Vulnerabilidades

Vulnerabilidad de path traversal en FileUriConverter de MyFiles antes de SMR, enero de 2024, versión 1 en Android 11 y Android 12, y la versión 14.5.00.21 en Android 13, permite a los atacantes escribir archivos arbitrarios.

Una vulnerabilidad de autenticación inadecuada en el proceso de emparejamiento de Bluetooth anterior a SMR, enero de 2024, versión 1, permite a atacantes remotos establecer el proceso de emparejamiento sin interacción del usuario.

Una vulnerabilidad de control de acceso inadecuado en Samsung DeX anterior a la versión 1 de SMR de enero de 2024 permite al propietario acceder a las cuentas de otros usuarios. Notificación en un entorno multiusuario.

Vulnerabilidad de deserialización de datos no confiables en Gesundheit Bewegt GmbH Zippy. Este problema afecta a Zippy: desde n/a hasta 1.6.5.

Omisión de autorización a través de una vulnerabilidad de clave controlada por el usuario en WP Sunshine Sunshine Photo Cart: Free Client Galleries for Photographers. Este problema afecta a Sunshine Photo Cart: Free Client Galleries for Photographers: desde n/a antes de 3.0.0.

Multisuns EasyLog web+ tiene una vulnerabilidad de inyección de código. Un atacante remoto no autenticado puede aprovechar esta vulnerabilidad para inyectar código y acceder al sistema para realizar operaciones arbitrarias del sistema o interrumpir el servicio.

Multisuns EasyLog web+ tiene una vulnerabilidad de path traversal dentro de su parámetro en una URL específica. Un atacante remoto no autenticado puede aprovechar esta vulnerabilidad para eludir la autenticación y descargar archivos arbitrarios del sistema.

Multisuns EasyLog web+ tiene la vulnerabilidad de utilizar credenciales codificadas. Un atacante remoto puede aprovechar esta vulnerabilidad para acceder al sistema y realizar operaciones arbitrarias o interrumpir el servicio.

La vulnerabilidad de inyección SQL en SunnyToo, existente antes de la versión 1.1.13, permite a los atacantes escalar privilegios y obtener información confidencial a través de los métodos StUrls::hookActionDispatcher y StUrls::getInstanceId.

Un problema de condición de ejecución descubierto en el procesador móvil Samsung Exynos 9820, 980, 1080, 2100, 2200, 1280 y 1380 permite modificaciones no deseadas de valores dentro de ciertas áreas.

El procesador móvil y el procesador portátil de Samsung (Exynos 980, 850, 1080, 2100, 2200, 1280, 1380, 1330 y W920) permiten la divulgación de información en el gestor de arranque.

Una condición de ejecución TOCTOU en el procesador móvil Samsung Exynos 9820, Exynos 980, Exynos 1080, Exynos 2100, Exynos 2200, Exynos 1280 y Exynos 1380 puede provocar la terminación inesperada de un sistema.

Una vulnerabilidad de validación de entrada incorrecta en Samsung Open Source Escargot permite un desbordamiento de pila y una falla de segmentación. Este problema afecta a Escargot: desde 3.0.0 hasta 4.0.0.

La validación incorrecta de la URL del enlace profundo de InstantPlay en Galaxy Store antes de la versión 4.5.64.4 permite a los atacantes ejecutar la API de JavaScript para acceder a los datos.

La validación de URL incorrecta del enlace profundo MCSLaunch en Galaxy Store anterior a la versión 4.5.64.4 permite a los atacantes ejecutar la API de JavaScript para instalar APK desde Galaxy Store.

Uso inadecuado de un protocolo inseguro (es decir, HTTP) en SogouSDK of Chinese Samsung Keyboard anterior a las versiones 5.3.70.1 en Android 11, 5.4.60.49, 5.4.85.5, 5.5.00.58 en Android 12 y 5.6.00.52, 5.6.10.42, 5.7 .00.45 en Android 13 permite a atacantes adyacentes acceder a datos de pulsaciones de teclas…

El manejo inadecuado de la vulnerabilidad de permisos o privilegios insuficientes en Samsung Data Store anterior a la versión 5.2.00.7 permite a atacantes remotos acceder a información de ubicación sin permiso.

El control de acceso inadecuado en Samsung Voice Recorder anterior a las versiones 21.4.15.01 en Android 12 y Android 13, 21.4.50.17 en Android 14 permite a atacantes físicos acceder a la información de Voice Recorder en la pantalla de bloqueo.

Vulnerabilidad de autenticación inadecuada en Samsung Pass anterior a la versión 4.3.00.17 permite a atacantes físicos eludir la autenticación debido a un controlador de excepciones no válido.

Vulnerabilidad de autenticación inadecuada en Samsung Pass anterior a la versión 4.3.00.17 permite a atacantes físicos eludir la autenticación debido a una configuración de indicador no válida.

Una vulnerabilidad de control de acceso inadecuado en GameHomeCN anterior a la versión 4.2.60.2 permite a atacantes locales iniciar actividad arbitraria en GameHomeCN.

La vulnerabilidad de secuestro PendingIntent en Search Widget anterior a la versión 3.4 en los modelos de China permite a atacantes locales acceder a los datos.

Una vulnerabilidad de secuestro de intención implícita en Samsung Account Web SDK anterior a la versión 1.5.24 permite al atacante obtener información confidencial.

El abuso del desbloqueo remoto en Find My Mobile anterior a la versión 7.3.13.4 permite a un atacante físico desbloquear el dispositivo de forma remota restableciendo la contraseña de la cuenta Samsung con verificación por SMS cuando el usuario pierde el dispositivo.

Una vulnerabilidad de control de acceso inadecuado en KnoxCustomManagerService anterior a la versión 1 de SMR de diciembre de 2023 permite al atacante acceder al PIN de la SIM del dispositivo.