Vulnerabilidades

Vulnerabilidad de CSRF en el módulo Shibboleth Authentication anterior a 6.x-4.1 y 7.x-4.x anterior a 7.x-4.1 para Drupal permite a atacantes remotos secuestrar la autenticación de administradores para solicitudes que eliminan las reglas de las coincidencias de los roles de usuarios a través de vectores no…

Vulnerabilidad de XSS en el módulo nodeauthor para Drupal permite a usuarios remotos autenticados inyectar secuencias de comandos web arbitrarios o HTML a través de un campo Profile2 en un bloque proporcionado.

Apereo Central Authentication Service (CAS) Server anterior a 3.5.3 permite a atacantes remotos realizar ataques de inyección LDAP a través de un nombre de usuario manipulado, tal y como fue demostrado mediante el uso de un comodín y una contraseña válida para evadir la autenticación LDAP.

Vulnerabilidad de XSS en Fortinet FortiAuthenticator 3.0.0 permite a atacantes remotos inyectar secuencias de comandos web o HTML arbitrarios a través del parámetro operation en cert/scep/.

Fortinet FortiAuthenticator 3.0.0 permite a usuarios locales evadir las restricciones y ganar privilegios mediante la creación de /tmp/privexec/dbgcore_enable_shell_access y la ejecución del comando 'shell'.

Fortinet FortiAuthenticator 3.0.0 permite a usuarios locales leer ficheros arbitrarios a través del indicador -f en el comando dig.

Fortinet FortiAuthenticator 3.0.0 registra los nombres de usuarios y las contraseñas de PostgreSQL en texto plano, lo que permite a administradores remotos obtener información sensible mediante la lectura del registro en debug/startup/.

Fortinet FortiAuthenticator 3.0.0 tiene una contraseña de (1) slony para el usuario de PostgreSQL de slony y (2) www-data para el usuario de PostgreSQL de www-data, lo que facilita a atacantes remotos obtener acceso a través de vectores no especificados.

Vulnerabilidad de salto de directorio en SafeNet Authentication Service (SAS) Outlook Web Access Agent (anteriormente CRYPTOCard) anterior a 1.03.30109 permite a atacantes remotos leer ficheros arbitrarios a través de un .. (punto punto) en el parámetro GetFile en owa/owa.

Vulnerabilidad de redirección abierta en EMC RSA Authentication Manager 8.x anterior a 8.1 Patch permite a atacantes remotos redirigir usuarios hacia sitios web arbitrarios y realizar ataques de phishing a través de vectores no especificados

RSA Adaptive Authentication (On-Premise) 6.0.2.1 hasta 7.1 P3, cuando utiliza la vinculación de dispositivos en una llamada Challenge SOAP o utiliza adaptadores de la integración de autenticación adaptiva RSA con la funcionalidad Out-of-Band Phone (Authentify), realiza la vinculación de dispositivos permanente incluso…

El modulo mod_auth_mellon anterior a 0.8.1 permite a atacantes remotos obtener información sensible o causar una denegación de servicio (fallo en la segmentación) a través de vectores sin especificar, relacionado con un 'desbordamiento de sesión' que implica 'la superposición de sesiones en la memoria'.

El módulo mod_auth_mellon anterior a 0.8.1 permite a atacantes remotos causar una denegación de servicio (caída del servidor Apache HTTP) a través de una petición de apagado del servicio Apache manipulada.

La aplicación para Android Free Canadian Author Previews (también conocido como com.booksellerscanada.authorpreview) 1.0.0 no verifica los certificados X.509 de los servidores SSL, lo que permite a atacantes man-in-the-middle suplantar servidores y obtener información sensible a través de un certificado manipulado.

La aplicación para Android Authors On Tour - Live! (también conocido como com.appmakr.app122286) 4 no verifica los certificados X.509 de los servidores SSL, lo que permite a atacantes man-in-the-middle suplantar servidores y obtener información sensible a través de un certificado manipulado.

KDE kdelibs anterior a 4.14 y kauth anterior a 5.1 no utilizan debidamente D-Bus para la comunicación con una autoridad polkit, lo que permite a usuarios locales evadir las restricciones de acceso mediante el aprovechamiento de una condición de carrera PolkitUnixProcess PolkitSubject a través de un proceso (1) setuid…

Vulnerabilidad de XSS en rsa_fso.swf en EMC RSA Adaptive Authentication (Hosted) 11.0 permite a atacantes remotos inyectar secuencias de comandos web o HTML arbitrarios a través de vectores no especificados.

El módulo de inicio de sesión de Google Authenticator 6.x-1.x anterior a 6.x-1.2 y 7.x-1.x anterior a 7.x-1.4 para Drupal permite a atacantes remotos obtener acceso mediante la reproducción del nombre de usuario, la contraseña y la contraseña de un solo uso (OTP).

El módulo de inicio de sesión de Google Authenticator 6.x-1.x anterior a 6.x-1.2 y 7.x-1.x anterior a 7.x-1.4 para Drupal no identifica debidamente nombres de cuentas de usuarios, lo que podría permitir a atacantes remotos evadir el requisito de autenticación de dos factores a través de vectores no especificados.

Las funciones (1) make_nonce, (2) generate_nonce y (3) generate_verifier en SimpleGeo python-oauth2 utiliza números aleatorias débiles para generar nonces, lo que facilita a atacantes remotos adivinar el nonce a través de un ataque de fuerza bruta.

La función Server.verify_request en SimpleGeo python-oauth2 no comprueba el nonce, lo que permite a atacantes remotos realizar ataques de repetición a través de una URL firmada.

La gema omniauth-facebook 1.4.1 anterior a 1.5.0 no almacena debidamente el parámetro session, lo que permite a atacantes remotos realizar ataques de CSRF a través del parámetro state.

lib/Auth/Source/External.php en el módulo drupalauth anterior a 1.2.2 para simpleSAMLphp permite a atacantes remotos autenticarse como un usuario arbitrario a través del nombre de usuario (uid) en una cookie.

FortiGuard FortiAuthenticator anterior a 3.0 permite a administradores remotos ganar privilegios a través de la interfaz de línea de comando.

Vulnerabilidad de XSS en RSA Adaptive Authentication (On-Premise) 6.x y 7.x anterior a 7.1 SP0 P2 permite a atacantes remotos inyectar script Web o HTML arbitrarios a través de vectores involucrando elementos FRAME, relacionado con un problema de "cross-frame scripting".