Vulnerabilidades

Nextcloud talk es un servicio de mensajería de autoalojamiento. En versiones anteriores a la 12.1.2 un atacante es capaz de controlar el enlace de una vista previa de geolocalización en la aplicación Nextcloud Talk debido a una falta de validación en el enlace. Esto podía dar lugar a una redirección abierta, pero…

Next.js es un framework de React. A partir de la versión 10.0.0 y versiones anteriores a 12.1.0, Next.js es vulnerable a una tergiversación de información crítica en la Interfaz de Usuario (UI). Para estar afectado, el archivo "next.config.js" debe tener asignada una matriz "images.domains" y el host de imágenes…

Una CWE-522: Se presenta una vulnerabilidad de Credenciales Insuficientemente Protegidas que podría causar una exposición de datos confidenciales, como las credenciales de inicio de sesión, cuando es husmeada una red. Producto afectado: Conext? ComBox (todas las versiones)

El plugin NextScripts: Social Networks Auto-Poster de WordPress versiones anteriores a 4.3.25, no presenta una comprobación CSRF cuando se eliminan elementos, permitiendo a un atacante hacer que un administrador conectado elimine publicaciones arbitrarias por medio de un ataque de tipo CSRF

El plugin NextScripts: Social Networks Auto-Poster de WordPress versiones anteriores a 4.3.24, no sanea y escapa de las peticiones registradas antes de mostrarlas en el panel de administración correspondiente, conllevando a un problema de tipo Cross-Site Scripting Almacenado no Autenticado

Next.js es un framework de React. A partir de la versión 12.0.0 y versiones anteriores a 12.0.9, el código vulnerable podría permitir a un mal actor desencadenar un ataque de denegación de servicio para cualquiera que use la funcionalidad i18n. Para ser afectado por esta CVE, uno debe usar next start o un servidor…

La aplicación Android de Nextcloud es el cliente Android para Nextcloud, una plataforma de productividad auto-alojada. Un problema en las versiones anteriores a 3.17.1 puede conllevar a una divulgación de información confidencial. Una aplicación no autorizada que no tenga el permiso "MANAGE_DOCUMENTS" requerido puede…

La aplicación Android de Nextcloud es el cliente Android para Nextcloud, una plataforma de productividad autoalojada. La aplicación Android de Nextcloud usa proveedores de contenido para administrar sus datos. En versiones anteriores a 3.18.1, los proveedores "FileContentProvider" y "DiskLruImageCacheFileProvider"…

Se presenta una vulnerabilidad en el analizador XML de Apache Xerces Java (XercesJ) cuando maneja cargas útiles de documentos XML especialmente diseñados. Esto causa que el analizador XML de XercesJ espere en un bucle infinito, lo que a veces puede consumir recursos del sistema durante un tiempo prolongado. Esta…

El plugin Jenkins Warnings Next Generation versiones 9.10.2 y anteriores, no restringe el nombre de un archivo cuando es configurado el ID personalizado, permitiendo a atacantes con permiso Item/Configure escribir y leer archivos específicos con un sufijo embebido en el sistema de archivos del controlador Jenkins

El SDK de Auth0 Next.js es una biblioteca para implementar la autenticación de usuarios en las aplicaciones Next.js. Las versiones anteriores a 1.6.2, no filtran determinados valores del parámetro returnTo de la url de inicio de sesión, lo que expone la aplicación a una vulnerabilidad de redirección abierta. Se…

Next.js es un framework de React. En las versiones de Next.js anteriores a 12.0.5 o 11.1.3, las direcciones URL no válidas o malformadas podrían conllevar a un bloqueo del servidor. Para verse afectado por este problema, el despliegue debe usar versiones de Next.js superiores a 11.1.0 y anteriores a 12.0.5, Node.js…

nextcloud news-android es un cliente Android para la aplicación de lectura de noticias/feeds Nextcloud. En las versiones afectadas, la aplicación Nextcloud News para Android presenta un problema de seguridad por el que una aplicación maliciosa instalada en el mismo dispositivo puede enviarle una intención arbitraria…

Nextcloud es una plataforma de productividad de código abierto y auto alojada. La aplicación Nextcloud Talk era susceptible a una vulnerabilidad de tipo Cross-Site Scripting (XSS) almacenada. Para una explotación, un usuario tendría que hacer clic con el botón derecho en un archivo malicioso y abrirlo en una nueva…

** EN DISPUTA ** El comando npm ci en npm versiones 7.x y 8.x hasta 8.1.3, procede con una instalación incluso si la información de dependencia en package-lock.json difiere de package.json. Este comportamiento es incoherente con la documentación, y facilita a atacantes la instalación de malware que se supone que ha…

El plugin NextScripts: Social Networks Auto-Poster de WordPress versiones anteriores a 4.3.20 incluyéndola, es vulnerable a un ataque de tipo Cross-Site Scripting Reflejado por medio del parámetro $_REQUEST["page"] que se hace eco en inc/nxs_class_snap.php al suministrar el valor apropiado "nxssnap-post" para cargar…

Los productos IBM Jazz Team Server son vulnerables a un ataque de tipo server-side request forgery (SSRF). Esto puede permitir a un atacante autenticado enviar peticiones no autorizadas desde el sistema, conllevando potencialmente a una enumeración de la red o facilitar otros ataques

Los productos IBM Jazz Team Server almacenan las credenciales de usuario en texto sin cifrar que puede leer un usuario autenticado. IBM X-Force ID: 203172

Los productos IBM Jazz Team Server podrían permitir a un usuario autenticado alcanzar privilegios elevados bajo determinadas configuraciones. IBM X-Force ID: 203025

Los productos IBM Jazz Team Server son vulnerables a un ataque de tipo cross-site scripting. Esta vulnerabilidad permite a usuarios insertar código JavaScript arbitrario en la Interfaz de Usuario Web, alterando así la funcionalidad prevista y conllevando potencialmente a una divulgación de credenciales dentro de una…

Los productos IBM Jazz Team Server son vulnerables a un ataque de tipo cross-site scripting. Esta vulnerabilidad permite a usuarios insertar código JavaScript arbitrario en la Interfaz de Usuario Web, alterando así la funcionalidad prevista y conllevando potencialmente a una divulgación de credenciales en una sesión…

Nextcloud es una plataforma de productividad de código abierto y auto-alojada. Nextcloud Server versiones 20.0.13, 21.0.5 y 22.2.0, la autenticación de dos factores no se aplicaba a las páginas marcadas como públicas. Por lo tanto, se podía acceder a cualquier página marcada como "@PublicPage" con una sesión de…

Nextcloud es una plataforma de productividad de código abierto y auto-alojada. Antes de las versiones 20.0.13, 21.0.5 y 22.2.0, una vulnerabilidad de salto de archivos hace que un atacante pueda descargar imágenes SVG arbitrarias del sistema anfitrión, incluyendo archivos proporcionados por el usuario. Esto también…

Nextcloud es una plataforma de productividad de código abierto y auto-alojada. En las versiones anteriores a 20.0.13, 21.0.5 y 22.2.0, Nextcloud Server no implementaba un backend de base de datos para fines de limitación de velocidad. Cualquier componente de Nextcloud que usara límites de velocidad (como…

Nextcloud es una plataforma de productividad de código abierto y auto-alojada. Una falta de comprobación de permisos en Nextcloud Deck versiones anteriores a 1.2.9, 1.4.5 y 1.5.3, permitía a otro usuario autenticado acceder a las tarjetas de Deck de otro usuario. Es recomendado actualizar la aplicación Nextcloud Deck…