Vulnerabilidades

Perforce P4 Search anterior a la 2026.4.2 confía en una dirección proporcionada por el cliente al validar determinadas solicitudes de autenticación. Un atacante que posea un ticket robado de P4 Server puede eludir las restricciones de tickets basadas en el host y los controles de direcciones de confianza, obteniendo…

Perforce P4 Search anterior a la 2026.4.2 no valida los nombres de archivo proporcionados a su función de instalación de extensiones. Un atacante con privilegios de superusuario o de token de servicio puede escribir archivos con contenido arbitrario en el directorio de instalación de P4 Search.

P4 Search anterior a la 2026.4.2 no falla de forma segura cuando su token de autenticación del servicio está en blanco. En las configuraciones afectadas, un atacante no autenticado con acceso a la red puede obtener el máximo privilegio de la aplicación, lo que puede provocar el compromiso de P4 Search y del P4 Server…

Perforce P4 Search anterior a la 2026.4.2 no restringe las rutas de archivo escritas a través de su interfaz de configuración de registros. Un atacante que posea el token de autenticación del servicio puede escribir archivos arbitrarios en el host, lo que puede provocar la ejecución de código como la cuenta de…

Las imágenes de contenedor de Perforce P4 Search anteriores a la 2026.4.2 restablecen el token de autenticación del servicio a un valor predeterminado documentado públicamente. Un atacante no autenticado con acceso a la red puede obtener el máximo privilegio de la aplicación, lo que puede provocar la ejecución de…

Las imágenes de contenedor de Perforce P4 Search anteriores a la 2026.4.2 habilitan una interfaz de depuración de Java sin autenticación. Un atacante con acceso por red a esta interfaz puede ejecutar código arbitrario como la cuenta de servicio de P4 Search, lo que puede provocar el compromiso del P4 Server conectado.

A Remote Code Execution vulnerability in P4 (Helix Core) Server's Command-Line Client, prior to the 2025.2 Patch 2, has been fixed to address potential security risks.

P4 Server versions prior to 2026.1 are configured with insecure default settings that, when exposed to untrusted networks, allow unauthenticated attackers to create arbitrary user accounts, enumerate existing users, authenticate to accounts with no password set, and access depot contents via the built-in 'remote'…

In Delphix Continuous Compliance version 2025.3.0 and later, following a recent bug fix to correctly handle CR+LF (Windows and DOS) End-of-Record (EOR) characters in delimited files, an issue was identified: using an incorrect EOR configuration can cause inaccurate parsing and leave personally identifiable information…

Helix ALM anterior a 2025.1 devuelve respuestas de error distintas durante la autenticación, lo que permite a un atacante determinar si existe un nombre de usuario.

La falta de limitación de velocidad en el flujo de trabajo de registro en Perforce Gliffy anterior a la versión 4.14.0-7 en Gliffy en línea permite al atacante enumerar correos electrónicos de usuarios válidos y potencialmente atacar el servidor

En versiones de Helix Core anteriores a 2024.2, se identificó una denegación de servicio (DoS) remota no autenticada a través de la función de apagado. Informado por Karol Wi?sek.

En versiones de Helix Core anteriores a 2024.2, se identificó una denegación de servicio (DoS) remota no autenticada a través de la función de rechazo. Informado por Karol Wi?sek.

En versiones de Helix Core anteriores a 2024.2, se identificó una denegación de servicio (DoS) remota no autenticada a través de la función de generación automática. Informado por Karol Wi?sek.

En versiones de Helix Core anteriores a 2024.1 Patch 2 (2024.1/2655224) se identificó una inyección de argumento de "mejor ajuste" Unicode de la API ANSI de Windows.

En versiones de Akana API Platform anteriores a 2024.1.0, se pueden encontrar errores demasiado detallados en las integraciones SAML

En versiones de Akana API Platform anteriores a 2024.1.0, los tokens SAML se pueden reproducir.

En versiones de Akana API Platform anteriores a 2024.1.0, se descubrió un fallo que resultaba en XML External Entity (XXE).

En las versiones de Helix Sync anteriores a la 2024.1, se identificó una inyección de comando local. Reportado por Bryan Riggins.

En las versiones de Helix Core anteriores a 2023.2, se identificó una Denegación de Servicio (DoS) remota no autenticada a través del búfer. Reportado por Jason Geffner.

Se descubrió una ejecución de código arbitrario que resulta en una escalada de privilegios en versiones de Helix Core anteriores a 2023.2. Reportado por Jason Geffner.

En las versiones de Helix Core anteriores a 2023.2, se identificó una Denegación de Servicio (DoS) remota no autenticada a través de la función commit. Reportado por Jason Geffner.

En las versiones de Helix Core anteriores a 2023.2, se identificó una Denegación de Servicio (DoS) remota no autenticada a través de la función de apagado. Reportado por Jason Geffner.

Puppet Bolt versiones anteriores a 3.24.0, imprimirá parámetros confidenciales cuando planifique una ejecución, resultando en un posible registro cuando es ejecutado de forma programada, como por medio de Puppet Enterprise.

La funcionalidad XML Import de la consola de Administración en Perforce Helix ALM versión 2020.3.1 Build 22, acepta datos de entrada XML que son analizados por componentes de software configurados de forma no segura, conllevando a ataques de tipo XXE