Vulnerabilidades

En Circontrol CirCarLife en todas las versiones anteriores a la 4.3.1, la autenticación al dispositivo se puede omitir introduciendo la URL de una página en concreto.

Spring Framework 5.1, versiones 5.0.x anteriores a la 5.0.10, versiones 4.3.x anteriores a la 4.3.20 y versiones anteriores no soportadas en la rama de versiones 4.2.x proporciona soporte para peticiones de rango al servir recursos estáticos mediante ResourceHttpRequestHandler o, desde la versión 5.0, cuando un…

Vulnerabilidad en el componente Oracle Agile Product Lifecycle Management for Process de Oracle Supply Chain Products Suite (subcomponente: User Group Management). La versión compatible afectada es la 6.2.0.0. Una vulnerabilidad difícilmente explotable permite que un atacante con un bajo nivel de privilegios y con…

Las versiones 2.5, 2.6, 2.7 y 3.0 de IBM Security Key Lifecycle Manager son vulnerables a ataques XXE (XML External Entity) al procesar datos XML. Un atacante remoto podría explotar esta vulnerabilidad para exponer información sensible o consumir recursos de la memoria. IBM X-Force ID: 148428.

IBM Security Key Lifecycle Manager 2.5, 2.6, 2.7 y 3.0 podría permitir que un atacante remoto salte directorios en el sistema. Un atacante podría enviar una petición URL especialmente manipulada que contenga secuencias "punto punto" (/../) para visualizar archivos arbitrarios en el sistema. IBM X-Force ID: 148423.

IBM Rational Publishing Engine en sus versiones 6.0.5 y 6.0.6 es vulnerable a Cross-Site Scripting (XSS). Esta vulnerabilidad permite que los usuarios embeban código JavaScript arbitrario en la interfaz de usuario web, lo que altera las funcionalidades previstas. Esto podría dar lugar a una revelación de credenciales…

IBM Rational Publishing Engine en sus versiones 6.0.5 y 6.0.6 es vulnerable a Cross-Site Scripting (XSS). Esta vulnerabilidad permite que los usuarios embeban código JavaScript arbitrario en la interfaz de usuario web, lo que altera las funcionalidades previstas. Esto podría dar lugar a una revelación de credenciales…

IBM Security Key Lifecycle Manager 2.7 y 3.0 podría permitir que un usuario no autenticado reinicie el servidor SKLM debido a la falta de autenticación. IBM X-Force ID: 148424.

IBM Security Key Lifecycle Manager 2.6, 2.7 y 3.0 podría permitir que un usuario autenticado obtenga información altamente sensible o comprometa la integridad del sistema debido a mecanismos de autenticación incorrectos. IBM X-Force ID: 147907.

IBM Tivoli Key Lifecycle Manager 2.6, 2.7 y 3.0 genera un mensaje de error que incluye información sensible sobre su entorno, usuarios o datos asociados. IBM X-Force ID: 148514.

IBM Security Key Lifecycle Manager 3.0 especifica permisos para un recurso crítico para la seguridad de forma que permite que ese recurso sea leído o modificado por actores no planeados. IBM X-Force ID: 148511.

IBM Tivoli Key Lifecycle Manager 2.6, 2.7 y 3.0 emplea una lista negra incompleta para la validación de entradas, lo que permite que los atacantes omitan los controles de la aplicación. Esto resulta en un impacto directo a la integridad del sistema y los datos. IBM X-Force ID: 148484.

IBM Tivoli Key Lifecycle Manager 2.6, 2.7 y 3.0 divulga información sensible a usuarios sin autorización. Esta información puede emplearse para ejecutar más ataques en el sistema. IBM X-Force ID: 148422.

IBM Tivoli Key Lifecycle Manager 2.6, 2.7 y 3.0 contiene credenciales embebidas, como una contraseña o clave criptográfica, que emplea para su propia autenticación entrante, comunicaciones a componentes externos o cifrado de datos internos. IBM X-Force ID: 148421.

IBM Tivoli Key Lifecycle Manager 2.6, 2.7 y 3.0 no limita correctamente el número o frecuencia de la interacción, lo que podría emplearse para provocar una denegación de servicio (DoS), comprometer la lógica del programa u otras consecuencias. IBM X-Force ID: 148420.

IBM Rational Collaborative Lifecycle Management, de la versión 5.0 a la 5.02 y desde la versión 6.0 hasta la 6.0.6, es vulnerable a Cross-Site Scripting (XSS). Esta vulnerabilidad permite que los usuarios embeban código JavaScript arbitrario en la interfaz de usuario web, lo que altera las funcionalidades previstas.…

Se ha descubierto un problema en versiones anteriores a la 4.3 de CIRCONTROL CirCarLife. Debido al almacenamiento de múltiples elementos de información sensible en formato JSON en /services/system/setup.json, un usuario autenticado pero sin privilegios puede exfiltrar información crítica de la instalación.

IBM Rational Engineering Lifecycle Manager, de la versión 5.0 a la 5.02 y desde la versión 6.0 hasta la 6.0.6, es vulnerable a Cross-Site Scripting (XSS). Esta vulnerabilidad permite que los usuarios embeban código JavaScript arbitrario en la interfaz de usuario web, lo que altera las funcionalidades previstas. Esto…

IBM Rational Engineering Lifecycle Manager de la versión 5.0 a la 5.02 y de la versión 6.0 a la 6.0.6 es vulnerable a ataques de tipo XML External Entity Injection (XXE) al procesar datos XML. Un atacante remoto podría explotar esta vulnerabilidad para exponer información sensible o consumir recursos de la memoria.…

IBM Jazz Foundation (IBM Rational Engineering Lifecycle Manager de la versión 5.0 a la 5.02 y de la versión 6.0 a la 6.0.6) es vulnerable a ataques de tipo XML External Entity Injection (XXE) al procesar datos XML. Un atacante remoto podría explotar esta vulnerabilidad para exponer información sensible o consumir…

IBM Rational Engineering Lifecycle Manager, de la versión 5.0 a la 5.02 y desde la versión 6.0 hasta la 6.0.6, es vulnerable a Cross-Site Scripting (XSS). Esta vulnerabilidad permite que los usuarios embeban código JavaScript arbitrario en la interfaz de usuario web, lo que altera las funcionalidades previstas. Esto…

IBM Rational Engineering Lifecycle Manager, desde la versión 5.0 hasta la 5.02 y desde la versión 6.0 hasta la 6.0.6, podría permitir que atacantes remotos omitan la autenticación mediante una petición directa o navegación forzada a una página distinta de la URL planeada. IBM X-Force ID: 142561.

Se ha descubierto un problema en versiones anteriores a la 4.3 de CIRCONTROL CirCarLife. Hay una divulgación de información del software del sistema debido a la falta de autenticación en /html/device-id.

Se ha descubierto un problema en versiones anteriores a la 4.3 de CIRCONTROL CirCarLife. Hay una divulgación del estado PLC debido a la falta de autenticación en /html/devstat.html.

Se ha descubierto un problema en versiones anteriores a la 4.3 de CIRCONTROL CirCarLife. Hay una divulgación de la ruta interna de instalación debido a la falta de autenticación en /html/repository.