База данных уязвимостей CVE

В компоненте контроллера кластерных претензий Multicluster Engine (MCE) была обнаружена ошибка. Прошедший проверку подлинности клиент может воспользоваться этой уязвимостью, манипулируя метками ClusterClaim. Это позволяет арендатору принудительно присоединить кластер к ManagedClusterSet, …

SSRF через загрузку ресурсов миграции обходит хостматчер — считывает внутренние файлы и облачные метаданные

Неограниченные метаданные файла пакета Arch могут привести к увеличению ресурсов при загрузке пакетов Gitea.

SQL-инъекция в бухгалтерское приложение Zalktis через текстовые поля, контролируемые торговым партнером, в полученных электронных счетах. Когда импорт полученного э-счета (UBL/PEPPOL) или экспорт электронной коммерции, Zalktis объединяет значения, контролируемые партнером, непосредственно …

Заголовок авторизации Webhook возвращается в виде открытого текста через API

Исправление GHSA-8fwc-qjw5-rvgp ClearRepoWatches не применяется к пути API EditRepo — путь дочернего кода сохраняет устаревшие наблюдения в общедоступном > частном порядке.

Две уязвимости SSRF в миграции/зеркалировании Gitea (перепривязка DNS + отсутствие повторной проверки)

Раскрытие информации о существовании частного репозитория через мета-конечную точку go-get

Оракул перечисления идентификаторов меток между репозиториями через API-интерфейс DelIssueLabel с незаданной областью действия

Обход принудительного применения области токена личного доступа на домашней странице репозитория («GET /{owner}/{repo}») раскрывает содержимое частного репозитория.