 7.5, 7.4 и 7.3 может позволить локальному злоумышленнику получить повышенные привилегии из-за неправильного управления привилегиями.

IBM i 7.6, 7.5, 7.4 и 7.3 может позволить удаленному злоумышленнику вызвать отказ в обслуживании и изменить метаданные аутентификации из-за переполнения буфера.

IBM i 7.6, 7.5, 7.4 и 7.3 может позволить удаленному злоумышленнику обойти ограничения безопасности из-за неправильной проверки удостоверения, заявленного клиентом.

Velocity.js — это реализация шаблонизатора Apache Velocity на языке JavaScript. До версии 2.1.7 более раннее исправление для CVE-2026-44966 фильтровало конструктор, __proto__ и прототип только в обработчике назначения #set в src/compile/set.ts, …

Rails-html-sanitizer отвечает за очистку фрагментов HTML в приложениях Rails. С 1.0.3 по 1.7.1 Rails::HTML::PermitScrubber ограничивал ссылочные элементы SVG в SVG_ALLOW_LOCAL_HREF только тогда, когда они использовали xlink:href, хотя браузеры также принимают …