Vulnerabilidades

Nanobot anterior a la versión 0.2.1 contiene una vulnerabilidad de falsificación de petición del lado del servidor en el gestor de canal de Microsoft Teams que permite a atacantes remotos exfiltrar tokens portadores de Bot Framework al proporcionar una actividad falsificada con un valor serviceUrl controlado por el…

La deserialización de datos no confiables en Microsoft Office SharePoint permite a un atacante autorizado ejecutar código a través de una red.

La aplicación de escritorio StrongDM anterior a la versión 23.74.0 (Cliente de escritorio anterior a la versión 53.77.0) en Microsoft Windows almacena el estado de autenticación, incluyendo un JSON Web Token y material de clave asimétrica, en texto claro en un archivo de estado por usuario ubicado en…

Esta vulnerabilidad en Veeam Agent for Microsoft Windows permite una escalada de privilegios local.

Microsoft UFO es un framework de código abierto para la automatización inteligente en dispositivos y plataformas. En la versión 3.0.1-4-ge2626659, Microsoft UFO acepta valores de session_id proporcionados por el cliente en los mensajes de tarea de WebSocket y reutiliza un objeto de sesión ya existente en memoria si…

Microsoft UFO, marco de código abierto para la automatización inteligente en dispositivos y plataformas. En 3.0.1-4-ge2626659, el cliente de constelación de Microsoft UFO registra las respuestas de tareas pendientes solo por session_id y no verifica que un mensaje TASK_END proceda del dispositivo que recibió…

Microsoft UFO es un framework de código abierto para la automatización inteligente en dispositivos y plataformas. En la versión 3.0.1-4-ge2626659, Microsoft UFO crea una única instancia compartida de UFOWebSocketHandler y la reutiliza para varias conexiones WebSocket autenticadas. El manejador almacena los objetos de…

Microsoft UFO, framework de código abierto para la automatización inteligente en dispositivos y plataformas. En 3.0.1-4-ge2626659, el plano de control WebSocket de Microsoft UFO confía en los campos de identidad y rol suministrados por el cliente en los mensajes de tarea. Una conexión de cliente puede registrarse como…

Microsoft UFO, marco de trabajo de código abierto para la automatización inteligente entre dispositivos y plataformas. En 3.0.1-4-ge2626659, Microsoft UFO utiliza directamente el valor task_name controlado por el usuario al construir las rutas de los registros de sesión. Un cliente autenticado puede proporcionar…

Microsoft UFO, framework de código abierto para la automatización inteligente entre dispositivos y plataformas. Las versiones etiquetadas de Microsoft UFO hasta la v3.0.0 inclusive contienen una vulnerabilidad de inyección de comandos del sistema operativo en la ruta de reproducción de acciones de shell. En las…

Autenticación indebida en Azure Resource Manager (ARM) permite a un atacante no autorizado elevar privilegios sobre una red.

La deserialización de datos no confiables en Microsoft Office SharePoint permite a un atacante autorizado ejecutar código a través de una red.

Error de validación de origen en Microsoft Entra ID permite a un atacante no autorizado elevar privilegios sobre una red.

Neutralización incorrecta de elementos especiales utilizados en un comando ('inyección de comandos') en M365 Copilot permite a un atacante no autorizado divulgar información a través de una red.

Deserialización de datos no confiables en Microsoft Planetary Computer Pro permite a un atacante no autorizado divulgar información a través de una red.

Neutralización incorrecta de elementos especiales utilizados en un comando ('inyección de comandos') en Microsoft Copilot permite a un atacante no autorizado realizar alteraciones a través de una red.

Carga irrestricta de archivo con tipo peligroso en Azure Orbital Spatio permite a un atacante no autorizado ejecutar código a través de una red.

Validación de entrada incorrecta en Azure Virtual Network Gateway permite a un atacante autorizado ejecutar código a través de una red.

Omisión de autorización mediante clave controlada por el usuario en Azure Privileged Identity Management (PIM) permite a un atacante autorizado elevar privilegios sobre una red.

Omisión de autenticación utilizando una ruta o canal alternativo en Microsoft Azure Active Directory B2C permite a un atacante no autorizado elevar privilegios a través de una red.

Validación de entrada indebida en Azure Compute Gallery permite a un atacante autorizado divulgar información a través de una red.

Gestión inadecuada de privilegios en Azure Entra ID permite a un atacante no autorizado elevar privilegios sobre una red.

Neutralización incorrecta de elementos especiales utilizados en un comando ('inyección de comandos') en Microsoft Power Pages permite a un atacante no autorizado ejecutar código a través de una red.

Una vulnerabilidad de cross-site scripting (XSS) en la función de Componentes Dinámicos de SketchUp 2026 permite la ejecución remota de código y la exfiltración de archivos locales a través de archivos SKP creados maliciosamente. La vulnerabilidad se origina por una sanitización de entrada inadecuada en la ventana de…

Desbordamiento de búfer basado en montículo en Microsoft Defender permite a un atacante no autorizado ejecutar código a través de una red.