Vulnerabilidades

Los atacantes no autenticados pueden recuperar la lista completa de usuarios asociados con cuentas arbitrarias.

Un atacante no autenticado puede obtener una lista de dispositivos inteligentes conociendo un nombre de usuario válido a través de una API desprotegida.

Los atacantes no autenticados pueden consultar un endpoint de API y obtener detalles del dispositivo.

Un atacante no autenticado puede obtener la versión del cargador EV y el historial de actualización del firmware conociendo el ID del cargador.

Un atacante no autenticado puede eliminar las "salas" de cualquier usuario al conocer los identificadores del usuario y de la sala.

Los atacantes no autenticados pueden cambiar el nombre de las "salas" de usuarios arbitrarios.

Los atacantes no autenticados pueden cambiar el nombre de dispositivos arbitrarios de usuarios arbitrarios (es decir, cargadores de vehículos eléctricos).

Un atacante no autenticado puede secuestrar los dispositivos de otros usuarios y potencialmente controlarlos.

Un atacante puede exportar información de la planta de otros usuarios.

Los atacantes no autenticados pueden agregar dispositivos de otros usuarios a sus escenas (o escenas arbitrarias de otros usuarios arbitrarios).

Debido a la falta de validación de entrada del lado del servidor, los atacantes pueden inyectar código JavaScript malicioso en los espacios personales de los usuarios del portal web.

Un atacante autenticado puede obtener cualquier nombre de planta conociendo el ID de la planta.

Un atacante no autenticado puede obtener una lista de dispositivos inteligentes conociendo un nombre de usuario válido.

Un atacante no autenticado puede comprobar la existencia de nombres de usuario en el sistema consultando una API.

Un atacante no autenticado puede obtener la lista de plantas de un usuario conociendo el nombre de usuario.

Los atacantes no autenticados pueden obtener información restringida sobre las colecciones de dispositivos inteligentes de un usuario (es decir, "escenas").

Un atacante autenticado puede lograr XSS almacenado explotando la depuración incorrecta del valor del nombre de la planta al agregar o editar una planta.

Un atacante no autenticado puede obtener el número de serie de uno o más medidores inteligentes utilizando el nombre de usuario de su propietario.

Un atacante puede cambiar las direcciones de correo electrónico registradas de otros usuarios y apoderarse de cuentas arbitrarias.

Los atacantes no autenticados pueden obtener información restringida sobre las colecciones de dispositivos inteligentes de un usuario (es decir, "salas").

Un atacante no autenticado puede obtener los correos electrónicos de los usuarios conociendo sus nombres de usuario. Se enviará un correo electrónico de restablecimiento de contraseña en respuesta a esta solicitud no solicitada.

Un atacante no autenticado puede inferir la existencia de nombres de usuario en el sistema consultando una API.

IBM Robotic Process Automation y Robotic Process Automation for Cloud Pak 21.0.0 a 21.0.7.20 y 23.0.0 a 23.0.20 no invalidan la sesión después de un cierre de sesión, lo que podría permitir que un usuario autenticado se haga pasar por otro usuario en el sistema.

El complemento Cart66 Cloud para WordPress es vulnerable a la exposición de información confidencial en todas las versiones hasta la 2.3.7 incluida, a través del script phpinfo.php, de acceso público. Esto permite que atacantes no autenticados accedan a información potencialmente confidencial contenida en el archivo…

Cuando se configura con SAML, una vulnerabilidad de fijación de sesión en el inicio de sesión de GlobalProtect™ permite a un atacante hacerse pasar por un usuario autorizado legítimo y realizar acciones como ese usuario de GlobalProtect. Esto requiere que el usuario legítimo primero haga clic en un enlace malicioso…