Vulnerabilidades

Ha sido descubierto un problema en Open-Xchange OX App Suite en versiones anteriores a 7.8.1-rev10. El frontend App Suite ofrece controlar si un usuario quiere almacenar cookies que exceden la duración de sesión. Esta funcionalidad es útil cuando se inicia sesión desde clientes con privilegios reducidos o entornos…

Ha sido descubierto un problema en Open-Xchange OX App Suite en versiones anteriores a 7.8.1-rev11. El componente de desinfectante de contenido tiene un problema con el filtrado de contenido malicioso en caso de que un código HTML inválido sea provisto. En estos casos el filtro emitirá una representación del contenido…

Ha sido descubierto un problema en Open-Xchange OX AppSuite en versiones anteriores a 7.8.0-rev27. El "defer" servlet ofrece redirigir a un cliente a una URL especificada. Dado que faltaban algunas verificaciones, URLs arbitrarias podrían ser proporcionadas como objetivo de redirección. Los usuarios pueden ser…

Ha sido descubierto un problema en Open-Xchange OX AppSuite en versiones anteriores a 7.8.0-rev27. El parámetro aria-label de los títulos en el Portal pueden ser utilizados para inyectar código script. Esas etiquetas usan el nombre del archivo (e.j. una imagen) que se muestra en la aplicación del portal. El uso de…

Ha sido descubierto un problema en Open-Xchange Server 6 / OX AppSuite en versiones anteriores a 7.8.0-rev26. El parámetro "session" para peticiones de descarga de archivos puede emplearse para inyectar código script que se refleja a través de la posterior página de estado. El código script malicioso puede ser…

IBM IMS Enterprise Suite Data Provider en versiones anteriores a 3.2.0.1 para Microsoft .NET permite a usuarios remotos autenticados obtener información sensible o modificar datos a través de vectores no especificados.

Se ha identificado una vulnerabilidad en Primary Setup Tool (PST) (todas las versiones anteriores a V4.2 HF1), SIMATIC IT Production Suite (todas las versiones anteriores a V7.0 SP1 HFX 2), SIMATIC NET PC-Software (Todas las versiones anteriores a V14), SIMATIC PCS 7 versión V7.1 (Todas las versiones), SIMATIC PCS 7…

Avast Internet Security v11.x.x, Pro Antivirus v11.x.x, Premier v11.x.x, Free Antivirus v11.x.x, Business Security v11.x.x, Endpoint Protection v8.x.x, Endpoint Protection Plus v8.x.x, Endpoint Protection Suite v8.x.x, Endpoint Protection Suite Plus v8.x.x, File Server Security v8.x.x y Email Server Security v8.x.x…

Vulnerabilidad de XSS en Cisco Videoscape Distribution Suite Service Manager (VDS-SM) 3.0 hasta la versión 3.4.0 permite a atacantes remotos inyectar secuencias de comandos web o HTML arbitrarios a través de una URL manipulada, vulnerabilidad también conocida como Bug ID CSCva14552.

Vulnerabilidad de XSS en Business Process Editor en Red Hat JBoss BPM Suite en versiones anteriores a 6.3.3 permite a usuarios remotos autenticados inyectar secuencias de comandos web o HTML arbitrarios apalancando los permisos para crear procesos de negocio.

DEXIS Imaging Suite 10 tiene una contraseña embebida para la cuenta sa, lo que permite a atacantes remotos obtener acceso administrativo insertando esta contraseña en la sesión DEXIS_DATA SQL Server.

El dashbuilder en Red Hat JBoss BPM Suite 6.3.2 no maneja adecuadamente tokens CSRF generados durante una sesión activa y los incluye en cadenas query, lo que facilita a atacantes remotos (1) eludir mecanismos de protección CSRF o (2) llevar a cabo ataques CSRF mediante la obteción de un token antiguo.

Múltiples vulnerabilidades de XSS en las páginas de admin en dashbuilder en Red Hat JBoss BPM Suite 6.3.2 permiten a atacantes remotos inyectar secuencias de comandos web o HTML arbitrarios a través de vectores no especificados.

Red Hat JBoss BPM Suite 6.3.x no incluye el indicador HTTPOnly en una cabecera Set-Cookie para cookies de sesión, lo que facilita a atacantes remotos obtener información potencialmente sensible a través del acceso con secuencia de comandos a las cookies

Media Origination System Suite Software 2.6 y versiones anteriores en Cisco Virtual Media Packager (VMP) permite a atacantes remotos eludir la autenticación y hacer llamadas Platform and Applications Manager (PAM) API arbitrarias a través de vectores no especificados, también conocido como Bug ID CSCuz52110.

HPE Smart Update en Storage Sizing Tool en versiones anteriores a 13.0, Converged Infrastructure Solution Sizer Suite (CISSS) en versiones anteriores a 2.13.1, Power Advisor en versiones anteriores a 7.8.2, Insight Management Sizer en versiones anteriores a 16.12.1, Synergy Planning Tool en versiones anteriores a 3.3,…

Vulnerabilidad de inyección SQL en el método getStringParameterSQL en main/java/org/dashbuilder/dataprovider/sql/dialect/DefaultDialect.java en Dashbuilder en versiones anteriores a 0.6.0.Beta1 permite a atacantes remotos ejecutar comandos SQL arbitrarios a través de un filtro de búsqueda de conjunto de datos en (1)…

Vulnerabilidad no especificada en el componente Oracle E-Business Suite Secure Enterprise Search en Oracle E-Business Suite 12.1.3, 12.2.3, 12.2.4 y 12.2.5 permite a atacantes remotos afectar la confidencialidad a través de vectores relacionados con Search Integration Engine.

Vulnerabilidad no especificada en el componente Oracle Applications Technology Stack en Oracle E-Business Suite 12.1.3, 12.2.3, 12.2.4 y 12.2.5 permite a atacantes remotos afectar la confidencialidad y la integridad a través de vectores relacionados con Configuration.

Vulnerabilidad no especificada en el componente Oracle Application Object Library en Oracle E-Business Suite 12.1.3, 12.2.3, 12.2.4 y 12.2.5 permite a administradores remotos afectar la confidencialidad a través de vectores relacionados con pruebas AOL Diagnostic.

Huawei HiSuite en versiones anteriores a 4.0.4.204_ove (fuera de China) y en versiones anteriores a 4.0.4.301 (China) utiliza un ACL débil (FILE_WRITE_DATA para BUILTIN\Users) para el directorio de servicio HiSuite, lo que permite a usuarios locales obtener privilegios SYSTEM a través de un archivo Troyano (1)…

Huawei HiSuite (en China) en versiones anteriores a 4.0.4.301 y (fuera de China) en versiones anteriores a 4.0.4.204_ove permite a atacantes remotos instalar aplicaciones arbitrarias en un teléfono conectado a través de vectores no especificados.

El componente Inventory Solution en Management Agent en el cliente en Symantec Altiris IT Management Suite (ITMS) hasta la versión 7.6 HF7 permite a usuarios locales eludir las restricciones destinadas a la lista negra de aplicaciones a través de vectores no especificados.

HPE P9000 Command View Advanced Edition Software (CVAE) 7.x y 8.x en versiones anteriores a 8.4.0-00 y XP7 CVAE 7.x y 8.x en versiones anteriores a 8.4.0-00 permiten a atacantes remotos ejecutar comandos arbitrarios a través de un objeto Java serializado manipulado, relacionado con la librería Apache Commons…

EMC RSA BSAFE Micro Edition Suite (MES) 4.0.x y 4.1.x en versiones anteriores a 4.1.5, RSA BSAFE Crypto-C Micro Edition (CCME) 4.0.x y 4.1.x en versiones anteriores a 4.1.3, RSA BSAFE Crypto-J en versiones anteriores a 6.2.1, RSA BSAFE SSL-J en versiones anteriores a 6.2.1 y RSA BSAFE SSL-C en versiones anteriores a…