Vulnerabilidades

Las restricciones inadecuadas del búfer en la optimización Intel(R) para TensorFlow anterior a la versión 2.13.0 pueden permitir que un usuario autenticado habilite potencialmente la escalada de privilegios a través del acceso local.

IBM Business Automation Workflow 22.0.2, 23.0.1 y 23.0.2 es vulnerable a Cross-Site Scripting. Esta vulnerabilidad permite a los usuarios incrustar código JavaScript arbitrario en la interfaz de usuario web, alterando así la funcionalidad prevista, lo que podría conducir a la divulgación de credenciales dentro de una…

HCL BigFix ServiceNow es vulnerable a la inyección de código arbitrario. Un atacante malicioso autorizado podría inyectar código arbitrario y ejecutarlo dentro del contexto del usuario que lo ejecuta.

Se encontró una vulnerabilidad en flink-extended ai-flow 0.3.1. Ha sido declarado crítico. La función cloudpickle.loads del archivo \ai_flow\cli\commands\workflow_command.py es afectada por esta vulnerabilidad. La manipulación conduce a la deserialización. El ataque se puede lanzar de forma remota. La complejidad de…

Desde la versión 5.2.0, cuando se utiliza el modo diferible con la ruta de un archivo de configuración de Kubernetes para la autenticación, el trabajador de Airflow serializa este archivo de configuración como un diccionario y lo envía al activador almacenándolo en metadatos sin ningún cifrado. Además, si se utiliza…

Apache Airflow, versiones anteriores a la 2.8.1, tienen una vulnerabilidad que permite a un usuario autenticado acceder al código fuente de un DAG al que no tiene acceso. Esta vulnerabilidad se considera baja ya que requiere un usuario autenticado para explotarla. Se recomienda a los usuarios actualizar a la versión…

Apache Airflow, versiones anteriores a 2.8.1, tienen una vulnerabilidad que permite a un atacante potencial envenenar los datos de XCom al evadir la protección de la configuración "enable_xcom_pickling=False", lo que genera datos envenenados después de la deserialización de XCom. Esta vulnerabilidad se considera baja…

Existe una vulnerabilidad de directory traversal en la funcionalidad uploadMib de ManageEngine OpManager 12.7.258. Una solicitud HTTP especialmente manipulada puede dar lugar a la creación de archivos arbitrarios. Un atacante puede enviar un archivo MiB malicioso para desencadenar esta vulnerabilidad.

Una vulnerabilidad fue encontrada en spider-flow 0.4.3 y clasificada como crítica. La función FunctionService.saveFunction del archivo src/main/java/org/spiderflow/controller/FunctionController.java es afectada por la vulnerabilidad. La manipulación conduce a la inyección de código. Es posible lanzar el ataque de…

** NO SOPORTADO CUANDO SE ASIGNÓ ** Se encontró una vulnerabilidad en Deis Workflow Manager hasta 2.3.2. Ha sido clasificada como problemática. Esto afecta a una parte desconocida. La manipulación conduce a la condición de ejecución. La complejidad del ataque es bastante alta. Se dice que la explotabilidad es difícil.…

Apache Airflow, en versiones anteriores a 2.8.0, se ve afectado por una vulnerabilidad que permite a un usuario autenticado sin el permiso de edición de variables actualizar una variable. Este fallo compromete la integridad de la gestión de variables, lo que podría provocar modificaciones de datos no autorizadas. Se…

Apache Airflow, desde versión 2.7.0 a 2.7.3, tiene una vulnerabilidad que permite a un atacante activar un DAG en una solicitud GET sin validación CSRF. Como resultado, era posible que un sitio web malicioso abierto en el mismo navegador (por el usuario que también tenía abierta la interfaz de usuario de Airflow)…

Apache Airflow, en versiones anteriores a la 2.8.0, contiene una vulnerabilidad de seguridad que permite a un usuario autenticado con acceso limitado a algunos DAG crear una solicitud que podría darle al usuario acceso de escritura a varios recursos de DAG para los DAG a los que el usuario no tenía acceso. para, por…

Apache Airflow, desde versiones 2.6.0 a 2.7.3, tiene una vulnerabilidad de XSS almacenado que permite a un autor de DAG agregar un javascript ilimitado y no sanitizado en el campo de descripción de parámetros del DAG. Este Javascript se puede ejecutar en el lado del cliente de cualquiera de los usuarios que mira las…

Esta vulnerabilidad permite a usuarios malintencionados leer archivos confidenciales en el servidor.

Esta vulnerabilidad es capaz de escribir archivos arbitrarios en ubicaciones arbitrarias en el sistema de archivos remoto en el contexto del proceso del servidor.

Un usuario malintencionado podría utilizar este problema para ejecutar comandos en la máquina vulnerable y obtener acceso a información de datos y modelos.

Un usuario malintencionado podría utilizar este problema para acceder a servidores HTTP internos y, en el peor de los casos (es decir, instancia de AWS), podría ser un abuso obtener una ejecución remota de código en la máquina víctima.

Con solo una interacción del usuario (descargar una configuración maliciosa), los atacantes pueden obtener la ejecución completa del comando en el sistema víctima.

Path traversal: '\..\filename' en el repositorio de GitHub mlflow/mlflow anterior a 2.9.2.

Path Traversal: '\..\filename' en el repositorio de GitHub mlflow/mlflow anterior a 2.9.2.

Cross-site Scripting (XSS): reflejado en kubeflow/kubeflow

Server-Side Request Forgery (SSRF) en kubeflow/kubeflow

Path traversal en el repositorio de GitHub mlflow/mlflow anterior a 2.9.2.

Neutralización inadecuada de elementos especiales utilizados en un motor de plantillas en el repositorio de GitHub mlflow/mlflow anterior a 2.9.2.