Vulnerabilidades

Se descubrió un problema en la versión de Warp Terminal anterior a 2024.07.18 (v0.2024.07.16.08.02). Existe una vulnerabilidad de inyección de comandos en la funcionalidad de integración de Docker. Un atacante puede crear un hipervínculo especialmente manipulado utilizando la intención…

Vulnerabilidad de ejecución remota de código en Microsoft Office

Vulnerabilidad de suplantación de identidad en Microsoft Office

Vulnerabilidad de ejecución remota de código en Microsoft Office

Vulnerabilidad de ejecución remota de código en Microsoft Office Visio

Vulnerabilidad de ejecución remota de código en Microsoft Excel

La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en Vladimir Statsenko Terms descriptions permite XSS almacenado. Este problema afecta a las descripciones de términos: desde n/a hasta 3.4.6.

Las versiones de Mattermost 9.10.x <= 9.10.1, 9.9.x <= 9.9.2, 9.5.x <= 9.5.8 no logran limitar el acceso a los archivos de canales que no se han vinculado a una publicación, lo que permite a un atacante verlos en los canales de los que son miembros.

Las versiones 9.5.x <= 9.5.8 de Mattermost no autorizan correctamente el acceso a los canales archivados cuando la visualización de canales archivados está deshabilitada, lo que permite a un atacante ver publicaciones y archivos de canales archivados a través de enlaces de archivos.

Las versiones 9.11.x <= 9.11.0 y 9.5.x <= 9.5.8 de Mattermost no logran validar que el mensaje de la publicación de enlace permanente sea una cadena, lo que permite a un atacante enviar un valor que no sea una cadena como mensaje de una publicación de enlace permanente y bloquear el frontend.

Las versiones 9.5.x <= 9.5.8 de Mattermost no incluyen los endpoints de metadatos de Oracle Cloud y Alibaba en la lista de denegación de SSRF, lo que permite que un atacante posiblemente provoque una SSRF si Mattermost se implementó en Oracle Cloud o Alibaba.

Las versiones 9.11.x <= 9.11.0, 9.10.x <= 9.10.1, 9.9.x <= 9.9.2 y 9.5.x <= 9.5.8 de Mattermost no autorizan correctamente las solicitudes cuando la visualización de canales archivados está deshabilitada, lo que permite a un atacante recuperar información de publicaciones y archivos sobre canales…

Vulnerabilidad de ejecución remota de código en Microsoft Office Visio

Las versiones de la aplicación de escritorio Mattermost <=5.8.0 no configuran suficientemente Electron Fuses, lo que permite a un atacante recopilar cookies de Chromium o abusar de otras configuraciones erróneas mediante acceso remoto/local.

Las versiones de la aplicación de escritorio Mattermost <=5.8.0 no protegen la funcionalidad de captura de pantalla, lo que permite a un atacante capturar silenciosamente capturas de pantalla de alta calidad a través de API de JavaScript.

Las versiones <=2.18.0 de Mattermost Mobile Apps no pueden deshabilitar el autocompletado durante el inicio de sesión al escribir la contraseña y se selecciona la contraseña visible, lo que permite que la contraseña se guarde en el diccionario cuando el usuario tiene Swiftkey como teclado predeterminado, el…

Las versiones de la aplicación de escritorio Mattermost <=5.8.0 no pueden especificar una ruta absoluta al buscar el archivo cmd.exe, lo que permite que un atacante local que pueda colocar un archivo cmd.exe en la carpeta Descargas de la máquina de un usuario provoque la ejecución remota de código en esa máquina.

Vulnerabilidad de elevación de privilegios en Microsoft Excel

Vulnerabilidad de ejecución remota de código en Microsoft Office Visio

Vulnerabilidad de elevación de privilegios en componentes gráficos de Windows

Vulnerabilidad de omisión de funciones de seguridad de Microsoft Publisher

Las versiones de exportación del canal de complementos de Mattermost <= 1.0.0 no restringen las ejecuciones simultáneas del comando /export, lo que permite a un usuario consumir recursos excesivos al ejecutar el comando /export varias veces a la vez.

Las versiones de Mattermost 9.9.x <= 9.9.1, 9.5.x <= 9.5.7, 9.10.0, 9.8.x <= 9.8.2 no aplican los permisos que permiten a un usuario invitado con acceso de lectura cargar archivos en un canal.

Las versiones de Mattermost 9.9.x <= 9.9.1, 9.5.x <= 9.5.7, 9.10.x <= 9.10.0, 9.8.x <= 9.8.2 no aplican correctamente los permisos que permiten a un usuario con función de administrador de sistemas con acceso de solo lectura a los equipos para realizar operaciones de escritura en los equipos.

Las versiones 9.5.x <= 9.5.7, 9.10.x <= 9.10.0 de Mattermost no aplican correctamente los permisos, lo que permite a un usuario administrador del equipo sin el permiso "Agregar miembros del equipo" deshabilitar la URL de invitación.