Vulnerabilidades

Una vulnerabilidad en el producto Oracle Application Object Library de Oracle E-Business Suite (componente: Profiles). Las versiones compatibles que están afectadas son 12.1.3 y 12.2.3-12.2.10. Una vulnerabilidad fácilmente explotable permite a un atacante poco privilegiado con acceso a la red por medio de…

Una vulnerabilidad en el producto Oracle Applications Manager de Oracle E-Business Suite (componente: View Reports). Las versiones compatibles que están afectadas son 12.1.3 y 12.2.3-12.2.10. Una vulnerabilidad fácilmente explotable permite a un atacante muy privilegiado con acceso a la red por medio de HTTP…

Una vulnerabilidad en el producto Oracle Applications Framework de Oracle E-Business Suite (componente: Home page). La versión compatible que está afectada es la 12.2.10. La vulnerabilidad fácilmente explotable permite a un atacante no autenticado con acceso a la red por medio de HTTP comprometer a Oracle…

Una vulnerabilidad en el producto Oracle Financial Services Analytical Applications Infrastructure de Oracle Financial Services Applications (componente: Rules Framework). Las versiones compatibles que están afectadas son 8.0.6-8.1.0. La vulnerabilidad fácilmente explotable permite a un atacante no…

IBM WebSphere Application Server versiones 7.0, 8.0, 8.5 y 9.0, es vulnerable a un ataque de tipo XML External Entity Injection (XXE) cuando se procesan datos XML. Un atacante remoto podría explotar esta vulnerabilidad para exponer información confidencial o consumir recursos de memoria. IBM X-Force ID:…

IBM WebSphere Application Server versiones 8.0, 8.5 y 9.0, es vulnerable a un ataque de inyección de XML External Entity Injection (XXE) cuando se procesan datos XML. Un atacante remoto podría explotar esta vulnerabilidad para exponer información confidencial o consumir recursos de la memoria. IBM X-Force…

Un módulo de función SPI_WAIT_MILLIS habilitado para RFC en SAP NetWeaver AS ABAP, versiones - 731, 740, 750, permite mantener un proceso de trabajo ocupado durante cualquier período de tiempo. Un atacante podría llamar a este módulo de funciones varias veces para bloquear todos los procesos de trabajo,…

SAP NetWeaver AS Java (Aplicaciones basadas en HTMLB para Java) permite a un atacante autorizado de nivel básico almacenar un archivo malicioso en el servidor. Cuando una víctima intenta abrir este archivo, resulta en una vulnerabilidad de tipo Cross-Site Scripting (XSS) y el atacante puede leer y modificar…

SAP NetWeaver AS JAVA (Customer Usage Provisioning Servlet), versiones - 7.31, 7.40, 7.50, permite a un atacante leer algunos datos estadísticos como la versión del producto, el tráfico, la marca de tiempo, etc. debido a una falta de comprobación de autorización en el servlet

SAP NetWeaver Application Server Java (HTTP Service), versiones - 7.10, 7.11, 7.20, 7.30, 7.31, 7.40, 7.50, no comprueba suficientemente el grupo de inicio de sesión en las URL, resultando en una vulnerabilidad de suplantación de contenido cuando la lista de directorios está habilitada

Un atacante no autorizado puede ser capaz de atraer a un administrador para que invoque comandos telnet de SAP NetWeaver Application Server para Java que permitan al atacante obtener hashes NTLM de un usuario privilegiado

En Apache Commons IO versiones anteriores a 2.7, Cuando se invoca el método FileNameUtils.normalize con una cadena de entrada inapropiada, como "//../foo" o "\\..\ foo", el resultado sería el mismo valor, por lo que posiblemente proporcionar acceso a archivos en el directorio principal, pero no más arriba (por lo…

Una falta de una vulnerabilidad de autorización en el plugin de Micro Focus Application Automation Tools Plugin - Jenkins. La vulnerabilidad afecta a versión 6.7 y versiones anteriores. La vulnerabilidad podría permitir el acceso sin comprobación de permisos

Una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin de Micro Focus Application Automation Tools Plugin - Jenkins. La vulnerabilidad afecta a versión 6.7 y versiones anteriores. La vulnerabilidad podría permitir una comprobación de formularios sin comprobaciones de permisos

Una vulnerabilidad de comprobación inapropiada de certificado en el plugin de Micro Focus Application Automation Tools Plugin - Jenkins. La vulnerabilidad afecta a versión 6.7 y versiones anteriores. La vulnerabilidad podría permitir la desactivación incondicional de certificados SSL/TLS

Una vulnerabilidad de tipo XSS reflejado en el plugin de Micro Focus Application Automation Tools Plugin - Jenkins. La vulnerabilidad afecta a todas las versiones 6.7 y anteriores

IBM WebSphere Application Server versiones 7.0, 8.0 y 8.5, es vulnerable a un ataque de tipo server-side request forgery (SSRF). Al enviar una petición especialmente diseñada, un atacante autenticado remotamente podría explotar esta vulnerabilidad para obtener datos confidenciales. IBM X-Force ID: 197502

IBM Edge versión 4.2, es vulnerable a un ataque de tipo cross-site scripting. Esta vulnerabilidad permite a usuarios insertar código JavaScript arbitrario en la Interfaz de Usuario Web, alterando así la funcionalidad prevista que puede conllevar a una divulgación de credenciales dentro de una sesión…

En BIG-IP versiones 14.1.4 y 16.0.1.1, cuando el proceso Traffic Management Microkernel (TMM) maneja cierto tráfico no revelado, puede comenzar a eliminar todo el tráfico IP fragmentado. Nota: No se evalúan las versiones de software que han alcanzado End of Software Development (EoSD).

En BIG-IP versiones 16.0.x anteriores a 16.0.1.1, versiones 15.1.x anteriores a 15.1.2, versiones 14.1.x anteriores a 14.1.3.1, versiones 13.1.x anteriores a 13.1.3.6, versiones 12.1.x anteriores a 12.1.5.3 y versiones 11.6.x anteriores a 11.6.5.3, Los flujos de reenvío de Multipath TCP (MPTCP) se pueden crear en…

En BIG-IP versiones 16.0.x anteriores a 16.0.1.1, versiones 15.1.x anteriores a 15.1.2, versiones 14.1.x anteriores a 14.1.3.1, versiones 13.1.x anteriores a 13.1.3.6, versiones 12.1.x anteriores a 12.1.5.3 y versiones 11.6.x anteriores a 11.6.5.3, el proceso Traffic Management Microkernel (TMM) puede producir un…

En las versiones 16.0.x anteriores a 16.0.1.1, versiones 15.1.x anteriores a 15.1.2.1, versiones 14.1.x anteriores a 14.1.4, versiones 13.1.x anteriores a 13.1.3.6, versiones 12.1.x anteriores a 12.1.5.3 y versiones 11.6.x anteriores a 11.6.5.3 , la funcionalidad de carga en BIG-IP Advanced WAF y BIG-IP ASM permite a…

En BIG-IP versiones 13.1.3.4-13.1.3.6 y 12.1.5.2, si la clave de BigDB tmm.http.rfc.enforcement está habilitada en un sistema BIG-IP, o si el valor del encabezado de host Bad está validado en la seguridad HTTP de AFM asociado con un servidor virtual, en raras ocasiones, una secuencia específica de peticiones…

En las versiones 15.0.x anteriores a 15.1.0 y 14.1.x anteriores a 14.1.4, el sistema BIG-IP ofrece una opción para conectar clientes HTTP/2 a servidores HTTP/1.x. Cuando un cliente tarda en aceptar respuestas y cierra una conexión prematuramente, el sistema BIG-IP puede retener indefinidamente algunos flujos sin…

En BIG-IP versiones 16.0.x anteriores a 16.0.1.1, versiones 15.1.x anteriores a 15.1.2.1, versiones 14.1.x anteriores a 14.1.4, versiones 13.1.x anteriores a 13.1.3.6, versiones 12.1.x anteriores a 12.1.5.3 y versiones 11.6.x anteriores a 11.6.5.3, los umbrales de protección contra inundaciones SYN no se aplican en…