Vulnerabilidades

Existe una vulnerabilidad de inyección de comandos en el comando de guardado de iControl REST y BIG-IP TMOS Shell (tmsh), que puede permitir que un atacante autenticado ejecute comandos arbitrarios del sistema. Nota: Las versiones de software que han alcanzado el fin del soporte técnico (EoTS) no se evalúan.

IBM Cognos Analytics 11.2.0, 11.2.1, 11.2.2, 11.2.3, 11.2.4, 12.0.0, 12.0.1, 12.0.2, 12.0.3 y 12.0.4 es vulnerable a un ataque de inyección de entidad externa XML (XXE) al procesar datos XML. Un atacante remoto podría aprovechar esta vulnerabilidad para exponer información confidencial o consumir recursos de memoria.

Corrupción de memoria durante la secuencia de encendido o apagado del sensor de la cámara.

Corrupción de memoria al configurar un dispositivo virtual de entrada basado en Hypervisor.

Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en Blu Logistics Pte. Ltd. blu Logistics permite XSS reflejado. Este problema afecta a blu Logistics: desde n/a hasta 1.0.0.

El complemento Fantastic ElasticSearch de WordPress hasta la versión 4.1.0 no desinfecta ni escapa un parámetro antes de mostrarlo nuevamente en la página, lo que genera un Cross-Site Scripting Reflejado que podría usarse contra usuarios con privilegios altos, como el administrador.

IBM Cognos Mobile Client 1.1 iOS puede ser vulnerable a la divulgación de información mediante técnicas de intermediario (man in the middle) debido a la falta de fijación de certificados.

IBM Analytics Content Hub 2.0 es vulnerable a un desbordamiento de búfer debido a una comprobación incorrecta de la longitud de retorno. Un atacante remoto autenticado podría desbordar un búfer y ejecutar código arbitrario en sistema o provocar un bloqueo del servidor.

IBM Analytics Content Hub 2.0 podría permitir que un atacante remoto obtenga información confidencial cuando se devuelve un mensaje de error técnico detallado en el navegador. Esta información podría utilizarse en futuros ataques contra sistema.

Vulnerabilidad de falta de autorización en ExactMetrics ExactMetrics permite explotar niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a ExactMetrics: desde n/a hasta 8.1.0.

Vulnerabilidad de neutralización inadecuada de la entrada durante la generación de páginas web ('Cross-site Scripting') en osamaesh WP Visitor Statistics (Real Time Traffic) permite XSS almacenado. Este problema afecta a WP Visitor Statistics (Real Time Traffic): desde n/a hasta 7.2.

IBM Planning Analytics 2.0 y 2.1 podrían ser vulnerables a la carga de archivos maliciosos al no validar el contenido del archivo cargado en la interfaz web. Los atacantes pueden aprovechar esta debilidad y cargar archivos ejecutables maliciosos en sistema, que pueden enviarse a la víctima para realizar otros ataques.

IBM Planning Analytics 2.0 y 2.1 podrían ser vulnerables a la carga de archivos maliciosos al no validar el tipo de archivo en el proceso T1 de File Manager. Los atacantes pueden aprovechar esta debilidad y cargar archivos ejecutables maliciosos en sistema que pueden enviarse a las víctimas para realizar ataques…

Vulnerabilidad en el producto Oracle Analytics Desktop de Oracle Analytics (componente: Instalación). Las versiones compatibles afectadas son anteriores a la 8.1.0. Esta vulnerabilidad, que se puede explotar fácilmente, permite que un atacante con pocos privilegios que inicie sesión en la infraestructura donde se…

Una asignación de recursos sin límites ni limitación en Elasticsearch puede generar una excepción OutOfMemoryError que resulte en un bloqueo a través de una consulta especialmente manipulada que utiliza una función SQL.

La vulnerabilidad de Cross-Site Request Forgery (CSRF) en Daniel Powney Hotspots Analytics permite XSS almacenado. Este problema afecta a Hotspots Analytics: desde n/a hasta 4.0.12.

La vulnerabilidad de Cross-Site Request Forgery (CSRF) en Martijn Scheybeler Social Analytics permite XSS almacenado. Este problema afecta a Social Analytics: desde n/a hasta 0.2.

La vulnerabilidad de Cross-Site Request Forgery (CSRF) en Niklas Olsson Universal Analytics Injector permite XSS almacenado. Este problema afecta a Universal Analytics Injector: desde n/a hasta 1.0.3.

Se descubrió que ECOVACS Robotics Deebot T20 OMNI y T20e OMNI anteriores a la versión 1.24.0 contenían una vulnerabilidad de ejecución remota de código WiFi.

HCL MyXalytics se ve afectada por una vulnerabilidad de transmisión de información confidencial en texto plano. La aplicación transmite datos confidenciales o críticos para la seguridad en texto plano en un canal de comunicación que puede ser interceptado por actores no autorizados.

HCL MyXalytics se ve afectada por una vulnerabilidad de carga de archivos maliciosos. La aplicación acepta cargas de archivos no válidas, incluidos tipos de contenido incorrectos, extensiones dobles, bytes nulos y caracteres especiales, lo que permite a los atacantes cargar y ejecutar archivos maliciosos.

HCL MyXalytics se ve afectado por una vulnerabilidad de divulgación de información confidencial. El encabezado de respuesta HTTP expone la API Microsoft-HTTP?2.0 como el nombre y la versión del servidor.

HCL MyXalytics se ve afectada por una vulnerabilidad de validación de entrada débil. La aplicación acepta caracteres especiales y no hay validación de longitud. Esto puede generar vulnerabilidades de seguridad como inyección SQL, XSS y desbordamiento de búfer.

HCL MyXalytics se ve afectado por una vulnerabilidad de enumeración de nombres de usuario. Esto permite que un usuario malintencionado realice una enumeración de usuarios de la aplicación y, por lo tanto, compile una lista de nombres de usuario válidos.

HCL MyXalytics se ve afectado por una vulnerabilidad de implementación de política de contraseñas incorrecta. Las contraseñas débiles y la falta de políticas de bloqueo de cuentas permiten a los atacantes adivinar o forzar las contraseñas si se conoce el nombre de usuario.