Vulnerabilidades

Una vulnerabilidad de inyección SQL en la función /client/api/json/v2/nfareports/compareReport en Zoho ManageEngine NetFlow Analyzer versión 12.3, permite a los atacantes ejecutar comandos SQL arbitrarios por medio del parámetro DeviceID.

Se descubrió un problema en Zoho ManageEngine ServiceDesk Plus 9.3. Hay XSS a través del parámetro PurchaseRequest.do serviceRequestId.

Se descubrió un problema en Zoho ManageEngine ServiceDesk Plus 9.3. Hay XSS a través del parámetro UserConfigID de SearchN.do.

Se descubrió un problema en Zoho ManageEngine ServiceDesk Plus 9.3. Hay XSS a través del parámetro SolutionSearch.do searchText.

Se descubrió un problema en Zoho ManageEngine ServiceDesk Plus 9.3. Hay XSS a través del campo de búsqueda SiteLookup.do.

En Godot hasta la versión 3.1, la ejecución de código remota es posible ya que la política de deserialización no se aplica correctamente.

En Zoho ManageEngine ADSelfService Plus versión 5.x hasta 5704, una vulnerabilidad de tipo cross-site Scripting (XSS) en el archivo authorization.do permite una manipulación no autenticada del código JavaScript inyectando el formulario HTTP en el parametro adscsrf. Un atacante puede utilizar esto para capturar el…

Fue encontrado un problema en Bitdefender Engines en versiones anteriores a la 7.76808. Una vulnerabilidad ha sido encontrada en el analizador dalvik.xmd que resulta de una falta de comprobación adecuada de los datos suministrados por el usuario, lo que puede conllevar a una lectura después del final de un búfer…

Fue encontrado un problema en Bitdefender Engines en versiones anteriores a la 7.76675. Una vulnerabilidad ha sido encontrada en el analizador rar.xmd que resulta de una falta de comprobación adecuada de los datos suministrados por el usuario, lo que puede conllevar a una lectura más allá del final de un búfer…

Fue encontrado un problema en Bitdefender Engines en versiones anteriores a la 7.76662. Se ha descubierto una vulnerabilidad en el analizador iso.xmd que resulta de una falta de comprobación adecuada de los datos suministrados por el usuario, lo que puede conllevar a una circunstancia de división por cero. Junto con…

Fue encontrado un problema en ZOHO ManageEngine OpManager 12.2. Al agregar un Google Map a la aplicación, un usuario autenticado puede cargar un archivo HTML. Este archivo HTML se procesa en varias ubicaciones de la aplicación. JavaScript dentro del HTML cargado también es interpretado por la aplicación. Por lo tanto,…

Fue encontrado un problema en ZOHO ManageEngine OpManager 12.2. El parámetro 'apiKey' de "/ api / json / admin / getmailserversettings" y "/ api / json / dashboard / gotoverviewviewlist" es vulnerable a un ataque de Inyección de tipo Blind SQL.

Fue encontrado un problema en ZOHO ManageEngine Applications Manager versión 12.3. Es posible que un usuario no autenticado vea la lista de nombres de dominio y nombres de usuario utilizados en el entorno de red de una empresa por medio de una solicitud userconfiguration.do?method=editUser.

En Zoho ManageEngine Application Manager 13.1 Build 13100, el usuario administrativo tiene la capacidad para cargar archivos binarios que pueden ejecutarse cuando ocurre una alarma. Un atacante puede abusar de esta funcionalidad cargando un script malicioso que puede ser ejecutado en el sistema remoto.

En Zoho ManageEngine Application Manager 13.1 Build 13100, un usuario autenticado, con privilegios administrativos, tiene la facultad de agregar un widget en cualquier panel. Este widget puede ser un "Utility Widget" con un campo "Custom HTML or Text". Una vez que este widget sea creado, será cargado en el panel donde…

En Zoho ManageEngine Application Manager anterior a la version 14.6 Build 14660, el parámetro 'haid' del módulo '/auditLogAction.do' es vulnerable a un ataque de inyección SQL tipo time-based-blind

Fue encontrado un problema en ZOHO ManageEngine OpManager versión 12.2. Un usuario autenticado puede cargar cualquier archivo que desee compartir en la sección "Group Chat" or "Alarm". Un usuario malicioso puede abusar de esta funcionalidad cargando un Web Shell .

En Zoho ManageEngine ServiceDesk Plus hasta la versión 10.5, los usuarios con menos privilegios (guest) pueden ver una publicación arbitraria agregando su número al SDNotify.do?notifyModule=Solution&mode=E-Mail&notifyTo=SOLFORWARD&id= substring.

Fue descubierto un problema en Zoho ManageEngine ServiceDesk Plus 9.3. Existe un XSS a través del campo de búsqueda SearchN.do.

Un desbordamiento del búfer en Supsystem en Intel (R) DAL anterior a la versión 12.0.35 puede admitir que un usuario privilegiado habilite potencialmente la escalada de privilegios por medio de un acceso local.

El desbordamiento de búfer en el subsistema en Intel (R) CSME versión 12.0.0 hasta 12.0.34, puede permitir que un usuario no identificado habilite potencialmente la escalada de privilegios por medio del acceso a la red.

Vulnerabilidad de error lógico en el subsistema para Intel (R) CSME anterior a la versión 12.0.35, Intel (R) TXE anterior a 3.1.65, 4.0.15, puede permitir que un usuario no autenticado habilite potencialmente el aumento de privilegios mediante un acceso físico.

Vulnerabilidad por inadecuado saneamiento de datos en el subsistema HECI para Intel (R) CSME anterior a las versiones 11.8.65, 11.11.65, 11.22.65, 12.0.35 y Intel (R) SPS anterior a la versión SPS_E3_05.00.04.027.0 puede permitir que un usuario con privilegios pueda potencialmente habilitar la divulgación de…

Vulnerabilidad de inyección de código en el instalador para Intel (R) CSME anterior a las versiones 11.8.65, 11.11.65, 11.22.65, 12.0.35 e Intel (R) TXE versiones 3.1.65, 4.0.15 puede permitir que un usuario sin privilegios habilite potencialmente un aumento de privilegios por medio de un acceso local.

Una vulnerabilidad de control de acceso insuficiente en el subsistema para Intel(R) CSME en versiones anteriores a la 11.x, 12.0.35 Intel(R) TXE 3.x, 4.x, Intel(R) Server Platform Services 3.x, 4.x, Intel(R) SPS en versiones anteriores a la SPS_E3_05.00.04.027.0 puede permitir que un usuario no autenticado habilite…