База данных уязвимостей CVE

Trix — это текстовый редактор с форматированным текстом «что видишь, то и получаешь» для повседневного письма. До версии 2.1.18 Trix уязвима для сохраненных межсайтовых сценариев, когда созданный HTML-код вставляется в …

NextAuth.js обеспечивает аутентификацию для Next.js. Начиная с next-auth 5.0.0-beta.0 до 5.0.0-beta.32, приложения, которые ограничивают доступ, проверяя только наличие объекта аутентификации, возвращаемого оболочкой auth(), могут не открыться, если в Auth.js возникает …

NextAuth.js обеспечивает аутентификацию для Next.js. До @auth/core 0.41.3 и next-auth 4.24.15 и 5.0.0-beta.32 дефолтный нормализатор, используемый в процессе входа в систему по электронной почте и магической ссылке, проверяет адрес перед …

jupyterlab — это расширяемая среда для интерактивных и воспроизводимых вычислений, основанная на архитектуре Jupyter Notebook. Начиная с версий 3.3.0 до 4.5.10 и 4.6.2, JupyterLab позволяет делиться настройками блокнота и применять …

jupyterlab — это расширяемая среда для интерактивных и воспроизводимых вычислений, основанная на архитектуре Jupyter Notebook. В версиях с 4.5.0 по 4.5.10 и 4.6.2 в jupyterlab/extensions/manager.py и jupyterlab/extensions/pypi.py менеджер расширений PyPI …

Budibase — это платформа low-code с открытым исходным кодом. До версии 3.39.18 packages/server/src/integrations/mysql.ts включали MultipleStatements и вставляли неэкранированное имя таблицы в оператор DESCRIBE. Злоумышленник, способный создать таблицу MySQL с обратным …

Budibase — это платформа low-code с открытым исходным кодом. До версии 3.39.24 POST /api/public/v1/roles/assign вызывал validateGlobalRoleUpdate без проверки appBuilder.appId или role.appId в packages/server/src/api/controllers/public/globalRoleValidation.ts. Разработчик на уровне приложения может ограничить запрос …

Budibase — это платформа low-code с открытым исходным кодом. До версии 3.39.25 GET /api/users/metadata и GET /api/users/metadata/:id возвращали пользовательские объекты, обработанные packages/server/src/utilities/global.ts, без удаления oauth2.accessToken или oauth2.refreshToken. Пользователь с ролью …

Budibase — это платформа low-code с открытым исходным кодом. До версии 3.39.30 поток OIDC в ​​packages/backend-core/src/middleware/passport/sso/oidc.ts разрешал электронное письмо без требования getEmailVerified или email_verified, а packages/backend-core/src/middleware/passport/sso/sso.ts затем использовал user.getGlobalUserByEmail в …

streama содержит небезопасную уязвимость прямой ссылки на объект в ViewingStatusController, которая позволяет прошедшим проверку подлинности пользователям читать и удалять записи статуса просмотра других пользователей. Злоумышленники могут перечислять прогресс просмотра всех …