Kända sårbarheter på webbplatsen
Programversioner som tjänsterna visar utåt, jämförda med kända utnyttjade och publicerade sårbarheter.
Senast granskad
Vikt i poängen
15 %
En av sex moduler, poängpolicy v2.1.0
Källor
- Retire.js, NVD, CISA KEV, EPSS, OSV
Öppna webbtjänster talar ofta om vilken programvara och vilken version de kör. Det räcker för att avgöra om de har publicerade sårbarheter, utan att något behöver skannas eller testas.
Det här är alltså inte sårbarhetsskanning i den mening som säkerhetsleverantörer brukar sälja, där systemen testas aktivt. Vi läser bara det som tjänsterna själva visar utåt.
Vi jämför de versioner av serverprogramvara och JavaScript-bibliotek som syns utåt med publicerade sårbarheter. Varje sårbarhet rangordnas sedan efter hur sannolikt det är att den utnyttjas, inte bara efter dess tekniska poäng: först de som enligt CISA KEV redan utnyttjas i verkligheten, sedan de som enligt EPSS har hög sannolikhet att utnyttjas.
Metoden är icke-intrusiv och bygger på versionsnummer, så den kan inte se en rättning som har bakåtporterats utan att versionsnumret ändrats. Träffar som bara bygger på versionen rapporteras med lägre konfidens, och med ännu lägre för programvara som ofta bakåtporterar rättningar.
Fynd som modulen kan ge
Varje fynd i en rapport beskriver vad som testades, varför det spelar roll, vilken konsekvens det kan få och hur ni åtgärdar det. Här är alla fynd modulen kan ge, de allvarligaste först. Begreppen förklaras i ordlistan. Fynden står på engelska, så som TrustSek rapporterar dem i dag.
Kritiskallvarlighetsgrad 90 till 100
95
Known-Exploited vulnerability in a public component
KEV lists vulnerabilities that have been OBSERVED being exploited in real attacks, not merely rated as severe. CISA sets binding remediation deadlines for federal agencies on exactly this list.
Så åtgärdar ni det: Patch or upgrade the named component now: this is the highest-priority item in this report. If an immediate upgrade is impossible, put a virtual patch or WAF rule in front of it today and schedule the real fix. Check the CISA KEV entry for the required action and due date.
Vad som testades och konsekvensenDölj detaljer
- Vad som testades
- Publicly fingerprinted components and JavaScript libraries, matched against the CISA Known Exploited Vulnerabilities catalogue
- Konsekvens
- Working exploit code is public and in active use. Automated scanners find these within hours of a host appearing online, so the window between exposure and attempt is very short.
Högallvarlighetsgrad 70 till 89
85
Vulnerability likely to be exploited
EPSS estimates the probability that a vulnerability will be exploited within 30 days. It is a far better prioritisation signal than CVSS, which rates theoretical severity and ignores whether anyone is actually attacking it.
Så åtgärdar ni det: Treat as urgent, just below a KEV listing. Upgrade the component; where you cannot, reduce exposure by restricting access to the affected path or feature. The default threshold is 0.5 and can be tuned with VULN_EPSS_THRESHOLD.
Vad som testades och konsekvensenDölj detaljer
- Vad som testades
- Fingerprinted components, scored against EPSS (the FIRST.org exploit-prediction model)
- Konsekvens
- A high EPSS score means attackers are showing real interest. These frequently become KEV entries within weeks.
Medelallvarlighetsgrad 40 till 69
65
Outdated component with known vulnerabilities
The library version served publicly has published vulnerabilities. Nothing here is currently in KEV or scoring highly on EPSS, so exploitation is not yet widespread: but the fixes already exist and the version is visible to anyone.
Så åtgärdar ni det: Upgrade the library to a version at or above the fixed release. If your distribution backports security fixes without changing the advertised version, confirm that and treat this as a false positive; otherwise plan the upgrade in your normal maintenance cycle.
Vad som testades och konsekvensenDölj detaljer
- Vad som testades
- JavaScript library versions detected in page markup, matched against the Retire.js advisory dataset
- Konsekvens
- Moderate today, and it can change quickly: a proof-of-concept release moves an issue from this category into the high-EPSS one in days. Version-only detection also cannot see a backported fix, so verify before treating it as certain.
55
JavaScript library with published advisories
Many library security advisories are never assigned a CVE. The absence of one says something about the disclosure process, not about whether the issue is real or exploitable.
Så åtgärdar ni det: Read the linked advisory for the component, then upgrade to a release that includes the fix. Where the library is loaded from a CDN, pin a current version rather than a floating one.
Vad som testades och konsekvensenDölj detaljer
- Vad som testades
- JavaScript library versions matched against advisories that carry no CVE identifier
- Konsekvens
- Depends on the specific advisory and how the library is used. These are commonly cross-site scripting or prototype-pollution issues in front-end code.
Lågallvarlighetsgrad 0 till 39
30
Software versions disclosed in responses
Exact version numbers are advertised in responses. This is not a vulnerability in itself, but it removes the reconnaissance step: an attacker can match your stack against a vulnerability database without probing the site again.
Så åtgärdar ni det: Suppress version detail:
ServerTokens Prodon Apache,server_tokens offon nginx,expose_php = Offfor PHP, and remove the generator meta tag from your CMS theme. Treat this as hardening, not as an emergency.Vad som testades och konsekvensenDölj detaljer
- Vad som testades
- Server headers, X-Powered-By, and generator meta tags
- Konsekvens
- Low on its own. It matters most when a new vulnerability is published for a component you run, because it lets attackers build a target list immediately.