База данных уязвимостей CVE

Версии SvelteKit (@sveltejs/kit) >=2.49.0 и <=2.52.1 с экспериментальными удаленными функциями (experimental.remoteFunctions) и включенной формой содержат уязвимость нехватки памяти при удаленной десериализации формы. Неверно сформированные данные формы могут вызвать чрезмерное выделение …

Версии SvelteKit с 2.49.0 по 2.53.2 (исправлены в 2.53.3) содержат проблему расширения десериализации в экспериментальной форме удаленной функции. Когда приложение включает экспериментальные.remoteFunctions и использует функцию формы для обработки массива файлов …

Версии SvelteKit от 2.38.0 до 2.60.1 содержат условие гонки в query.batch, которое позволяет одновременным запросам от разных пользователей объединяться в одном контексте запроса. Злоумышленники могут использовать определенные временные условия для …

Версии SvelteKit до 2.69.1 содержат уязвимость загрязнения прототипа в функциях удаленной формы с полями ввода файлов, которые принимают произвольные имена путей, управляемые пользователем. Злоумышленники могут манипулировать путем удаления, чтобы удалить …

SvelteKit до версии 2.69.1 не может должным образом проверить размеры полезной нагрузки функции удаленной формы, что позволяет злоумышленникам аварийно завершить процесс Node, отправив большие полезные нагрузки. Повторная эксплуатация приводит к …

Версии gitoxy, начиная с 0.25.4, содержат уязвимость утечки учетных данных HTTP в транспортном бэкэнде на основе Curl, где учетные данные отправляются на серверы, контролируемые злоумышленниками, после перенаправления HTTP. Уязвимость возникает …

gitoxyd до 0.69.0 содержит непроверяемую индексацию массива в дельта-приложении и неограниченное выделение из заголовков размера, контролируемых злоумышленником, в gix-pack. Злоумышленники могут отправлять созданные данные пакета во время операций клонирования или …

gitoxyd (ящики Rust gix <= 0.72.0 и gix-validate <= 0.10.0) содержит уязвимость обхода пути. Функция проверки имени подмодуля в gix-validate проверяет только первое вхождение «..» через name.find(b»..), позволяя созданным именам, …

gitoxyd до 0.52.1 следует по символическим ссылкам при чтении файла .gitmodules рабочего дерева, позволяя злоумышленникам вставлять байты из репозитория в метаданные подмодуля. Злоумышленники могут создать вредоносный репозиторий с символическими ссылками …

gitoxyd до версии 0.52.1 не может проверить имена подмодулей из конфигурации .gitmodules, что позволяет обход пути при создании каталогов git подмодулей. Злоумышленники могут создавать вредоносные имена подмодулей с сегментами обхода …