Vulnerabilidades

El proveedor de Apache Airflow Sqoop, en versiones anteriores a la 4.0.0, se ve afectado por una vulnerabilidad que permite a un atacante pasar parámetros con las conexiones, lo que hace posible implementar ataques de ejecución remota de código (RCE) mediante 'sqoop import --connect', obtener permisos del servidor de…

Se ha encontrado una vulnerabilidad, clasificada como crítica, en Bettershop LaikeTui. Este problema afecta a una funcionalidad desconocida del archivo "index.php?module=api&action=user&m=upload" del componente POST Request Handler. La manipulación conduce a una carga sin restricciones. El ataque puede ser lanzado…

En TeamCity de JetBrains antes de 2023.05.3 era posible realizar un Cross-Site Scripting (XSS) Reflejado durante el registro de usuario.

En TeamCity de JetBrains antes de 2023.05.3 era posible realizar un Cross-Site Scripting (XSS) Reflejado durante la copia de Build Step.

En TeamCity de JetBrains antes de 2023.05.3 era posible realizar un Cross-Site Scripting (XSS) Almacenado durante la configuración de Cloud Profiles.

Se ha identificado una vulnerabilidad de Cross-Site Scripting (XSS) Almacenado en el plugin DBargain de Cloud Primero B.V, la cual afecta a las versiones 3.0.0 e inferiores. Para explotar estar vulnerabilidad hace falta estar autenticado y tener permiso de administrador o superior.

Vulnerabilidad de Cross-Site Scripting (XSS) Reflejada en el plugin Locatoraid Store Locator de Plainware que afecta a las versiones 3.9.18 e inferiores. Para explotar esta vulnerabilidad hace falta estar autenticado y tener permisos de suscriptor o superior.

Existe una denegación de servicio mediante expresión regular (ReDoS) en varios complementos de Mailform Pro CGI 4.3.1.3 y anteriores, que permite a un atacante remoto no autenticado provocar una condición de denegación de servicio. Los complementos afectados son los siguientes: call/call.js, prefcodeadv/search.cgi,…

Se ha descubierto que IceWarp Mail Server v10.4.5 contiene una vulnerabilidad de Cross-Site Scripting reflejado (XSS) a través del parámetro color.

Se ha descubierto que IceWarp Mail Server v10.4.5 contiene una vulnerabilidad de inclusión de archivos locales (LFI) a través del componente /calendar/minimizer/index.php. Esta vulnerabilidad permite a los atacantes incluir o ejecutar archivos del sistema de archivos local del servidor afectado.

IBM AIX 7.2, 7.3, VIOS 3.1: la implementación de OpenSSH podría permitir que un usuario local sin privilegios acceda a archivos fuera de los permitidos debido a controles de acceso inadecuados. IBM X-Force ID: 263476.

La vulnerabilidad de fijación de sesión permitía al usuario autenticado seguir accediendo al servidor web de Airflow incluso después de que el administrador hubiera restablecido la contraseña del usuario, hasta la expiración de la sesión del usuario. Aparte de limpiar manualmente la base de datos de sesiones (para el…

Apache Airflow SMTP Provider antes de 1.3.0, Apache Airflow IMAP Provider antes de 3.3.0, y Apache Airflow antes de 2.7.0 están afectados por la vulnerabilidad Validation of OpenSSL Certificate. El contexto SSL por defecto con la librería SSL no comprobaba el certificado X.509 de un servidor. En su lugar, el código…

Apache Airflow, en versiones anteriores a la 2.7.0, contiene una vulnerabilidad de seguridad que puede ser explotada por un usuario autenticado que posea privilegios de edición de conexión. Esta vulnerabilidad permite al usuario acceder a la información de conexión y explotar la función de conexión de prueba enviando…

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) reflejada sin autenticación en el plugin WPO365 | Mail Integration for Office 365 / Outlook en las versiones <= 1.9.0.

Un problema en langchain v.0.0.171 permite a un atacante remoto ejecutar código arbitrario mediante un archivo JSON cargado en load_prompt. Está relacionado con __subclasses__ o con una plantilla.

Vulnerabilidad de desbordamiento de búfer en la placa base Supermicro X12DPG-QR 1.4b que permite a atacantes locales secuestrar el flujo de control mediante la manipulación de la variable SmcSecurityEraseSetupVar.

Un problema en pandasai v.0.8.0 y anteriores de Gaberiele Venturi permite a un atacante remoto ejecutar código arbitrario mediante una solicitud manipulada a la función prompt.

Vulnerabilidad de exposición de información sensible en el componente AcyMailing Enterprise para Joomla. Permite a actores no autorizados obtener el número de suscriptores de una lista específica.

Vulnerabilidad de control de acceso inadecuado en el componente AcyMailing Enterprise para Joomla. Permite la eliminación no autorizada de archivos adjuntos de las campañas.

Vulnerabilidad de control de acceso inadecuado en el componente AcyMailing Enterprise para Joomla. Permite a usuarios no autorizados crear nuevas listas de correo.

La vulnerabilidad de neutralización inadecuada de la entrada durante la generación de páginas web en el componente AcyMailing Enterprise para Joomla permite Cross-Site Scripting (XSS). Este problema afecta al componente AcyMailing Enterprise para Joomla: 6.7.0-8.6.3.

Vulnerabilidad de carga no restringida de archivos de tipo peligroso en el componente AcyMailing para Joomla. Permite la ejecución remota de código.

Apache Airflow Spark Provider, en versiones anteriores a la 4.1.3, se ve afectado por una vulnerabilidad que permite a un atacante pasar parámetros maliciosos al establecer una conexión, lo que le ofrece la oportunidad de leer archivos en el servidor de Airflow. Se recomienda actualizar a una versión que no se vea…

La BIOS de Dell contiene una vulnerabilidad de tipo Time-of-check Time-of-use (TOCTOU, condición de carrera entre la comprobación y el uso) en la BIOS. Un usuario malintencionado local y autenticado con acceso físico al sistema podría explotar potencialmente esta vulnerabilidad mediante una transacción DMA con una…