Vulnerabilidades

Los cuadros de mando en Splunk Enterprise versiones anteriores a 9.0, podrían permitir a un atacante inyectar comandos de búsqueda arriesgados en un token de formulario cuando el token es usado en una consulta en una petición de origen cruzado. El resultado es una omisión de las salvaguardas de SPL para los comandos…

Los peers de Splunk Enterprise en las versiones de Splunk Enterprise anteriores a la 9.0 y las versiones de Splunk Cloud Platform anteriores a la 8.2.2203 no comprueban los certificados TLS durante las comunicaciones de Splunk a Splunk por defecto. Las comunicaciones entre pares de Splunk configuradas apropiadamente…

Los peers de Splunk Enterprise en Splunk Enterprise versiones anteriores a 9.0 y Splunk Cloud Platform versiones anteriores a 8.2.2203 no comprueban los certificados TLS durante las comunicaciones de Splunk a Splunk por defecto. Las comunicaciones entre pares de Splunk configuradas apropiadamente con certificados…

Las bibliotecas de Python httplib y urllib que Splunk envió con Splunk Enterprise no comprueban los certificados usando los almacenes de certificados de la autoridad de certificación (CA) de forma predeterminada en Splunk Enterprise versiones anteriores a 9.0 y Splunk Cloud Platform versiones anteriores a 8.2.2203.…

Se ha encontrado una vulnerabilidad clasificada como crítica en FileCloud. Está afectado el manejador NTFS que conlleva a un control de acceso inapropiado. Es posible lanzar el ataque de forma remota, pero exige alguna forma de autenticación. Una actualización a versión 21.3.5.18513, puede abordar este problema. Es…

Biscuit es un token de autenticación y autorización para arquitecturas de microservicios. La versión 1 de la especificación de Biscuit contiene un algoritmo vulnerable que permite a actores maliciosos falsificar firmas válidas. Un ataque de este tipo permitiría a un atacante crear un token con cualquier nivel de…

Naver Cloud Explorer Beta permite al atacante ejecutar código arbitrario como privilegio del sistema por medio de una inyección de DLL maliciosa

El paquete com.alibaba:fastjson versiones anteriores a 1.2.83, es vulnerable a una Deserialización de Datos No Confiables al omitir las restricciones de cierre de autoType por defecto, lo cual es posible bajo determinadas condiciones. La explotación de esta vulnerabilidad permite atacar servidores remotos. Mitigación:…

ownCloud owncloud/core antes de 10.10.0 elimina incorrectamente información confidencial antes de su almacenamiento o transferencia

Una vulnerabilidad de tipo cross-site scripting (XSS) reflejada en el portal de inicio de sesión de Avantune Genialcloud ProJ - versión 10, permite a atacantes ejecutar scripts web o HTML arbitrarios por medio de una carga útil diseñada

richdocuments es el repositorio de NextCloud Collabra, la aplicación para la colaboración de Nextcloud Office. En versiones anteriores a 6.0.0, 5.0.4 y 4.2.6, podía engañarse a un usuario para que trabajara con un Office remoto mediante el envío de un recurso compartido federado. Las versiones 6.0.0, 5.0.4 y 4.2.6 de…

Nextcloud Server es el software de servidor de archivos de Nextcloud, una plataforma de productividad auto alojada. En versiones anteriores a 22.2.7 y 23.0.4, una falta de comprobación del tamaño de la entrada de los nuevos nombres de sesión permite a usuarios crear contraseñas de aplicaciones con nombres largos.…

Dell EMC CloudLink versiones 7.1.3 y todas las versiones anteriores, el token de autenticación es expuesto en las peticiones GET. Estos parámetros de petición pueden quedar registrados en los proxies inversos y en los registros del servidor. Los atacantes pueden usar potencialmente estos tokens para acceder al…

Se ha detectado una vulnerabilidad de Denegación de Servicio (DoS) en F-Secure Atlant y en determinados productos WithSecure por la que el escaneo del componente aemobile puede bloquear el motor de escaneo. La explotación puede ser activado remotamente por un atacante

Se ha detectado un problema en el Kernel de Linux de la 4.18 a 4.19, una actualización inapropiada de la referencia sock en el paso TCP puede conllevar a una pérdida de memoria/netns, que puede ser usada por clientes remotos

Se han detectado múltiples vulnerabilidades de Denegación de Servicio en F-Secure Atlant y en determinados productos WithSecure mientras son escaneados archivos PE32-bit fuzzed que causan corrupción de memoria y desbordamiento de búfer de la pila, lo que eventualmente puede bloquear el motor de escaneo. La explotación…

VMware Workspace ONE Access y Identity Manager contienen una vulnerabilidad de escalada de privilegios. Un actor malicioso con acceso local puede escalar los privilegios a "root"

VMware Workspace ONE Access, Identity Manager y vRealize Automation contienen una vulnerabilidad de omisión de autenticación que afecta a usuarios del dominio local. Un actor malicioso con acceso de red a la interfaz de usuario puede obtener acceso administrativo sin necesidad de autenticarse

Nextcloud Server es el software de servidor de archivos de Nextcloud, una plataforma de productividad auto alojada. En versiones anteriores a 22.2.6 y 23.0.3, un usuario puede crear un enlace que no esté protegido por contraseña, incluso si el administrador requiere que los enlaces estén protegidos por contraseña. Las…

Nextcloud Android es el cliente Android para Nextcloud, una plataforma de productividad auto alojada. En versiones anteriores a 3.19.0, los tokens confidenciales, las imágenes y los detalles relacionados con el usuario existen después de la eliminación de una cuenta de usuario. Esto podría resultar en un uso indebido…

Nextcloud Deck es una herramienta de administración personal y de proyectos de estilo Kanban para Nextcloud. En las versiones anteriores a 1.4.8, 1.5.6 y 1.6.1, un usuario autenticado puede mover pilas con tarjetas de su propio tablero a un tablero de otro usuario. La aplicación Nextcloud Deck contiene un parche para…

Nextcloud Deck es una herramienta de administración de proyectos y personal de estilo Kanban para Nextcloud, similar a Trello. La ruta completa de la aplicación está expuesta a usuarios no autorizados. Es recomendado actualizar la aplicación Nextcloud Deck a versión 1.2.11, 1.4.6 o 1.5.4. No se presenta ninguna…

Nextcloud Talk es una aplicación de videoconferencia y audioconferencia para Nextcloud. En versiones anteriores a 13.0.5 y 14.0.0, un moderador de llamadas puede habilitar indirectamente las cámaras web de los usuarios concediendo permisos, si estaban habilitadas antes de eliminar los permisos. Se presenta un parche…

En spring framework versiones anteriores a 5.3.20+ , 5.2.22+ y las versiones antiguas no soportadas, la aplicación con un endpoint STOMP sobre WebSocket es vulnerable a un ataque de denegación de servicio por parte de un usuario autenticado

En spring Framework versiones anteriores a 5.3.20+ , 5.2.22+ y las versiones antiguas no soportadas, las aplicaciones que manejan cargas de archivos son vulnerables a un ataque de denegación de servicio si dependen de la vinculación de datos para establecer un MultipartFile o javax.servlet.Part a un campo en un objeto…