Vulnerabilidades

Se encontró un fallo en FasterXML Jackson Databind, donde no tenía la expansión de entidad asegurada apropiadamente. Este fallo permite una vulnerabilidad a ataques de tipo XML external entity (XXE). La mayor amenaza de esta vulnerabilidad es la integridad de los datos

VMware Workspace One Access, Access Connector, Identity Manager e Identity Manager Connector abordan una vulnerabilidad de inyección de comandos

Una vulnerabilidad de tipo cross-site scripting (XSS) en el plugin Color Dialog para CKEditor versión 4.15.0, permite a atacantes remotos ejecutar script web arbitrario después de persuadir a un usuario para que copie y pegue código HTML diseñado en una de las entradas del editor

Unos permisos inapropiados en el instalador para Intel® Battery Life Diagnostic Tool versiones anteriores a 1.0.7, pueden habilitar a un usuario autenticado para permitir potencialmente una escalada de privilegios por medio de un acceso local

IBM Tivoli Key Lifecycle Manager versiones 3.0, 3.0.1 y 4.0, almacena las credenciales de usuario en texto plano y sin cifrar que puede ser leído por un usuario local. ID de IBM X-Force: 184157

Vulnerabilidad en el producto Hyperion Lifecycle Management de Oracle Hyperion (componente: Shared Services). La versión compatible que está afectada es 11.1.2.4. Una vulnerabilidad difícil de explotar permite a un atacante muy privilegiado con acceso a la red por medio de HTTP comprometer a Hyperion…

Vulnerabilidad en el producto Hyperion Lifecycle Management de Oracle Hyperion (componente: Shared Services). La versión compatible que está afectada es 11.1.2.4. Una vulnerabilidad difícil de explotar permite a un atacante muy privilegiado con acceso a la red por medio de HTTP comprometer a Hyperion…

LiveCode v9.6.1 en Windows permite a los usuarios locales con pocos privilegios obtener privilegios creando un "cmd.exe" malicioso en la carpeta de la aplicación LiveCode vulnerable. Si la aplicación utiliza la función "shell()" de LiveCode, intentará buscar "cmd.exe" en la carpeta de la aplicación actual y ejecutar…

En Liferay Portal versiones anteriores a 7.3.1, Liferay Portal versión 6.2 EE y Liferay DXP versión 7.2, DXP ??versión 7.1 y DXP versión 7.0, la propiedad "portlet.resource.id.banned.paths.regexp" puede ser omitida con unas URL codificadas duplicadas.

Liferay Portal versiones anteriores a 7.3.3, y Liferay DXP versiones 7.1 anteriores a fixpack 18 y versiones 7.2 anteriores a fixpack 6, no reucir ataques de denegación de servicio mediante la carga de archivos grandes

FasterXML jackson-databind versiones 2.x anteriores a 2.9.10.6, maneja inapropiadamente la interacción entre los gadgets de serialización y la escritura, relacionada con com.pastdev.httpcomponents.configuration.JndiConfiguration

IBM Maximo Asset Management versiones 7.6.0 y 7.6.1, podrían permitir a un atacante remoto conducir ataques de phishing usando un ataque de tabnabbing. Al persuadir a una víctima de visitar un sitio web especialmente diseñado, un atacante remoto podría explotar esta vulnerabilidad para redireccionar a un usuario…

Las Aplicaciones basadas en IBM Jazz Team Server son vulnerables a un ataque de tipo cross-site scripting. Esta vulnerabilidad permite a usuarios insertar código JavaScript arbitrario en la Interfaz de Usuario Web, alterando así la funcionalidad prevista conllevando potencialmente a una divulgación de credenciales…

Las Aplicaciones basadas en IBM Jazz Team Server son vulnerables a un ataque de tipo cross-site scripting. Esta vulnerabilidad permite a usuarios insertar código JavaScript arbitrario en la Interfaz de Usuario Web, alterando así la funcionalidad prevista conllevando potencialmente a una divulgación de credenciales…

Las aplicaciones basadas en IBM Jazz Team Server son vulnerables a un ataque de tipo cross-site scripting. Esta vulnerabilidad permite a usuarios insertar código JavaScript arbitrario en la Interfaz de Usuario Web, alterando así la funcionalidad prevista conllevando potencialmente a una divulgación de credenciales…

El módulo de redireccionamiento en Liferay Portal versiones anteriores a 7.3.3 no limita el numero de URLs resultando en un error 404 que es registrado, permitiendo a atacantes remotos llevar a cabo un ataque de denegación de servicio al realizar peticiones repetidas de páginas que no existen

FasterXML jackson-databind versiones 2.x anteriores a 2.9.10.6, maneja inapropiadamente la interacción entre los dispositivos de serialización y la escritura, relacionada con br.com.anteros.dbcp.AnterosDBCPDataSource (también se conoce como Anteros-DBCP)

IBM Tivoli Key Lifecycle Manager, no requiere que los usuarios deban tener contraseñas seguras por defecto, lo que facilita a atacantes comprometer cuentas de usuario. IBM X-Force ID: 184181

IBM Tivoli Key Lifecycle Manager versiones 3.0.1 y 4.0, podría revelar información confidencial debido a una respuesta a peticiones HTTP no autenticadas. IBM X-Force ID: 184180

IBM Tivoli Key Lifecycle Manager versiones 3.0.1 y 4.0, podría permitir a un atacante remoto obtener información confidencial cuando un mensaje de error técnico detallado es devuelto en el navegador. Esta información podría ser usada en nuevos ataques contra el sistema. IBM X-Force ID: 184179

IBM Tivoli Key Lifecycle Manager versiones 3.0.1 y 4.0, usa un mecanismo de protección que se basa en la existencia o valores de una entrada, pero la entrada puede ser modificada por un actor no confiable de una manera que omite el mecanismo de protección. IBM X-Force ID: 184158

IBM Tivoli Key Lifecycle Manager versiones 3.0.1 y 4.0, usa una configuración de bloqueo de cuenta inadecuada que podría permitir a un atacante remoto obtener credenciales de la cuenta por fuerza bruta. IBM X-Force ID: 184156

Liferay Portal versiones anteriores a 7.3.0, y Liferay DXP versión 7.0 anterior al papuete 90, versión 7.1 anterior al paquete de corrección 17, y versión 7.2 anterior al paquete de corrección 5, permite a los atacantes man-in-the-middle ejecutar código arbitrario a través de cargas útiles seriadas, debido a la…

Liferay Portal versiones anteriores a 7.3.0, y Liferay DXP versión 7.0 anterior al paquete de corrección 89, versión 7.1 anterior al paquete de corrección 17, y versión 7.2 anterior al paquete de corrección 4, no prueba de forma segura una conexión a un servidor LDAP, lo que permite a los atacantes remotos obtener la…

IBM Publishing Engine versiones 6.0.6, 6.0.6.1 y 7.0, no establece el atributo seguro en los tokens de autorización o cookies de sesión. Los atacantes son capaces de obtener los valores de las cookies mediante el envío de un enlace http:// a un usuario o mediante la plantación de este enlace en un sitio al que va el…