Vulnerabilidades

Un usuario con el rol de escritor en un espacio de nombres controlado por un atacante podría enviar señales, eliminar y restablecer flujos de trabajo o actividades en un espacio de nombres de la víctima dentro del mismo clúster. La explotación requiere que el atacante conozca o adivine el/los ID de flujo de trabajo…

Control de acceso inadecuado en la API de gestión de la autenticación multifactor (MFA) de Devolutions Server permite a un atacante autenticado eliminar sus propios factores MFA configurados y reducir la protección de la cuenta a la autenticación solo con contraseña mediante solicitudes HTTP manipuladas. Este problema…

La validación de entrada incorrecta en la función de comprobación de estado de la puerta de enlace de Devolutions Server permite a un usuario autenticado con pocos privilegios realizar una falsificación de peticiones en el lado del servidor (SSRF), lo que podría provocar la divulgación de información, mediante una…

Exposición de información sensible en la función de MFA de usuarios de Devolutions Server permite a los usuarios con privilegios de gestión de usuarios obtener las claves OTP de otros usuarios mediante una solicitud de API autenticada. Este problema afecta a Server: desde la 2026.1.6 hasta la 2026.1.11.

El control de acceso inadecuado en la función de MFA de los usuarios de Devolutions Server permite a un usuario autenticado eludir las restricciones impuestas por el administrador y eliminar su propia configuración de autenticación multifactor (MFA) mediante una solicitud manipulada. Este problema afecta a Server:…

Autenticación incorrecta en la función de autenticación de dos factores (2FA) de Devolutions Server 2026.1.11 y versiones anteriores permite a un atacante remoto con credenciales válidas eludir la autenticación multifactor y obtener acceso no autorizado a la cuenta de la víctima mediante la reutilización de un token…

Autenticación inadecuada en el flujo de autenticación OAuth externo de Devolutions Server 2026.1.11 y anteriores, que permite a un usuario autenticado suplantar a otros usuarios, incluidos los administradores, mediante la reutilización de un código de sesión procedente de un flujo de autenticación externo.

Autenticación incorrecta en la funcionalidad de inicio de sesión OAuth de Devolutions Server 2026.1.11 y versiones anteriores permite a un atacante remoto con credenciales válidas eludir la autenticación multifactor mediante una solicitud de inicio de sesión manipulada.

Vulnerabilidad de falsificación de petición del lado del servidor (SSRF) ciega en los métodos de conexión heredados de las funciones de coautoría de documentos de M-Files Server anteriores a la 26.3, que permite a un atacante no autenticado hacer que el servidor envíe peticiones HTTP GET a URL arbitrarias.

IBM Storage Protect Server 8.2.0 IBM Storage Protect Plus Server es vulnerable a inyección SQL. Un atacante remoto podría enviar sentencias SQL especialmente diseñadas, lo que podría permitir al atacante ver, añadir, modificar o eliminar información en la base de datos de back-end.

Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Antes de las versiones 8.6.71 y 9.7.1-alpha.1, las descargas de archivos a través de solicitudes HTTP Range eluden el disparador afterFind(Parse.File) y sus validadores en adaptadores de…

Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Antes de las versiones 8.6.63 y 9.7.0-alpha.7, el endpoint de verificación de contraseña devuelve datos de autenticación no saneados, incluyendo secretos TOTP de MFA, códigos de recuperación y…

Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Antes de las versiones 8.6.70 y 9.7.0-alpha.18, un usuario autenticado con permiso de nivel de clase 'find' puede eludir la configuración de permiso de nivel de clase 'protectedFields' en las…

Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Antes de las versiones 8.6.69 y 9.7.0-alpha.14, un usuario autenticado puede eludir la protección de inmutabilidad en los campos de sesión (expiresAt, createdWith) enviando un valor nulo en…

Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Antes de las versiones 8.6.68 y 9.7.0-alpha.12, el validador de complejidad de consultas GraphQL puede ser explotado para causar una denegación de servicio enviando una consulta manipulada con…

Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Antes de las versiones 8.6.67 y 9.7.0-alpha.11, un atacante puede eludir los controles de acceso del validador de Cloud Function al añadir 'prototype.constructor' al nombre de la función en la…

Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Antes de las versiones 8.6.66 y 9.7.0-alpha.10, el endpoint de la API GraphQL no respeta la opción del servidor allowOrigin y permite incondicionalmente solicitudes de origen cruzado desde…

Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Antes de las versiones 8.6.65 y 9.7.0-alpha.9, cuando múltiples clientes se suscriben a la misma clase a través de LiveQuery, los manejadores de eventos procesan a cada suscriptor…

Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Antes de las versiones 8.6.64 y 9.7.0-alpha.8, un atacante que posee un token de proveedor de autenticación válido y un único código de recuperación MFA o una contraseña de un solo uso por SMS…

Se encontró un fallo en la biblioteca gdk-pixbuf. Esta vulnerabilidad de desbordamiento de búfer basado en montículo ocurre en el cargador de imágenes JPEG debido a una validación incorrecta del recuento de componentes de color al procesar una imagen JPEG especialmente diseñada. Un atacante remoto puede explotar este…

Vulnerabilidad de Cross-Site Scripting (XSS) Reflejado en Anon Proxy Server v0.104. Esta vulnerabilidad permite a un atacante ejecutar código JavaScript en el navegador de la víctima al enviarle una URL maliciosa. Esta vulnerabilidad puede ser explotada para robar datos sensibles del usuario, como cookies de sesión, o…

Vulnerabilidad de cross-site scripting (XSS) reflejado en Anon Proxy Server v0.104. Esta vulnerabilidad permite a un atacante ejecutar código JavaScript en el navegador de la víctima al enviarle una URL maliciosa. Esta vulnerabilidad puede ser explotada para robar datos sensibles del usuario, como cookies de sesión, o…

Vulnerabilidad de cross-site scripting (XSS) reflejado en Anon Proxy Server v0.104. Esta vulnerabilidad permite a un atacante ejecutar código JavaScript en el navegador de la víctima enviándole una URL maliciosa. Esta vulnerabilidad puede ser explotada para robar datos sensibles del usuario, como cookies de sesión, o…

Múltiples vulnerabilidades de cross-site scripting (XSS) almacenadas en la función de Edición de la página de Lista de Paquetes de Software de IngEstate Server v11.14.0 permiten a los atacantes ejecutar scripts web arbitrarios o HTML mediante la inyección de una carga útil manipulada en los parámetros About…

NetworkActiv Web Server 4.0 contiene una vulnerabilidad de desbordamiento de búfer en el campo de nombre de usuario de las opciones de Seguridad que permite a atacantes locales bloquear la aplicación al proporcionar una cadena excesivamente larga. Los atacantes pueden desencadenar una denegación de servicio al…