Vulnerabilidades

Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Antes de las versiones 8.6.9 y 9.5.0-alpha.9, el endpoint de metadatos de archivos (GET /files/:appId/metadata/:filename) no aplica los triggers de archivo beforeFind / afterFind. Cuando estos…

Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Antes de las versiones 8.6.8 y 9.5.0-alpha.8, la ruta de servicio de archivos estáticos de PagesRouter es vulnerable a un ataque de salto de ruta que permite la lectura no autenticada de…

Soft Serve es un servidor Git autoalojable para la línea de comandos. Desde la versión 0.6.0 hasta antes de la versión 0.11.4, un usuario SSH autenticado puede forzar al servidor a realizar solicitudes HTTP a direcciones IP internas/privadas ejecutando repo import con una URL --lfs-endpoint manipulada. La solicitud de…

Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Antes de las versiones 8.6.7 y 9.5.0-alpha.6, un parámetro de consulta $regex malformado (por ejemplo, [abc) hace que la base de datos devuelva un objeto de error estructurado que se pasa sin…

Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Antes de las versiones 8.6.6 y 9.5.0-alpha.4, la readOnlyMasterKey puede llamar a POST /loginAs para obtener un token de sesión válido para cualquier usuario. Esto permite a una credencial de…

Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Antes de las versiones 8.6.5 y 9.5.0-alpha.3, la readOnlyMasterKey puede ser utilizada para crear y eliminar archivos a través de la API de Archivos (POST /files/:filename, DELETE…

Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Antes de las versiones 8.6.4 y 9.4.1-alpha.3, la opción readOnlyMasterKey de Parse Server permite el acceso con privilegios de lectura a nivel maestro, pero está documentada para denegar todas…

@hono/node-server permite ejecutar la aplicación Hono en Node.js. Antes de la versión 1.19.10, al usar el servicio de archivos estáticos de @hono/node-server junto con protecciones de middleware basadas en rutas (por ejemplo, protegiendo /admin/*), una decodificación de URL inconsistente puede permitir que los…

Mongoose Servidor Web 6.9 contiene una vulnerabilidad de denegación de servicio que permite a atacantes remotos colapsar el servicio estableciendo múltiples conexiones de socket. Los atacantes pueden crear repetidamente conexiones al puerto predeterminado y enviar datos malformados para agotar los recursos del…

ServerZilla 1.0 contiene una vulnerabilidad de inyección SQL que permite a atacantes no autenticados manipular consultas de base de datos inyectando código SQL a través del parámetro de correo electrónico. Los atacantes pueden enviar solicitudes POST a reset.php con valores de correo electrónico maliciosos que…

Vulnerabilidad de transmisión en texto claro de información sensible en rustdesk-server-pro RustDesk Server Pro rustdesk-server-pro en Windows, MacOS, Linux (Módulos de API de sincronización de libreta de direcciones) permite ataques de sniffing. Esta vulnerabilidad está asociada con archivos de programa de código…

Vulnerabilidad por uso de un algoritmo criptográfico defectuoso o inseguro en rustdesk-server-pro RustDesk Server Pro rustdesk-server-pro en Windows, MacOS y Linux (generación de cadenas de configuración, módulos de exportación de la consola web) permite recuperar datos confidenciales incrustados. Esta vulnerabilidad…

En las versiones afectadas de Octopus Server era posible crear una nueva clave de API a partir de un token de acceso existente, lo que resultaba en que la nueva clave de API tuviera una vida útil que excedía la clave de API original utilizada para generar el token de acceso.

Una vulnerabilidad de control de acceso inadecuado en el kernel de SUSE SUSE Linux Enterprise Server 12 SP5 rompe nftables, haciendo que las reglas del cortafuegos aplicadas a través de nftables no sean efectivas. Este problema afecta a SUSE Linux Enterprise Server: desde 9e6d9d4601768c75fdb0bad3fbbe636e748939c2 antes…

Omisión de autenticación en el modo de autenticación de Microsoft Entra ID (Azure AD) en Devolutions Server 2025.3.15.0 y versiones anteriores permite a un usuario no autenticado autenticarse como un usuario arbitrario de Entra ID mediante un JSON Web Token (JWT) falsificado.

Validación de entrada incorrecta en la página de mensajes de error en Devolutions Server 2025.3.15 y versiones anteriores permite a atacantes remotos suplantar el mensaje de error mostrado a través de una URL especialmente diseñada.

Aplicación incorrecta de controles de comportamiento en Devolutions Server 2025.3.15 y versiones anteriores permite a un atacante autenticado con el permiso de eliminación eliminar una cuenta PAM que está actualmente extraída seleccionándola junto con al menos una cuenta no extraída y realizando una eliminación masiva.

IBM InfoSphere Information Server 11.7.0.0 hasta 11.7.1.6 Una vulnerabilidad de Entidad Externa XML (XXE) en IBM InfoSphere Information Server podría permitir a los atacantes recuperar información sensible del servidor.

Se detectó una vulnerabilidad en PhialsBasement nmap-mcp-server hasta bee6d23547d57ae02460022f7c78ac0893092e38. Este problema afecta a la función child_process.exec del archivo src/index.ts del componente Nmap CLI Gestor de Comandos. La manipulación da como resultado una inyección de comandos. El ataque puede…

IBM InfoSphere Information Servidor 11.7.0.0 hasta 11.7.1.6 es vulnerable a la escritura de información sensible en un archivo de registro.

IBM WebSphere Application Server - Liberty 17.0.0.3 hasta 26.0.0.2 IBM WebSphere Application Server Liberty podría proporcionar seguridad inferior a la esperada al usar la Utilidad de Seguridad al administrar la configuración de seguridad.

Una vulnerabilidad remota de omisión de autenticación existe en el Servidor de Licencias HPE AutoPass (APLS).

TerriaJS-Server es un servidor NodeJS Express para TerriaJS, una biblioteca para construir exploradores de datos geoespaciales basados en la web. Un error de validación en versiones anteriores a la 4.0.3 permite a un atacante hacer proxy de dominios no permitidos explícitamente en la configuración 'proxyableDomains'.…

Parse Server es un backend de código abierto que puede implementarse en cualquier infraestructura que pueda ejecutar Node.js. Antes de las versiones 8.6.3 y 9.1.1-alpha.4, un atacante no autenticado puede falsificar un token de autenticación de Google con 'alg: "none"' para iniciar sesión como cualquier usuario…

Servidores de Protocolo de Contexto de Modelo es una colección de implementaciones de referencia para el protocolo de contexto de modelo (MCP). En versiones de mcp-server-git anteriores a 2026.1.14, la herramienta git_add no validaba que las rutas de archivo proporcionadas en el argumento files estuvieran dentro de…