Vulnerabilidades

XWiki Rendering es un sistema de renderizado genérico que convierte la entrada de texto en una sintaxis determinada en otra sintaxis. La limpieza de atributos durante la representación XHTML, introducida en la versión 14.6-rc-1, permitió la inyección de código HTML arbitrario y, por lo tanto, Cross-Site Scripting…

SisqualWFM 7.1.319.103 a 7.1.319.111 para Android tiene una vulnerabilidad de inyección de encabezado de host en su endpoint "/sisqualIdentityServer/core/". Al modificar el encabezado del host HTTP, un atacante puede cambiar los enlaces de las páginas web e incluso redirigir a los usuarios a ubicaciones arbitrarias o…

iTop es una plataforma de gestión de servicios de TI basada en web y de código abierto. Antes de las versiones 3.0.4 y 3.1.0, al mostrar `pages/preferences.php`, era posible realizar Cross-Site Scripting (XSS). Este problema se solucionó en las versiones 3.0.4 y 3.1.0.

vCenter Server contiene una vulnerabilidad de escritura fuera de los límites en la implementación del protocolo DCERPC. Un actor malintencionado con acceso a la red de vCenter Server puede desencadenar una escritura fuera de los límites que podría conducir a la ejecución remota de código.

Una vulnerabilidad en la función de interfaz de usuario web del software Cisco IOS XE podría permitir que un atacante remoto autenticado inyecte comandos con privilegios de root. Esta vulnerabilidad se debe a una validación de entrada insuficiente. Un atacante podría aprovechar esta vulnerabilidad enviando datos…

Se informó una vulnerabilidad de escalada de privilegios en Lenovo HardwareScanPlugin antes de la versión 1.3.1.2 y Lenovo Diagnostics antes de la versión 4.45 que podría permitir a un usuario local ejecutar código con privilegios elevados.

Múltiples vulnerabilidades de Cross Site Scripting (XSS) en Concrete CMS v.9.2.1 permiten a un atacante ejecutar código arbitrario a través de un script manipulado para los códigos de seguimiento de encabezado y pie de página de SEO y estadísticas.

Una vulnerabilidad de Cross Site Scripting en CMSmadesimple v.2.2.18 permite a un atacante local ejecutar código arbitrario a través de un script manipulado en el parámetro Título en el componente Menú de noticias.

umputun remark42 versión 1.12.1 y anteriores tiene una vulnerabilidad de Blind Server-Side Request Forgery (SSRF).

UVDesk Community Skeleton v1.1.1 permite a atacantes no autenticados realizar ataques de fuerza bruta en la página de inicio de sesión para obtener acceso a la aplicación.

Cuando un cliente restablecía una secuencia HTTP/2 (trama RST), había una ventana de tiempo en la que los recursos de memoria de la solicitud no se recuperaban inmediatamente. En cambio, la desasignación se aplazó hasta el cierre de la conexión. Un cliente podría enviar nuevas solicitudes y reinicios, manteniendo la…

Un atacante, al abrir una conexión HTTP/2 con un tamaño de ventana inicial de 0, pudo bloquear el manejo de esa conexión indefinidamente en el servidor HTTP Apache. Esto podría usarse para agotar los recursos de los trabajadores en el servidor, similar al conocido patrón de ataque "slow loris". Esto se solucionó en la…

Una vulnerabilidad fue encontrada en Viessmann Vitogate 300 hasta la versión 2.1.3.0 y clasificada como problemática. Una función desconocida del archivo /cgi-bin/ es afectada por esta vulnerabilidad. La manipulación conduce a una solicitud directa. El exploit ha sido divulgado al público y puede utilizarse. El…

I-doit pro 25 y versiones anteriores son vulnerables a Cross Site Scripting (XSS) a través de index.php.

Se descubrió un problema en SuperWebMailer 9.00.0.01710. Permite keepalive.php XSS a través de un parámetro GET.

Se descubrió un problema en SuperWebMailer 9.00.0.01710. Permite superadmincreate.php XSS a través de contraseñas incorrectas manipuladas.

Vulnerabilidad de Cross-Site Scripting (XSS) en opensolution Quick CMS v.6.7 permite a un atacante local ejecutar código arbitrario a través de un scrip manipulado en el parámetro Backend - Dashboard en el componente Menú de Idiomas.

Una vulnerabilidad de Cross Site Scripting en CMSmadesimple v.2.2.18 permite a un atacante local ejecutar código arbitrario a través de un script manipulado en el parámetro Title en el componente Manage Shortcuts.

Una vulnerabilidad de Cross Site Scripting en CMSmadesimple v.2.2.18 permite a un atacante local ejecutar código arbitrario a través de un script manipulado para el parámetro Global Meatadata en el componente del Global Settings Menu.

La vulnerabilidad de Cross Site Scripting en CMSmadesimple v.2.2.18 permite a un atacante local ejecutar código arbitrario a través de un script manipulado para los parámetros contraseña y contraseña nuevamente en My Preferences - Add user.

Vulnerabilidad de Cross Site Scripting en CMSmadesimple v.2.2.18 permite a un atacante local ejecutar código arbitrario a través de un script manipulado en el parámetro Profiles en el componente del editor Extensions -MicroTiny WYSIWYG.

Una vulnerabilidad de Cross Site Scripting en CMSmadesimple v.2.2.18 permite a un atacante local ejecutar código arbitrario a través de un script manipulado para el parámetro adicional en el componente del menú de noticias.

El complemento Social Media Share Buttons & Social Sharing Icons para WordPress es vulnerable a la exposición de información confidencial en versiones hasta la 2.8.5 incluida a través de la función sfsi_save_export. Esto puede permitir a los suscriptores exportar configuraciones de complementos que incluyen tokens y…

SECUDOS Qiata (DOMOS OS) 4.13 tiene Permisos Inseguros para el cronjob diario previewRm.sh. Para aprovechar esto, un atacante necesita acceso como usuario con pocos privilegios al sistema DOMOS subyacente. Cada usuario del sistema tiene permiso de escritura previewRm.sh, que es ejecutado por el usuario root.

VMware Aria Operations for Logs contiene una vulnerabilidad de omisión de autenticación. Un actor malicioso no autenticado puede inyectar archivos en el sistema operativo de un dispositivo afectado, lo que puede resultar en la ejecución remota de código.