Vulnerabilidades

Un uso de la memoria previamente liberada en el subsistema DAL para Intel® CSME versiones anteriores a 11.8.80, 11.12.80, 11.22.80, 12.0.70, 13.0.40, 13.30.10, 14.0.45 y 14.5.25, Intel® TXE versiones 3.1.80, 4.0.30 puede habilitar a un usuario autenticado para permitir potencialmente una escalada de privilegios por…

Un control de acceso inapropiado en el Instalador para Intel® CSME Driver para Windows versiones anteriores a 11.8.80, 11.12.80, 11.22.80, 12.0.70, 13.0.40, 13.30.10, 14.0.45 y 14.5.25, Intel TXE versiones 3.1.80, 4.0.30, pueden habilitar a un usuario autenticado para permitir potencialmente una escalada de…

Una vulnerabilidad en la interfaz de administración basada en web de Cisco Identity Services Engine (ISE), podría permitir a un atacante remoto no autenticado conducir un ataque de tipo cross-site scripting (XSS) contra un usuario de la interfaz de un dispositivo afectado. La vulnerabilidad se presenta porque la…

Una vulnerabilidad en la integración de Microsoft Active Directory de Cisco Identity Services Engine (ISE), podría permitir a un atacante local autenticado elevar privilegios en un dispositivo afectado. Para explotar esta vulnerabilidad, un atacante debería tener una cuenta de administrador válida en un…

Una vulnerabilidad en la interfaz de administración basada en web de Cisco Identity Services Engine (ISE), podría permitir a un atacante remoto autenticado con credenciales administrativas conducir un ataque de tipo cross-site scripting (XSS) contra un usuario de la interfaz. La vulnerabilidad se presenta porque…

Una inyección SQL en Zoho ManageEngine Applications Manager 14 versiones anteriores a 14560, permite a un atacante ejecutar comandos en el servidor por medio del parámetro template_resid del archivo MyPage.do

TYPO3 Fluid Engine (paquete "ypo3fluid/fluid") versiones anteriores a 2.0.5, 2.1.4, 2.2.1, 2.3.5, 2.4.1, 2.5.5 o 2.6.1, es susceptible a una vulnerabilidad de tipo cross-site scripting cuando se utiliza el operador condicional ternario en plantillas como "{showFullName ? fullName : defaultValue}". Las versiones…

Zoho ManageEngine Applications Manager versiones 14780 y anteriores, permiten a un atacante remoto no autenticado registrar servidores administrados por medio del servlet AAMRequestProcessor

Una vulnerabilidad en la interfaz de administración basada en web de Cisco Identity Services Engine (ISE) Software, podría permitir a un atacante remoto autenticado con credenciales administrativas conducir un ataque de tipo cross-site scripting (XSS) contra un usuario de la interfaz. La vulnerabilidad se…

Una vulnerabilidad en la interfaz de administración basada en web de Cisco Identity Services Engine (ISE), podría permitir a un atacante remoto autenticado modificar partes de la configuración en un dispositivo afectado. La vulnerabilidad es debido a la aplicación inapropiada del control de acceso basado en roles…

Zoho ManageEngine Applications Manager versión 14740 y anteriores, permite una inyección SQL autenticada por medio de una petición jsp diseñada en el módulo RCA

Zoho ManageEngine Applications Manager versión 14740 y anteriores, permite una inyección SQL autenticada por medio de una petición jsp diseñada en el módulo SAP

Se detectó un problema en el lado del cliente de Zoho ManageEngine Desktop Central versión 10.0.0.SP-534. Un servidor controlado por un atacante puede desencadenar un desbordamiento de enteros en las funciones InternetSendRequestEx e InternetSendRequestByBitrate que desencadena un desbordamiento del búfer en la…

Se detectó un problema de diseño en GetInternetRequestHandle, InternetSendRequestEx e InternetSendRequestByBitrate en el lado del cliente de Zoho ManageEngine Desktop Central 10.0.552.W y Remote Access Plus antes de 10.1.2119.1. Aprovechando este problema, un servidor controlado por un atacante puede forzar al cliente…

Se detectó una vulnerabilidad en el módulo ceva_emu.cvd que resulta de una falta de comprobación apropiada de los datos suministrados por el usuario, lo que puede resultar en un puntero que es extraído de la memoria no inicializada. Esto puede conllevar a una denegación de servicio. Este problema afecta a:…

En Zoho ManageEngine Application Manager versión 14.7 Build 14730 (versiones anteriores a 14684, y entre 14689 y 14750), el módulo AlarmEscalation es vulnerable a un ataque de inyección SQL no autenticado

Como mitigación para CVE-2020-1945, Apache Ant versión 1.10.8, cambió los permisos de los archivos temporales que creó para que solo el usuario actual pudiera acceder a ellos. Desafortunadamente, la tarea fixcrlf eliminó el archivo temporal y creó uno nuevo sin dicha protección, anulando efectivamente el…

Se ha detectado una vulnerabilidad en el analizador ace.xmd que resulta de una falta de comprobación apropiada de los datos suministrados por el usuario, lo que puede resultar en una escritura más allá del final de un búfer asignado. Esto puede resultar en una denegación de servicio. Este problema afecta a:…

Se detectó un problema en Zoho Application Control Plus versiones anteriores a 10.0.511. La funcionalidad Element Configuration (para configurar elementos incluidos en el alcance de los elementos gestionados por el producto) permite a un atacante recuperar la lista completa de los rangos de IP y subredes…

Se detectó un problema de tipo SSRF en Zoho Application Control Plus versiones anteriores a 10.0.511. La funcionalidad mail gateway configuration permite a un atacante llevar a cabo un escaneo para detectar puertos abiertos en una máquina, así como máquinas disponibles en el segmento de red en el que se…

El módulo GINA/CP personalizado en Zoho ManageEngine ADSelfService Plus versiones anteriores a 5.5 build 5517, permite a atacantes remotos ejecutar código y escalar privilegios mediante una suplantación de identidad. No autentica el servidor deseado antes de abrir una ventana del navegador. Un atacante no…

Una vulnerabilidad de comprobación de entrada inapropiada en el código que maneja el cambio de nombre y la recuperación de archivos en Bitdefender Engines, permite a un atacante escribir un archivo arbitrario en una ubicación embebida en un nombre de archivo malicioso especialmente diseñado. Este problema afecta…

Zoho ManageEngine Applications Manager versiones anteriores a 14 build 14730, no presenta protección contra un Cross-site Scripting (XSS) del archivo jsp/header.jsp

La API REST en Zoho ManageEngine Applications Manager versiones anteriores a build 14740, permite una inyección SQL no autenticada por medio de una petición diseñada, conllevando a una ejecución de código remota

Se encontró un fallo en Ansible Engine, en ansible-engine versiones 2.8.x anteriores a 2.8.15 y ansible-engine versiones 2.9.x anteriores a 2.9.13, Cuando se instalan paquetes usando el módulo dnf. Unas firmas GPG son ignoradas durante la instalación incluso cuando disable_gpg_check es establecida en False, que…