Vulnerabilidades

Vulnerabilidad de deserialización de datos no confiables en Apache ActiveMQ NMS OpenWire Client. Este problema afecta a Apache ActiveMQ NMS OpenWire Client anterior a la versión 2.1.1 al conectar con servidores no confiables. Dichos servidores podrían abusar de la deserialización ilimitada del cliente para…

Vulnerabilidad de Server-Side Request Forgery (SSRF) en Apache HertzBeat. Este problema afecta a Apache HertzBeat (en desarrollo): versiones anteriores a la 1.7.0. Se recomienda actualizar a la versión 1.7.0, que soluciona el problema.

Existe una vulnerabilidad de gestión de sesiones en Apache Roller anterior a la versión 6.1.5, donde las sesiones de usuario activas no se invalidan correctamente tras cambiar la contraseña. Cuando se cambia la contraseña de un usuario, ya sea por el propio usuario o por un administrador, las sesiones existentes…

Vulnerabilidad de inserción de información confidencial en el archivo de registro en Apache ActiveMQ Artemis. Todos los valores de las propiedades del agente se registran cuando el registrador org.apache.activemq.artemis.core.config.impl.ConfigurationImpl tiene habilitado el nivel de depuración. Este problema afecta a…

Vulnerabilidad de validación de entrada incorrecta en Apache POI. El problema afecta al análisis de archivos con formato OOXML como xlsx, docx y pptx. Estos formatos de archivo son básicamente archivos zip y es posible que usuarios maliciosos agreguen entradas zip con nombres duplicados (incluida la ruta) al archivo…

Apache Pulsar contiene múltiples conectores para la integración con Apache Kafka. Los conectores de origen, receptor y receptor del adaptador Kafka Connect de Pulsar IO registran propiedades de configuración sensibles en texto plano en los registros de la aplicación. Esta vulnerabilidad puede provocar la exposición…

Vulnerabilidad de neutralización incorrecta de elementos especiales utilizados en una vulnerabilidad de comando SQL ('Inyección SQL') en el proveedor SQL común de Apache Airflow. Al usar la cláusula de partición en SQLTableCheckOperator como parámetro (un patrón recomendado), el usuario autenticado de la interfaz de…

mod_auth_openidc es un módulo de autenticación y autorización con certificación OpenID para el servidor HTTP Apache 2.x que implementa la funcionalidad de usuario autenticado de OpenID Connect. Antes de la versión 2.4.16.11, un error en mod_auth_openidc provocaba la divulgación de contenido protegido a usuarios no…

Apache Traffic Server permite el contrabando de solicitudes si los mensajes fragmentados tienen un formato incorrecto. Este problema afecta a Apache Traffic Server: de la 9.2.0 a la 9.2.9 y de la 10.0.0 a la 10.0.4. Se recomienda actualizar a la versión 9.2.10 o 10.0.5, que soluciona el problema.

Vulnerabilidad de neutralización incorrecta de etiquetas HTML relacionadas con scripts en una página web (XSS básico) en Apache OFBiz. Este problema afecta a Apache OFBiz: versiones anteriores a la 18.12.19. Se recomienda actualizar a la versión 18.12.19, que soluciona el problema.

Vulnerabilidad de omisión/inyección en Apache Camel en el componente Camel-Undertow bajo ciertas condiciones. Este problema afecta a Apache Camel: de la versión 4.10.0 a la 4.10.3, y de la versión 4.8.0 a la 4.8.6. Se recomienda a los usuarios actualizar a la versión 4.10.3 para la versión 4.10.x LTS y a la 4.8.6 para…

Problema de omisión de autenticación: Si la ruta no contiene / ni contiene., no se requiere autenticación. Ejemplo de solicitud y respuesta normal esperada: curl -X POST -H "Content-Type: application/json" -d…

El análisis del esquema en el módulo parquet-avro de Apache Parquet 1.15.0 y versiones anteriores permite que actores maliciosos ejecuten código arbitrario. Se recomienda a los usuarios actualizar a la versión 1.15.1, que soluciona el problema.

Vulnerabilidad de estructura de datos privada devuelta desde un método público en Apache Answer. Este problema afecta a Apache Answer hasta la versión 1.4.2. Si un usuario utiliza una imagen referenciada externamente, al acceder a ella, el proveedor de la imagen podría obtener información privada sobre la dirección IP…

Existe una vulnerabilidad en Apache ActiveMQ Artemis que permite a un usuario con el permiso createDurableQueue o createNonDurableQueue modificar el tipo de enrutamiento compatible con dicha dirección, incluso si no tiene el permiso createAddress. Al combinar esta vulnerabilidad con el permiso de envío y la creación…

Vulnerabilidad de control inadecuado de la generación de código (inyección de código) en Apache Kylin. Si un atacante obtiene acceso al sistema de Kylin o al permiso de administrador del proyecto, la configuración de la conexión JDBC podría modificarse para ejecutar código arbitrario desde el control remoto. Esto no…

Vulnerabilidad de Server-Side Request Forgery (SSRF) en Apache Kylin. A través de un servidor Apache Kylin, un atacante podría falsificar una solicitud para invocar la API "/kylin/api/xxx/diag" en otro host interno y posiblemente obtener información filtrada. Existen dos condiciones previas: 1) El atacante tiene…

Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en Apache VCL en el formulario de búsqueda de usuarios. Un usuario con permisos suficientes para ver esta parte del sitio puede manipular una URL o ser engañado para que haga clic en una URL que le…

Vulnerabilidad de neutralización incorrecta de elementos especiales en una instrucción SQL ('Inyección SQL') en Apache VCL. Los usuarios pueden modificar los datos del formulario enviado al solicitar una nueva asignación de bloque, modificando así una sentencia SQL SELECT. El atacante no puede ver los datos devueltos…

Vulnerabilidad de exposición de información confidencial a un agente no autorizado en Apache Commons VFS. La clase FtpFileObject puede generar una excepción cuando no se encuentra un archivo, revelando la URI original en su mensaje, que puede incluir una contraseña. La solución consiste en ocultar la contraseña en el…

Vulnerabilidad de Path Traversal relativo en Apache Commons VFS anterior a la versión 2.10.0. La API FileObject de Commons VFS incluye un método "resolveFile" que utiliza el parámetro "scope". Especificar "NameScope.DESCENDENT" implica que se lanzará una excepción si el archivo resuelto no es descendiente del archivo…

** NO SOPORTADO CUANDO SE ASIGNÓ ** Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en Apache Oozie. Este problema afecta a todas las versiones de Apache Oozie. Dado que este proyecto está descontinuado, no planeamos lanzar una versión que…

Gravedad: media (5.8) / importante Vulnerabilidad de Server-Side Request Forgery (SSRF), neutralización incorrecta de la entrada durante la generación de páginas web ("Cross-site Scripting") y redirección de URL a un sitio no confiable ("Open Redirect") en Apache Druid. Este problema afecta a todas las versiones…

Vulnerabilidad de una gestión inadecuada de datos altamente comprimidos (amplificación de datos) en Apache Seata (en incubación). Este problema afecta a Apache Seata (en incubación): hasta la versión 2.2.0. Se recomienda actualizar a la versión 2.3.0, que soluciona el problema.

Vulnerabilidad de deserialización de datos no confiables en Apache Seata (en desarrollo). Este problema afecta a Apache Seata (en desarrollo): versiones 2.0.0 y anteriores a la 2.2.0. Se recomienda actualizar a la versión 2.2.0, que soluciona el problema.