Vulnerabilidades

IBM Security Guardium versión 11.1, es vulnerable a un ataque de tipo cross-site scripting. Esta vulnerabilidad permite a usuarios insertar código JavaScript arbitrario en la Interfaz de Usuario Web, alterando así la funcionalidad prevista conllevando potencialmente a una divulgación de credenciales dentro de una…

IBM Security Guardium versión 11.1, podría permitir a un atacante autenticado remoto ejecutar comandos arbitrarios en el sistema. Mediante el envío de una petición especialmente diseñada, un atacante podría explotar esta vulnerabilidad para ejecutar comandos arbitrarios en el sistema. IBM X-Force ID: 174735.

IBM Security Guardium versión 11.1, contiene credenciales embebidas, tales como una contraseña o clave criptográfica, que usa para su propia autenticación entrante, comunicación saliente a componentes externos o cifrado de datos internos. IBM X-Force ID: 174732.

Jenkins Script Security Plugin versiones 1.72 y anteriores, no escapa correctamente de las entradas de classpath pendientes o aprobadas en la página In-process Script Approval, resultando en una vulnerabilidad de tipo cross-site scripting almacenado.

IBM Security Identity Governance and Intelligence versión 5.2.6, podría permitir a un atacante remoto obtener información confidencial cuando un mensaje de error técnico detallado es devuelto en el navegador. Esta información podría ser usada en nuevos ataques contra el sistema. IBM X-Force ID: 175484.

IBM Security Identity Governance and Intelligence versión 5.2.6, podría revelar información altamente confidencial a otros usuarios autenticados en el sistema debido a una autorización incorrecta. IBM X-Force ID: 175485.

IBM Security Identity Governance and Intelligence versión 5.2.6, es vulnerable a un ataque de tipo XML External Entity Injection (XXE) cuando se procesan datos XML. Un atacante remoto podría explotar esta vulnerabilidad para exponer información confidencial o consumir recursos de memoria. IBM X-Force ID: 175481.

IBM Security Identity Governance and Intelligence versión 5.2.6, no requiere que los usuarios tengan contraseñas fuertes por defecto, lo que facilita a atacantes comprometer las cuentas de los usuarios. IBM X-Force ID: 175423.

IBM Security Identity Governance and Intelligence versión 5.2.6, podría permitir a un usuario no autorizado obtener información confidencial mediante la enumeración de usuarios. IBM X-Force ID: 175422.

IBM Security Identity Governance and Intelligence versión 5.2.6, podría permitir a un atacante remoto obtener información confidencial, causada por el fallo al establecer el flag seguro para la cookie de sesión en el modo SSL. Al interceptar su transmisión dentro de una sesión HTTP, un atacante podría explotar esta…

IBM Security Identity Governance and Intelligence versión 5.2.6, podría permitir a un atacante enumerar nombres de usuario para encontrar credenciales de inicio de sesión válidas que podrían ser usadas para intentar nuevos ataques contra el sistema. IBM X-Force ID: 175336.

IBM Security Identity Governance and Intelligence versión 5.2.6, podría permitir a un atacante enumerar nombres de usuario para encontrar credenciales de inicio de sesión válidas que podrían ser usadas para intentar nuevos ataques contra el sistema. IBM X-Force ID: 175336.

Una vulnerabilidad en Trend Micro InterScan Web Security Virtual Appliance versión 6.5, puede permitir a atacantes remotos omitir la autenticación sobre las instalaciones afectadas de Trend Micro InterScan Web Security Virtual Appliance.

Una vulnerabilidad en Trend Micro InterScan Web Security Virtual Appliance versión 6.5, puede permitir a atacantes remotos ejecutar código arbitrario sobre las instalaciones afectadas. Es requerida una autenticación para explotar esta vulnerabilidad.

Una vulnerabilidad en Trend Micro InterScan Web Security Virtual Appliance versión 6.5, puede permitir a atacantes remotos revelar información confidencial sobre las instalaciones afectadas.

Una vulnerabilidad de tipo cross-site scripting (XSS) en Trend Micro InterScan Web Security Virtual Appliance versión 6.5, puede permitir a un atacante remoto alterar la interfaz web de las instalaciones afectadas. Es requerida una interacción del usuario para explotar esta vulnerabilidad, en el que el objetivo debe…

El IBM Security Access Manager Appliance versión 9.0.7.1, podría permitir a un usuario autentificado omitir la seguridad al permitir una manipulación de las peticiones de id_token sin verificación. IBM X-Force ID: 181481.

Spring Security versiones 5.3.x anteriores a 5.3.2, versiones 5.2.x anteriores a 5.2.4, versiones 5.1.x anteriores a 5.1.10, versiones 5.0.x anteriores a 5.0.16 y versiones 4.2.x anteriores a 4.2.16, utilizan un vector de inicialización de null corregido con el Modo CBC en la implementación del encriptador de texto…

Spring Security versiones 5.2.x anteriores a 5.2.4 y versiones 5.3.x anteriores a 5.3.2, contienen una vulnerabilidad de empaquetado de firma durante la comprobación de respuesta SAML. Cuando se usa el componente spring-security-saml2-service-provider, un usuario malicioso puede modificar cuidadosamente una respuesta…

Algunos productos Dahua con tiempo de Compilación antes de diciembre de 2019 presentan vulnerabilidades predecibles del ID de Sesión. Durante un acceso de usuario normal, un atacante puede usar el ID de Sesión previsto para construir un paquete de datos para atacar el dispositivo.

Los atacantes pueden obtener información de Cloud Key del control Dahua Web P2P de formas específicas. Cloud Key es usado para autenticar la conexión entre la herramienta del cliente y la plataforma. Un atacante puede usar el Cloud Key filtrado para suplantar al cliente para conectarse a la plataforma, lo que resulta…

Los dispositivos Dahua con tiempo de Compilación antes de diciembre de 2019, usan un modo de inicio de sesión de seguridad fuerte por defecto, pero en función de ser compatibles con el inicio de sesión normal de los primeros dispositivos, algunos dispositivos conservan el modo de inicio de sesión de seguridad débil…

Zoho ManageEngine DataSecurity Plus versiones anteriores a 6.0.1, utiliza credenciales de administrador predeterminadas para comunicarse con un servidor DataEngine Xnode. Esto permite a un atacante omitir la autenticación para este servidor y ejecutar todas las operaciones en el contexto del usuario administrador.

La aplicación DataEngine Xnode Server en Zoho ManageEngine DataSecurity Plus versiones anteriores a 6.0.1, no comprueba el nombre del esquema de la base de datos al manejar una petición DR-SCHEMA-SYNC. Esto permite a un atacante autenticado ejecutar código en el contexto del producto al escribir un archivo JSP en el…

Una vulnerabilidad de Escalada de Privilegios en McAfee Endpoint Security (ENS) para Mac versiones anteriores a 10.6.9, permite a usuarios locales eliminar archivos a los que de otro modo el usuario no tendría acceso por medio de la manipulación de enlaces simbólicos para redireccionar una acción de eliminación de…