Vulnerabilidades

Esta vulnerabilidad en Veeam Agent for Microsoft Windows permite una escalada de privilegios local.

Microsoft UFO es un framework de código abierto para la automatización inteligente en dispositivos y plataformas. En la versión 3.0.1-4-ge2626659, Microsoft UFO acepta valores de session_id proporcionados por el cliente en los mensajes de tarea de WebSocket y reutiliza un objeto de sesión ya existente en memoria si…

Microsoft UFO, marco de código abierto para la automatización inteligente en dispositivos y plataformas. En 3.0.1-4-ge2626659, el cliente de constelación de Microsoft UFO registra las respuestas de tareas pendientes solo por session_id y no verifica que un mensaje TASK_END proceda del dispositivo que recibió…

Microsoft UFO es un framework de código abierto para la automatización inteligente en dispositivos y plataformas. En la versión 3.0.1-4-ge2626659, Microsoft UFO crea una única instancia compartida de UFOWebSocketHandler y la reutiliza para varias conexiones WebSocket autenticadas. El manejador almacena los objetos de…

Microsoft UFO, framework de código abierto para la automatización inteligente en dispositivos y plataformas. En 3.0.1-4-ge2626659, el plano de control WebSocket de Microsoft UFO confía en los campos de identidad y rol suministrados por el cliente en los mensajes de tarea. Una conexión de cliente puede registrarse como…

Microsoft UFO, marco de trabajo de código abierto para la automatización inteligente entre dispositivos y plataformas. En 3.0.1-4-ge2626659, Microsoft UFO utiliza directamente el valor task_name controlado por el usuario al construir las rutas de los registros de sesión. Un cliente autenticado puede proporcionar…

Microsoft UFO, framework de código abierto para la automatización inteligente entre dispositivos y plataformas. Las versiones etiquetadas de Microsoft UFO hasta la v3.0.0 inclusive contienen una vulnerabilidad de inyección de comandos del sistema operativo en la ruta de reproducción de acciones de shell. En las…

NitroSense 3.x anterior a 3.01.3052 contiene una vulnerabilidad de escalada de privilegios local (LPE). El programa expone una Named Pipe de Windows que utiliza un protocolo personalizado para invocar funciones internas. Sin embargo, esta Named Pipe está mal configurada, permitiendo a cualquier usuario local…

Autenticación indebida en Azure Resource Manager (ARM) permite a un atacante no autorizado elevar privilegios sobre una red.

La deserialización de datos no confiables en Microsoft Office SharePoint permite a un atacante autorizado ejecutar código a través de una red.

Error de validación de origen en Microsoft Entra ID permite a un atacante no autorizado elevar privilegios sobre una red.

Neutralización incorrecta de elementos especiales utilizados en un comando ('inyección de comandos') en M365 Copilot permite a un atacante no autorizado divulgar información a través de una red.

Deserialización de datos no confiables en Microsoft Planetary Computer Pro permite a un atacante no autorizado divulgar información a través de una red.

Neutralización incorrecta de elementos especiales utilizados en un comando ('inyección de comandos') en Microsoft Copilot permite a un atacante no autorizado realizar alteraciones a través de una red.

Carga irrestricta de archivo con tipo peligroso en Azure Orbital Spatio permite a un atacante no autorizado ejecutar código a través de una red.

Validación de entrada incorrecta en Azure Virtual Network Gateway permite a un atacante autorizado ejecutar código a través de una red.

Omisión de autorización mediante clave controlada por el usuario en Azure Privileged Identity Management (PIM) permite a un atacante autorizado elevar privilegios sobre una red.

Omisión de autenticación utilizando una ruta o canal alternativo en Microsoft Azure Active Directory B2C permite a un atacante no autorizado elevar privilegios a través de una red.

Validación de entrada indebida en Azure Compute Gallery permite a un atacante autorizado divulgar información a través de una red.

Gestión inadecuada de privilegios en Azure Entra ID permite a un atacante no autorizado elevar privilegios sobre una red.

Neutralización incorrecta de elementos especiales utilizados en un comando ('inyección de comandos') en Microsoft Power Pages permite a un atacante no autorizado ejecutar código a través de una red.

Una vulnerabilidad de cross-site scripting (XSS) en la función de Componentes Dinámicos de SketchUp 2026 permite la ejecución remota de código y la exfiltración de archivos locales a través de archivos SKP creados maliciosamente. La vulnerabilidad se origina por una sanitización de entrada inadecuada en la ventana de…

Desbordamiento de búfer basado en montículo en Microsoft Defender permite a un atacante no autorizado ejecutar código a través de una red.

Vulnerabilidad de denegación de servicio de Microsoft Defender

Resolución de enlace incorrecta antes del acceso a archivos (seguimiento de enlaces) en Azure Portal Windows Admin Center permite a un atacante autorizado elevar privilegios localmente.