Vulnerabilidades

Los servlets invocadores (1) JMXInvokerHAServlet y (2) EJBInvokerHAServlet en JBoss Enterprise Application Platform (EAP) anterior a versión 5.2.0, Plataforma Web (EWP) anterior a versión 5.2.0, BRMS Platform anterior a versión 5.3.1, y SOA Platform anterior a versión 5.3.1, no requieren autenticación por defecto en…

El NonManagedConnectionFactory en JBoss Enterprise Application Platform (EAP) v5.1.2 y v5.2.0, Web Platform (EWP) v5.1.2 y v5.2.0, y BRMS Platform anterior a v5.3.1 guarda el nombre de usuario y el password en texto plano cuando una excepción es lanzada, lo que permite a usuarios locales obtener información sensible…

Una vulnerabilidad de tipo cross-site scripting (XSS) en la consola JMX en JBoss Enterprise Application Platform (EAP) anterior a versión 5.2.0, Web Platform (EWP) anterior a versión 5.2.0, BRMS Platform anterior a versión 5.3.1, y SOA Platform anterior a versión 5.3.1, permite a los atacantes remotos inyectar script…

Vulnerabilidad no especificada en IBM WebSphere Application Server (WAS) v6,1, v7,0 antes de v7.0.0.27, v8.0, y v8.5 tiene un impacto desconocido y vectores de ataque.

Cross-site scripting (XSS) en el Virtual Member Manager (VMM) de la consola administrativa de IBM WebSphere Application Server (WAS) v6,1 antes de v6.1.0.47, v7.0.0.27 antes de v7,0, v8,0 antes de v8.0.0.6 y v8.5 antes de v8.5.0.2 que permite a atacantes remotos inyectar secuencias de comandos web o HTML a través de…

Cross-site request forgery (CSRF) vulnerabilidad en el subsistema de portlet en la consola administrativa de IBM WebSphere Application Server (WAS) v6,1 antes de v6.1.0.47 y v7,0 antes de v7.0.0.27 que permitía que los atacantes remotos secuestraran la autenticación de usuarios para peticiones arbitrarias que insertan…

Cross-site scripting (XSS) en la consola administrativa de IBM WebSphere Application Server (WAS) v6,1 antes de v6.1.0.47, 7,0 antes de 7.0.0.27, 8,0 antes de 8.0.0.6 y 8.5 antes de 8.5.0.2 que permite a atacantes remotos inyectar web script o HTML arbitrario a través de vectores no especificados.

Vulnerabilidad de Cross-site scripting (XSS) en la consola administrativa de IBM WebSphere Application Server (WAS) v6.1 anterior a v6.1.0.47, v7.0 anterior a v7.0.0.27, v8.0 anterior a v8.0.0.6, y v8.5 anterior a v8.5.0.2, cuando la seguridad de inicio de sesión está desactivada, permite a atacantes remotos inyectar…

JBoss Enterprise Application Platform (tambíen conocido como JBoss EAP o JBEAP) anteriores a v6.0.1, cuando se usa una autorización basada en roles para acceder a Enterprise Java Beans (EJB), no llama a los módulos de autorización de forma adecuada, lo que evita que se puedan usar los permisos JACC de ser aplicados y…

La función processInvocation en org.jboss.as.ejb3.security.AuthorizationInterceptor en JBoss Enterprise Application Platform (tambien conocido como JBoss EAP o JBEAP) anteriores a v6.0.1, autoriza todas las peticiones cuando no están permitidos los roles para la invocación del método Enterprise Java Beans (EJB), lo…

Vulnerabilidad no especificada en el componente de IBM HTTP Server v5.3 en IBM WebSphere Application Server (WAS) para z/OS permite a atacantes remotos ejecutar código arbitrario a través de vectores desconocidos.

El JBoss Server en JBoss Enterprise Application Platform v5.1.x anterior a v5.1.2 y v5.2.x anterior a v5.2.2, Web Platform anterior a v5.1.2, BRMS Platform anterior a v5.3.0, y SOA Platform anterior a v5.3.0, cuando el servidor está configurado para utilizar el JaccAuthorizationRealm y la propiedad ignoreBaseDecision…

El (1) servicio JNDI, (2) servicio HA-JNDI, y (3) servlet HAJNDIFactory en JBoss Enterprise Application Platform v4.3.0 CP10 y v5.1.2, Web Platform v5.1.2, SOA Platform v4.2.0.CP05 y v4.3.0.CP05, Portal Platform 4.3 CP07 y v5.2.x anterior a v5.2.2, y BRMS Platform anterior v5.3.0 no restringe correctamente el acceso…

Los servlets invocados por httpha-invoker en JBoss Enterprise Application Platform anterior a v5.1.2, SOA Platform anterior a v5.2.0, BRMS Platform anterior a v5.3.0, y Portal Platform anterior a v4.3 CP07 lleva a cabo el control de acceso sólo para los métodos GET y POST, lo que permite a atacantes remotos evitar la…

Una vulnerabilidad de falsificación de peticiones en sitios cruzados (CSRF) en IBM WebSphere Application Server v6.1 antes de v6.1.0.45, v7.0 antes de v7.0.0.25, v8.0 antes de v8.0.0.5 y v8.5 antes de v8.5.0.1 permite a los atacantes remotos secuestrar la autenticación de usuarios de su elección para peticiones…

Una vulnerabilidad de ejecución de comandos en sitios cruzados (XSS) en IBM WebSphere Application Server v8.5 Liberty Profile antes de v8.5.0.1 permite a atacantes remotos inyectar secuencias de comandos web o HTML a través de un URI diseñada para tal fin.

IBM WebSphere Application Server v8.5 Liberty Profile antes de v8.5.0.1, cuando se usa JAX-RS, no valida correctamente las solicitudes, lo que permite a atacantes remotos obtener privilegios a través de vectores no especificados.

El servidor proxy en IBM WebSphere Application Server v7.0 antes de v7.0.0.27, v8.0 antes de v8.0.0.5 y v8.5 antes de v8.5.0.1 y WebSphere Virtual Enterprise, permite a atacantes remotos provocar una denegación de servicio (parada del demonio) a través de una solicitud modificada.

mod_cluster v1.0.10 antes de v1.0.10 CPO3 y v1.1.x antes de v1.1.4, como cuando se utiliza en JBoss Enterprise Application Platform v5.1.2, cuando se pone "ROOT" en excludedContexts, expone el contexto de root del servidor, lo que permite a atacantes remotos eludir las restricciones de acceso y obtener acceso a las…

El cliente de EMC NetWorker Module para Microsoft Applications (NMM) v2.2.1, v2.3 anterior al build v122, y v2.4 anterior al build 375 permite a atacantes remotos ejecutar código arbitrario mediante el envío de un mensaje elaborado por un canal de comunicación TCP.

El proceso del (1) instalación and (2) actualización en EMC NetWorker Module para Microsoft Applications (NMM) v2.2.1, v2.3 anterior al build v122, y v2.4 anterior al build v375, cuando el Exchange Server es usado, permite a usuarios locales leer las credenciales del administrador en texto plano mediante vectores…

Vulnerabilidad no especificada en el componente Oracle Central Designer en Oracle Industry Applications v1.3, v1.4, y v1.4.2 permite a atacantes remotos afectar la confidencialidad, integridad y disponibilidad a través de vectores desconocidos.

Vulnerabilidad no especificada en el componente MySQL Server en Oracle MySQL v5.1.64 y anteriores, y v5.5.26 y anteriores, permite a usuarios remotos autenticados a afectar la confidencialidad, integridad y disponibilidad a través de vectores desconocidos relacionados con Information Schema.

Vulnerabilidad no especificada en el componente CORBA ORB de Sun GlassFish Enterprise Server v2.1.1, Sun GlassFish Enterprise Server v3.0.1 y v3.1.2 y Sun Java Application Server System v8.1 y v8.2 permite a atacantes remotos afectar a la disponibilidad, en relación con CORBA ORB.

Una vulnerabilidad no especificada en el componente Oracle Clinical/remote Data Capture en Oracle Industry Applications v4.6.0 y v4.6.2 permite a usuarios remotos autenticados afectar a la confidencialidad. Es una vulnerabilidad que está relacionada con HTML envolvente.