Vulnerabilidades

Cross-site Scripting (XSS): almacenado en el repositorio de GitHub pimcore/pimcore anterior a 11.1.0.

Cambio de contraseña no verificado en el repositorio de GitHub pimcore/admin-ui-classic-bundle anterior a 1.2.0.

Se encontró una vulnerabilidad en Shaanxi Chanming Education Technology Score Query System 5.0. Ha sido calificada como crítica. Este problema afecta algún procesamiento desconocido. La manipulación del argumento stuIdCard conduce a la inyección de SQL. El ataque puede iniciarse de forma remota. El exploit ha sido…

Vulnerabilidad de Cross-Site Request Forgery (CSRF) en el complemento Hassan Ali Snap Pixel en versiones <= 1.5.7.

Babel es un compilador para escribir JavaScript. En `@babel/traverse` anterior a las versiones 7.23.2 y 8.0.0-alpha.4 y en todas las versiones de `babel-traverse`, el uso de Babel para compilar código manipulado específicamente por un atacante puede provocar la ejecución de código arbitrario durante compilación,…

El protocolo HTTP/2 permite una denegación de servicio (consumo de recursos del servidor) porque la cancelación de solicitudes puede restablecer muchas transmisiones rápidamente, como se explotó en la naturaleza entre agosto y octubre de 2023.

Operaciones excesivas de consulta de datos en una tabla de datos grande en el repositorio de GitHub pimcore/demo antes de 10.3.0.

La deserialización insegura de JSON sin confianza permite la ejecución de código arbitrario en las versiones afectadas de Illumio PCE. Se requiere autenticación en la API para aprovechar esta vulnerabilidad. La falla existe dentro del endpoint de la API network_traffic. Un atacante puede aprovechar esta vulnerabilidad…

PVRIC (PowerVR Image Compression) en Imagination 2018 y dispositivos GPU posteriores ofrece compresión transparente por software que permite ataques de robo de píxeles de origen cruzado contra feTurbulence y feBlend en la especificación del filtro SVG, también conocido como un problema GPU.zip. Por ejemplo, los…

Vulnerabilidad de Cross-Site Scripting (XSS) Reflejada No Autenticada en el complemento Qode Interactive Bridge Core en versiones <= 3.0.9.

Pimcore admin-ui-classic-bundle proporciona una interfaz de usuario de backend para Pimcore. El valor de traducción con texto que incluye “%s” (de “%suggest%) es analizado por sprintf() aunque se supone que debe enviarse literalmente al usuario. Las traducciones pueden ser accesibles para un usuario con un acceso…

Una vulnerabilidad de configuración incorrecta de XPC en CoreCode MacUpdater anterior a 2.3.8 y 3.x anterior a 3.1.2 permite a los atacantes escalar privilegios mediante la creación de archivos .pkg maliciosos.

Dell PowerEdge BIOS y Dell Precision BIOS contiene una vulnerabilidad de desbordamiento del búfer. Un usuario local malicioso con altos privilegios podría explotar potencialmente esta vulnerabilidad, lo que provocaría una corrupción de la memoria y potencialmente escalaría privilegios.

S4CORE (Manage Purchase Contracts App): versiones 102, 103, 104, 105, 106, 107, no realiza las comprobaciones de autorización necesarias para un usuario autenticado. Esto podría permitir a un atacante realizar acciones no intencionadas, lo que resulta en una escalada de privilegios que tiene un bajo impacto en la…

Cross-site Scripting (XSS) - Reflected in GitHub repository pimcore/pimcore prior to 10.6.8.

Una validación de entrada inadecuada en el firmware de la BIOS para algunos procesadores Intel(R) puede permitir que un usuario con privilegios habilite potencialmente una escalada de privilegios a través de un acceso adyacente.

La gestión insuficiente del flujo de control en el firmware de la BIOS para algunos procesadores Intel(R) puede permitir que un usuario con privilegios habilite potencialmente la denegación de servicio mediante acceso local.

La exposición de información a través del estado microarquitectónico tras la ejecución transitoria en determinadas unidades de ejecución vectorial de algunos procesadores Intel(R) puede permitir a un usuario autenticado la divulgación potencial de información a través del acceso local.

Una inicialización incorrecta en el firmware de la BIOS para algunos procesadores Intel(R) puede permitir que un usuario con privilegios permita potencialmente la divulgación de información mediante acceso local.

.NET and Visual Studio Denial of Service Vulnerability

ASP.NET Core SignalR and Visual Studio Information Disclosure Vulnerability

Pimcore is an Open Source Data & Experience Management Platform: PIM, MDM, CDP, DAM, DXP/CMS & Digital Commerce. A path traversal vulnerability exists in the `AssetController::importServerFilesAction`, which allows an attacker to overwrite or modify sensitive files by manipulating the pimcore_log parameter.This can…

Cross-site Scripting (XSS) - Stored in GitHub repository pimcore/customer-data-framework prior to 3.4.2.

Versions of the package underscore-keypath from 0.0.11 are vulnerable to Prototype Pollution via the name argument of the setProperty() function. Exploiting this vulnerability is possible due to improper input sanitization which allows the usage of arguments like “__proto__”.

Se ha descubierto que Oscore v2.2.6 e inferiores contienen una vulnerabilidad de inyección de código en el componente "com.opensymphony.util.EJBUtils.createStateless". Esta vulnerabilidad se aprovecha pasando un argumento no comprobado.