Vulnerabilidades

Zoho ManageEngine ADSelfService Plus, en versiones anteriores del build 5708, es vulnerable a un XSS a través de la API de aplicaciones móviles.

El componente de servidor web administrativo de TIBCO Software Inc.TIBCO ActiveMatrix BPM, TIBCO ActiveMatrix BPM Distribution para TIBCO Silver Fabric, TIBCO ActiveMatrix Policy Director, TIBCO ActiveMatrix Service Bus, TIBCO ActiveMatrix Service Grid, TIBCO ActiveMatrix Service Grid Distribution para TIBCO Silver…

El componente de servidor administrativo de TIBCO Software Inc.TIBCO ActiveMatrix BPM, TIBCO ActiveMatrix BPM Distribution para TIBCO Silver Fabric, TIBCO ActiveMatrix Policy Director, TIBCO ActiveMatrix Service Bus, TIBCO ActiveMatrix Service Grid, TIBCO ActiveMatrix Service Grid Distribution para TIBCO Silver…

La interfaz web de administrador de TIBCO Software Inc. para TIBCO ActiveMatrix BPM, TIBCO ActiveMatrix BPM Distribution para TIBCO Silver Fabric, TIBCO ActiveMatrix Policy Director, TIBCO ActiveMatrix Service Bus, TIBCO ActiveMatrix Service Grid, TIBCO Silver Fabric Enabler para ActiveMatrix BPM y TIBCO Silver Fabric…

Zoho ManageEngine ServiceDesk versión 9.3 permite el secuestro de sesión y la escalada de privilegios porque una sesión de invitado establecida se convierte automáticamente en una sesión de administrador establecida cuando el usuario invitado ingresa el nombre de usuario del administrador, con un contraseña incorrecta…

Pivotal Apps Manager Release, versiones 665.0.x anteriores a 665.0.28, versiones 666.0.x anteriores a 666.0.21, versiones 667.0.x anteriores a 667.0.7, presentan un servicio de invitación que acepta HTTP. Un usuario remoto no autenticado podría captar el tráfico de la red y lograr acceso a las credenciales de…

Vulnerabilidad en el componente de Oracle Service Contracts de Oracle E-Business Suite (subcomponente: Renovaciones). Las versiones compatibles que se ven impactadas son 12.1.1, 12.1.2, versión 12.1.3, versión 12.2.3, versión 12.2.4, versión 12.2.5, versión 12.2.6, versión 12.2.7 y versión 12.2.8. Una vulnerabilidad…

Hay una vulnerabilidad en el componente Oracle Service Bus de Oracle Fusion Middleware (subcomponent: Web Container). Las versiones compatibles que se ven afectadas son 11.1.1.9.0,versión 12.1.3.0.0 y versión 12.2.1.3.0. Una vulnerabilidad fácilmente aprovechable permite que un atacante no identificado con acceso a la…

Vulnerabilidad en el componente Oracle Retail Point-of-Service de Oracle Retail Applications (subcomponente: Infrastructure). Las versiones compatibles que se ven afectadas son 13.4, 14.0 y 14.1. Vulnerabilidad de fácil explotación que permite a atacante no autenticado con acceso a la red por medio de HTTP comprometer…

En c3p0 versiones <0.9.5.4, puede ser explotada por un ataque de tipo a billion laughs al cargar la configuración XML producto de la falta de protecciones faltantes contra la expansión recursiva de la entidad al cargar la configuración.

En Eclipse Jetty versión 7.x, versión 8.x,versión 9.2.27 y anteriores , versión 9.3.26 y anteriores , y versión 9.4.16 y anteriores, el servidor que se ejecuta en cualquier combinación de versión de sistema operativo y Jetty, revelará la ubicación del recurso base de directorio calificado y completamente configurado…

En Eclipse Jetty versión 9.2.27, versión 9.3.26 y versión 9.4.16 , el servidor que es ejecutado en Windows es vulnerable a la exposición del nombre del directorio Base Resource totalmente calificado en Windows a un cliente remoto cuando está configurado para mostrar un contenido de listado de directorios (Listing of…

Eclipse Jetty versiones 9.2.26 y anteriores, 9.3.25 y anteriores, 9.3.25 y anteriores, y 9.4.15 y anteriores. El servidor es vulnerable a un Cross-Site Scripting (XSS) si un cliente remoto emplea una URL especialmente formada contra el DefaultServlet o ResourceHandler que esté configurado para mostrar un listado del…

SeaMicro provisioning de Ubuntu MAAS, registra las credenciales, incluido el nombre de usuario y la contraseña, para la interfaz de gestión. Este problema afecta a las versiones anteriores a la 1.9.2 de Ubuntu MAAS.

Una vulnerabilidad en generate_filestorage_key de Ubuntu MAAS permite a un atacante usar fuerza bruta en los nombres de archivo. Este problema afecta a las versiones de Ubuntu MAAS anteriores a la 1.9.2.

Una vulnerabilidad en REST API de Ubuntu MAAS permite a un atacante causarle a un usuario que ha iniciado sesión ataques de secuencias de comandos en sitios cruzados (XSS). Este problema afecta a las versiones MAAS anteriores a la 1.9.2

Una vulnerabilidad en el maasserver.api.get_file_by_name de Ubuntu MAAS permite a los clientes de red no identificados descargar cualquier archivo. Este problema afecta: las versiones de Ubuntu MAAS anteriores a 1.9.2.

jQuery, en versiones anteriores a 3.4.0, como es usado en Drupal, Backdrop CMS, y otros productos, maneja mal jQuery.extend(true, {}, ...) debido a la contaminación de Object.prototype. Si un objeto fuente no sanitizado contenía una propiedad enumerable __proto__, podría extender el Object.prototype nativo.

Una vulnerabilidad en la interfaz basada en web de Registered Envelope Service de Cisco, podría permitir a un atacante autenticado y remoto explotar una vulnerabilidad de tipo cross site scripting (XSS) contra otro usuario del servicio. La vulnerabilidad se debe a la insuficiente validación de la entrada proporcionada…

Una vulnerabilidad en el portal Guest basado en web de Identity Services Engine (ISE) de Cisco, podría permitir que un atacante remoto autorizado realizara un ataque de tipo Cross-Site Scripting (XSS) contra un usuario de la interfaz de administración basada en web. La vulnerabilidad se debe a una comprobación…

Una vulnerabilidad en la interfaz web de Identity Services Engine (ISE) de Cisco, podría permitir que un atacante remoto no identificado desencadene un alto uso de la CPU, lo que resulta en una condición de denegación de servicio (DoS). La vulnerabilidad es debido a un manejo inapropiado de las peticiones de…

Apache PDFBox versión 2.0.14 no inicializa correctamente el analizador XML, lo que permite a los atacantes dependientes del contexto realizar ataques de Entidades Externas XML (XXE) por medio de un XFDF creado.

SIPLUS), paneles exteriores SIMATIC HMI Comfort de 7" y 15" (incl. variantes SIPLUS), paneles SIMATIC HMI Comfort de 4" - 22" (incl. variantes SIPLUS), paneles SIMATIC ET 200SP Open Controller CPU 1515SP PC SIPLUS), paneles móviles SIMATIC HMI KTP KTP400F, KTP700, KTP700F, KTP900 y KTP900F, SIMATIC IPC DiagMonitor,…

Existe una debilidad dependiente de la plataforma. Este problema sólo afecta a las plataformas iSeries. En estas plataformas, en BIG-IP (LTM, AAM, AFM, Analytics, APM, ASM, DNS, Edge Gateway, FPS, GTM, Link Controller, PEM, WebAccelerator) versiones 14.0.0-versión 14.1.0.1,versión 13.0.0-versión 13.1.1.3 y versión…

En Auth0-WCF-Service-JWT de Auth0 anterior a la versión 1.0.4, pierde la firma JWT esperada en un mensaje de error cuando no puede comprobar exitosamente la firma JWT. Si este mensaje de error es presentado a un atacante, pueden falsificar un token JWT arbitrario que será aceptado por la aplicación vulnerable.