Vulnerabilidades

Vulnerabilidad de falsificación de peticiones en sitios cruzados (CSRF) en IBM Maximo Asset Management 6.2 a 7.5, tal como se utiliza en la Mesa de Control SmartCloud, Gestión de Activos de TI de Tivoli, Tivoli Service Request, Información Maximo Service, y el cambio y la base de datos de administración de…

Múltiples vulnerabilidades de falsificación de petición en sitios cruzados (CSRF) en ownCloud anterior a v4.0.5, permite a atacantes remotos secuestrar la autenticación de víctimas no especificadas mediante vectores desconocidos(1) .

appconfig.php en ownCloud anterior a v4.0.6 no restringe correctamente el acceso, lo que permite a usuarios remotos autenticados editar las configuraciones de aplicaciones a través de vectores no especificados. NOTA: esto puede ser aprovechado por atacantes no autenticados remotos usando CVE-2012-4393.

Múltiples vulnerabilidades de ejecución de secuencias de comandos en sitios cruzados (XSS) en ownCloud anterior a v4.0.1 permite a atacantes remotos inyectar secuencias de comandos web o HTML a través del displayname calendar para part.choosecalendar.rowfields.php o (2) part.choosecalendar.rowfields.shared.php en…

Múltiples vulnerabilidades de ejecución de secuencias de comandos en sitios cruzados (XSS) en ownCloud anterior a v4.0.2, permite a atacantes remotos inyectar secuencias de comandos web o HTML a través de (1) nombre de ficheros para apps/user_ldap/settings.php; (2) url o (3) parámetro título para…

Múltiples vulnerabilidades de ejecución de secuencias de comandos en sitios cruzados (XSS) en ownCloud anterior a v4.0.3, permite a atacantes remotos inyectar secuencias de comandos web o HTML a través del parámetro redirect_url

Múltiples vulnerabilidades de ejecución de secuencias de comandos en sitios cruzados (XSS) en apps/files/js/filelist.js en ownCloud anterior a v4.0.5, permite a atacantes remotos inyectar secuencias de comandos web o HTML a través del parámetro file

Múltiples vulnerabilidades de ejecución de secuencias de comandos en sitios cruzados en ownCloud anterior a v4.0.6 permite a atacantes remotos secuestrar la autenticación de usuarios arbitrarios para las solicitudes que utilizan (1) addBookmark.php, (2) delBookmark.php, o (3) editBookmark.php en bookmarks/ajax/; (4)…

index.php en ownCloud v4.0.7 no valida correctamente la cookie oc_token, permitiendo a atacantes remotos evitar la autenticación a través de una cookie oc_token hecha a mano.

Vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) en ownCloud anterior a v4.0.7, permite a atacantes remotos secuestrar la autenticación de los administradores para solicitudes que editan la configuración de la app.

(1) apps/calendar/appinfo/remote.php y (2) apps/contacts/appinfo/remote.php en ownCloud anterior a v4.0.7 permite a usuarios remotos autenticados enumerar los usuarios registrados mediante vectores desconocidos.

Vulnerabilidad de incompatibilidad en lib/migrate.php en ownCloud anterior a v4.0.7 permite a atacantes remotos ejecutar código arbitrario mediante la carga de un archivo .htaccess en un archivo import.zip y el acceso a un archivo PHP cargado.

EMC Cloud Tiering Appliance (también conocido como CTA, formerly FMA) v9.0 y anteriores, y Cloud Tiering Appliance Virtual Edition (CTA/VE) v9.0 y anteriores, permite a atacantes remotos obtener acceso de administrador GUI enviando un fichero manipulado durante la fase de autenticación.

Redland Raptor (también conocido como libraptor) anterior a v2.0.7, utilizado por OpenOffice v3.3 y v3.4 Beta, LibreOffice anterior a v3.4.6 y v3.5.x anterior a v3.5.1, y otros productos, permite a atacantes remotos asistidos por el usuario leer archivos arbitrarios a través de una declaración de entidad externa (XXE)…

sapi/cgi/cgi_main.c en PHP antes de v5.3.12 y v5.4.x antes de v5.4.2, cuando se configura como un script CGI (también conocido como php-cgi), no maneja correctamente las cadenas de consulta que carecen de un carácter = (signo igual), lo que permite a atacantes remotos ejecutar código arbitrario mediante la colocación…

Una vulnerabilidad de ejecución de comandos en sitios cruzados (XSS) en los fiels/ajax/download.php en ownCloud v3.0.2 permite a atacantes remotos inyectar secuencias de comandos web o HTML a través del parámetro 'files', una vulnerabilidad diferente a la CVE-2012-2269.4. NOTA: la procedencia de esta información es…

Una vulnerabilidad de falsificación de peticiones en sitios cruzados (CSRF) en ownCloud v3.0.2 permite a atacantes remotos secuestrar la autenticación de usuarios de su elección para las solicitudes que insertan secuencias de comandos en sitios cruzados (XSS) a través de vectores relacionados con los contactos. NOTA:…

Una vulnerabilidad de redirección abierta en index.php (es decir, la Página de Inicio) en ownCloud v3.0.0 permite a atacantes remotos redirigir a los usuarios a sitios web de su elección y llevar a cabo ataques de phishing a través de una URL en el parámetro REDIRECT_URL.

Múltiples vulnerabilidades de ejecución de comandos en sitios cruzados (XSS) en ownCloud v3.0.0 permite a atacantes remotos inyectar secuencias de comandos web o HTML a través de (1) un campo arbitrario a apps/contacts/AJAX/addcard.php, (2) el parámetro 'parameter' a apps/contacts/AJAX/addproperty.php, (3) el…

Cloudera Manager v3.7.x antes de v3.7.5 y Service and Configuration Manager v3.5, no instala correctamente taskcontroller.cfg si Kerberos no está habilitado, lo que permite suplantar cuentas de usuario de su elección a usuarios remotos autenticados a través de vectores no especificados. Se trata de una vulnerabilidad…

La funcionalidad Kerberos/MapReduce en Apache Hadoop v0.20.203.0 a v0.20.205.0, v0.23.x antes de v0.23.2 y v1.0.x antes de v1.0.2, tal y como se utiliza en Cloudera CDH CDH3u0 a CDH3u2, Cloudera Hadoop-0.20-sbin antes de v0.20.2+923.197, y otros productos, permite hacerse pasar por usuarios de cluster de su elección a…

El error de signo de entero en pngrutil.c en libpng antes v1.4.10beta01, tal y como se utiliza en Google Chrome antes de v17.0.963.83 y otros productos, permite a atacantes remotos causar una denegación de servicio (caída de aplicación) o posiblemente ejecutar código de su elección a través de un archivo PNG…

Vulnerabilidad de XSS en Jenkins en versiones anteriores a 1.454, Jenkins LTS en versiones anteriores a 1.424.5 y Jenkins Enterprise 1.400.x en versiones anteriores a 1.400.0.13 y 1.424.x en versiones anteriores a 1.424.5.1 permite a atacantes remotos inyectar secuencias de comandos web o HTML arbitrarios a través de…

Vulnerabilidad de XSS en Jenkins en versiones anteriores a 1.454, Jenkins LTS en versiones anteriores a 1.424.5 y Jenkins Enterprise 1.400.x en versiones anteriores a 1.400.0.13 y 1.424.x en versiones anteriores a 1.424.5.1 permite a atacantes remotos inyectar secuencias de comandos web o HTML arbitrarios a través de…

Vulnerabilidad no especificada en la aplicación NetEase CloudAlbum (com.netease.cloudalbum) v2.0.0 y v2.2.0 para Android tiene un impacto y vectores de ataque desconocidos.