Vulnerabilidades

Múltiples vulnerabilidades de XSS en Websense TRITON AP-DATA anterior a 8.0.0 permiten a atacantes remotos inyectar secuencias de comandos web arbitrarios o HTML a través de vectores no especificados en el catálogo de informes de DSS (1) Mobile o (2) DLP.

Vulnerabilidad no especificada en Websense TRITON AP-EMAIL anterior a 8.0.0 tiene un impacto y vectores de ataque desconocidos, relacionado con el puerto 17703.

Websense TRITON AP-WEB anterior a 8.0.0 permite a atacantes remotos enumerar cuentas de usuarios del dominio de Windows a través de vectores relacionados con la autenticación HTTP.

Vulnerabilidad de XSS en las páginas de excepciones y excepciones de escaneo en Websense TRITON AP-WEB anterior a 8.0.0 permite a atacantes remotos inyectar cuencias de comandos web arbitrarios o HTML a través de vectores no especificados.

Accesorios Websense TRITON V-Series en versiones anteriores a 7.8.3 Hotfix 03 y 7.8.4 en versiones anteriores a Hotfix 01 permiten a administradores remotos leer archivos arbitrarios y obtener contraseñas a través de una ruta manipulada.

Websense TRITON AP-WEB anterior a 8.0.0 no restringe correctamente el acceso a ficheros en explorer_wse/, lo que permite a atacantes remotos obtener información sensible a través de una solicitud directa a (1) un informe de incidentes de Web Security o (2) el fichero de configuración de Explorer (websense.ini).

Múltiples vulnerabilidades de XSS en la previsualización del análisis forense de incidentes de Data Loss Prevention (DLP) en Websense Triton 7.8.3 y las aplicaciones de la serie V 7.7 permiten a atacantes remotos inyectar secuencias de comandos web arbitrarios o HTML a través de una solicitud (1) email o (2) HTTP…

La herramienta de la diagnóstica de la red (CommandLineServlet) la utilidad de líneas de comandos (CLU) de Appliance Manager en Websense TRITON 7.8.3 y las aplicaciones de la serie V anterior a 7.8.4 Hotfix 02 permite a usuarios remotos autenticados ejecutar comandos arbitrarios a través de metacaracteres de shell en…

Múltiples vulnerabilidades de XSS en Websense TRITON AP-WEB anterior a 8.0.0 y las aplicaciones de la serie V 7.7 permiten a atacantes remotos inyectar secuencias de comandos web arbitrarios o HTML a través (1) dews-userip en el parámetro ws-encdata en cve-bin/moreBlockInfo.cgi en la página de bloqueo de la seguridad…

Vulnerabilidad de XSS en el registro de mensajes en el componente Email Security Gateway en Websense TRITON AP-EMAIL anterior a 8.0.0 y las aplicaciones de la serie V 7.7 permite a atacantes remotos inyectar secuencias de comandos web arbitrarios o HTML a través de la dirección de envío en un email.

Múltiples vulnerabilidades de XSS en los informes investigativos en Websense TRITON AP-WEB anterior a 8.0.0 y Web Security and Filter, Web Security Gateway, y Web Security Gateway Anywhere 7.8.3 anterior a Hotfix 02 y 7.8.4 anterior a Hotfix 01 permiten a atacantes remotos inyectar secuencias de comandos web…

Desbordamiento de enteros en FreeBSD anterior a 8.4 p24, 9.x anterior a 9.3 p10. 10.0 anterior a p18, y 10.1 anterior a p6 permite a atacantes remotos causar una denegación de servicio (caída) a través de un paquete IGMP, lo que provoca un cálculo de tamaño incorrecto y una reserva de memoria insuficiente.

Condición de carrera en la implementación SSL en los dispositivos Cisco Intrusion Prevention System (IPS) permite a atacantes remotos causar una denegación de servicio al hacer muchas conexiones HTTPS de la interfaz de gestión durante la fase de la regeneración de claves de una actualización, también conocido como Bug…

VDG Security SENSE (anteriormente DIVA) 2.3.13 almacena las credenciales de los administradores en texto plano, lo que permite a atacantes remotos obtener información sensible mediante la lectura de los ficheros de las configuraciones de plugins.

VDG Security SENSE (anteriormente DIVA) 2.3.13 realiza la autenticación con un hash de contraseña en lugar de una contraseña, lo que permite a atacantes remotos obtener acceso de inicio de sesión aprovechando el conocimiento de un hash de contraseña.

VDG Security SENSE (anteriormente DIVA) 2.3.13 envia la base de datos de usuarios cuando un usuarios inicia sesión, lo que permite a usuarios remotos autenticados obtener nombres de usuarios y hashes de contraseñas mediante el inicio de sesión en el puerto TCP 51410 y la lectura de la respuesta.

VDG Security SENSE (anteriormente DIVA) 2.3.13 tiene una contraseña embebida de (1) ArpaRomaWi para la cuenta root Postgres y !DVService para las cuentas de usuarios de (2) postgres y (3) NTP Windows, lo que permite a atacantes remotos obtener el acceso.

VDG Security SENSE (anteriormente DIVA) anterior a 2.3.15 permite a atacantes remotos evadir la autenticación, y como consecuencia leer y modificar configuraciones arbitrarias de plugins, a través de un caracter : (dos puntos) codificado en la cabecera Authorization HTTP.

Vulnerabilidad de salto de directorio en VDG Security SENSE (anteriormente DIVA) 2.3.13 permite a atacantes remotos leer ficheros arbitrarios a través de un .. (punto punto) en la URI por defecto en images/.

Múltiples desbordamientos de buffer basado en pila en la API del servicio web de DIVA (/webservice) en VDG Security SENSE (anteriormente DIVA) 2.3.13 permiten a atacantes remotos ejecutar código arbitrario a través del parámetro (1) user o (2) password en una solicitud AuthenticateUser.

El componente de seguridad en Symfony 2.0.x anterior a 2.0.25, 2.1.x anterior a 2.1.13, 2.2.x anterior a 2.2.9, y 2.3.x anterior a 2.3.6 permite a atacantes remotos causar una denegación de servicio (consumo de CPU) a través de una contraseña larga que lanza un hash con alta carga de computación, como lo demuestra el…

Vulnerabilidad de XSS en el plugin WhyDoWork AdSense 1.2 para WordPress permite a atacantes remotos inyectar secuencias de comandos web o HTML arbitrarios a través del parámetro idcode en la página whydowork_adsense en wp-admin/options-general.php.

Vulnerabilidad de CSRF en el plugin WhyDoWork AdSense 1.2 para WordPress permite a atacantes remotos secuestrar la autenticación de administradores para solicitudes que tienen un impacto no especificado a través de una solicitud a la página whydowork_adsense en wp-admin/options-general.php.

La aplicación klassens (también conocido como com.mcreda.klassens.apps) 1.0 para Android no verifica los certificados X.509 de los servidores SSL, lo que permite a atacantes man-in-the-middle falsificar servidores y obtener información sensible a través de un certificado manipulado.

La aplicación LocalSense 1.2.1 para Android (también conocida como com.LocalSense) no verifica los certificados X.509 de los servidores SSL, lo que permite a atacantes man-in-the-middle falsificar servidores y obtener información sensible a través de un certificado manipulado.