Vulnerabilidades

Una vulnerabilidad XML External Entities (XXE) en el componente Media Server de Avaya Equinox Conferencing que podría permitir a un atacante remoto autenticado conseguir acceso de lectura a la información almacenada en un sistema afectado o incluso potencialmente conllevar a una denegación de servicio. Las…

Múltiples vulnerabilidades de tipo cross-site scripting (XSS) almacenado en Sourcecodester Equipment Inventory System versión 1.0, permiten a atacantes remotos inyectar javascript arbitrario por medio de cualquier sección "Add", como Add Item, Employee y Position u otras en los Parámetros de Nombre

La vulnerabilidad de control de acceso inapropiado en la aplicación Hot Pepper Gourmet para Android versiones 4.111.0 y anteriores, y para iOS versión 4.111.0 y anterior, permite a un atacante remoto conllevar a un usuario a acceder a un sitio web arbitrario por medio de la aplicación vulnerable

Se ha encontrado una vulnerabilidad de seguridad en "guix-daemon" que puede conllevar a una escalada de privilegios local. Afecta a las configuraciones multiusuario en las que "guix-daemon" se ejecuta localmente. El ataque consiste en hacer que un usuario no privilegiado genere un proceso de compilación, por…

La aplicación en el teléfono móvil puede leer la información SNO del dispositivo, Xiaomi 10 MIUI versiones anteriores a 2020.01.15

Adobe Genuine Service versiones 6.6 (y anteriores) está afectada por una vulnerabilidad del elemento Ruta de Búsqueda No Controlada. Un atacante autenticado podría explotar esto para reescribir el archivo del administrador, lo que puede conllevar a permisos elevados. Es requerida una interacción del usuario…

Adobe Genuine Service versión 6.6 (y anteriores) está afectada por una vulnerabilidad de Control de Acceso Inapropiado al manejar enlaces simbólicos. Un atacante no autenticado podría explotar esto para elevar los privilegios en el contexto del usuario actual

Adobe Genuine Service versiones 6.6 (y anteriores) está afectada por una vulnerabilidad del elemento Ruta de Búsqueda No Controlada. Un atacante autenticado podría explotar esto para plantar binarios personalizados y ejecutarlos con permisos System. Es requerida una interacción del usuario para explotar este problema

El componente Windows Installation de TIBCO Messaging - Eclipse Mosquitto Distribution - Bridge - Community Edition and TIBCO Messaging - Eclipse Mosquitto Distribution - Bridge - Enterprise Edition, de TIBCO Software Inc, contiene una vulnerabilidad que teóricamente permite a un atacante poco privilegiado con acceso…

El componente Windows Installation de TIBCO Messaging de TIBCO Software Inc. - Eclipse Mosquitto Distribution - Core - Community Edition y TIBCO Messaging - Eclipse Mosquitto Distribution - Core - Enterprise Edition, contiene una vulnerabilidad que teóricamente permite a un atacante poco privilegiado con acceso local…

En Apache Commons IO versiones anteriores a 2.7, Cuando se invoca el método FileNameUtils.normalize con una cadena de entrada inapropiada, como "//../foo" o "\\..\ foo", el resultado sería el mismo valor, por lo que posiblemente proporcionar acceso a archivos en el directorio principal, pero no más arriba (por lo…

** EN DISPUTA ** Una vulnerabilidad en el editor HTML de Slab Quill versión 4.8.0, permite a un atacante ejecutar JavaScript arbitrario almacenando una carga útil XSS (un atributo onloadstart diseñado de un elemento IMG) en un campo de texto. Nota: Los investigadores han afirmado que este problema no está dentro del…

Los productos IBM Jazz Team Server son vulnerables a un ataque de tipo cross-site scripting. Esta vulnerabilidad permite a usuarios insertar código JavaScript arbitrario en la interfaz de usuario web, alterando así la funcionalidad prevista conllevando potencialmente a una divulgación de credenciales dentro de una…

Los productos IBM Jazz Team Server utilizan algoritmos criptográficos más débiles de lo esperado que podrían permitir a un atacante descifrar información altamente confidencial. IBM X-Force ID: 192422

Los productos de IBM Jazz Team Server contienen una vulnerabilidad no revelada que podría permitir a un usuario autenticado presentar un mensaje personalizado en la aplicación que podría ser usado para hacer un ataque de phishing a otros usuarios. IBM X-Force ID: 192419

Los productos IBM Jazz Team Server son vulnerables a un ataque de tipo cross-site scripting almacenado. Esta vulnerabilidad permite a usuarios insertar código JavaScript arbitrario en la interfaz de usuario web, alterando así la funcionalidad prevista conllevando potencialmente a una divulgación de credenciales dentro…

La acción AJAX EFBP_verify_upload_file del plugin Easy Form Builder WordPress versiones hasta 1.0, disponible para usuarios autenticados, no presenta ninguna seguridad para verificar los archivos cargados, permitiendo a usuarios poco privilegiados cargar archivos arbitrarios, conllevando a una vulnerabilidad de RCE

El plugin WP-Curriculo Vitae Free WordPress versiones hasta 6.3, sufre de un problema de carga de archivo arbitrario en la página donde está insertado [formCadastro]. El formulario permite a un usuario no autenticado registrarse y enviar archivos para su foto de perfil, así como reanudar, sin ninguna restricción…

El plugin Quiz And Survey Master – Best Quiz, Exam and Survey Plugin for WordPress versiones anteriores a 7.1.12, no saneaba el parámetro GET result_id en las páginas con el shortcode [qsm_result] sin el atributo id, concatenando en una declaración SQL y conllevando a una inyección SQL. El rol más bajo…

El plugin Thrive Optimize WordPress versiones anteriores a 1.4.13.3, el plugin Thrive Comments WordPress versiones anteriores a 1.4.15.3, el plugin Thrive Headline Optimizer WordPress versiones anteriores a 1.3.7.3, el plugin Thrive Leads WordPress versiones anteriores a 2.3.9.4, el plugin Thrive Ultimatum WordPress…

La aplicación en el teléfono móvil puede acceder sin autorización a la lista de procesos en ejecución en el teléfono móvil, Xiaomi Mobile Phone MIUI versiones anteriores a 2021.01.26

La aplicación en el teléfono móvil puede leer la información SNO del dispositivo, Xiaomi 10 MIUI versiones anteriores a 2020.01.15

Squirro Insights Engine está afectado por una vulnerabilidad Cross-Site Scripting (XSS) Reflejado que afecta a versiones 2.0.0 hasta la 3.2.4 incluyéndola. Un atacante puede utilizar la vulnerabilidad para inyectar código JavaScript malicioso en la aplicación, que será ejecutado en el navegador de cualquier…

En Eclipse Mosquitto versiones 2.0.0 hasta 2.0.9, si un cliente autenticado que se había conectado con MQTT v5 envió un mensaje CONNACK diseñado al broker, se produciría una desreferencia del puntero NULL

Una vulnerabilidad de tipo cross-site request forgery (CSRF) en unas compilaciones promocionadas por Jenkins Plugin versiones 3.9 y anteriores, permite a atacantes promover compilaciones