Vulnerabilidades

Escalada de privilegios local debido a vulnerabilidad de secuestro de DLL. Los siguientes productos están afectados: Acronis True Image (Windows) anterior a la compilación 42902.

Un problema en el mecanismo de actualización del firmware de Qianniao QN-L23PA0904 v20250721.1640 permite a los atacantes obtener acceso root, instalar puertas traseras y exfiltrar datos mediante el suministro de un script iu.sh manipulado contenido en una tarjeta SD.

Un problema fue descubierto en Percona PMM antes de 3.7. Debido a que un usuario interno de la base de datos conserva privilegios de superusuario específicos, un atacante con derechos de pmm-admin puede abusar de la función 'Add data source' para salir del contexto de la base de datos y ejecutar comandos de shell en…

Endian Firewall versión 3.3.25 y anteriores permiten cross-site scripting (XSS) almacenado a través del parámetro remark a /manage/password/web/. Un atacante autenticado puede inyectar JavaScript arbitrario que se almacena y ejecuta cuando otros usuarios ven la página afectada.

Endian cortafuegos versión 3.3.25 y anteriores permiten cross-site scripting (XSS) almacenado a través del parámetro new_cert_name a /manage/ca/certificate/. Un atacante autenticado puede inyectar JavaScript arbitrario que se almacena y ejecuta cuando otros usuarios ven la página afectada.

La versión 3.3.25 y anteriores de Endian Cortafuegos permiten cross-site scripting (XSS) almacenado a través del parámetro remark en /manage/vpnauthentication/user/. Un atacante autenticado puede inyectar código JavaScript arbitrario que se almacena y ejecuta cuando otros usuarios ven la página afectada.

Endian Firewall versión 3.3.25 y anteriores permiten cross-site scripting almacenado (XSS) a través del parámetro remark a /manage/ipsec/. Un atacante autenticado puede inyectar JavaScript arbitrario que se almacena y ejecuta cuando otros usuarios ven la página afectada.

Endian Firewall versión 3.3.25 y anteriores permiten cross-site scripting (XSS) almacenado a través del parámetro REMARK en /cgi-bin/openvpnclient.cgi. Un atacante autenticado puede inyectar JavaScript arbitrario que se almacena y ejecuta cuando otros usuarios ven la página afectada.

Endian Firewall versión 3.3.25 y anteriores permiten cross-site scripting almacenado (XSS) a través del parámetro remark a /manage/dnsmasq/localdomains/. Un atacante autenticado puede inyectar JavaScript arbitrario que se almacena y ejecuta cuando otros usuarios ven la página afectada.

Endian cortafuegos versión 3.3.25 y anteriores permiten cross-site scripting almacenado (XSS) a través del parámetro ADDRESS BCC a /cgi-bin/smtprouting.cgi. Un atacante autenticado puede inyectar JavaScript arbitrario que se almacena y ejecuta cuando otros usuarios ven la página afectada.

Endian Cortafuegos versión 3.3.25 y anteriores permiten cross-site scripting almacenado (XSS) a través del parámetro domain a /manage/smtpscan/domainrouting/. Un atacante autenticado puede inyectar JavaScript arbitrario que se almacena y ejecuta cuando otros usuarios ven la página afectada.

Endian Firewall versión 3.3.25 y anteriores permiten cross-site scripting (XSS) almacenado a través del parámetro DOMAIN en /cgi-bin/smtpdomains.cgi. Un atacante autenticado puede inyectar JavaScript arbitrario que se almacena y ejecuta cuando otros usuarios ven la página afectada.

La versión 3.3.25 y anteriores de Endian Cortafuegos permiten cross-site scripting (XSS) almacenado a través del parámetro group en /cgi-bin/proxygroup.cgi. Un atacante autenticado puede inyectar JavaScript arbitrario que se almacena y ejecuta cuando otros usuarios ven la página afectada.

Endian Firewall versión 3.3.25 y anteriores permiten cross-site scripting almacenado (XSS) a través del parámetro user a /cgi-bin/proxyuser.cgi. Un atacante autenticado puede inyectar JavaScript arbitrario que se almacena y ejecuta cuando otros usuarios ven la página afectada.

Endian Cortafuegos versión 3.3.25 y anteriores permiten cross-site scripting (XSS) almacenado a través del parámetro mimetypes a /cgi-bin/proxypolicy.cgi. Un atacante autenticado puede inyectar JavaScript arbitrario que se almacena y ejecuta cuando otros usuarios ven la página afectada.

Endian Firewall versión 3.3.25 y anteriores permiten cross-site scripting (XSS) almacenado a través del parámetro remark a /cgi-bin/xtaccess.cgi. Un atacante autenticado puede inyectar JavaScript arbitrario que se almacena y ejecuta cuando otros usuarios ven la página afectada.

La versión 3.3.25 y anteriores de Endian cortafuegos permiten cross-site scripting (XSS) almacenado a través del parámetro remark a /cgi-bin/vpnfw.cgi. Un atacante autenticado puede inyectar JavaScript arbitrario que se almacena y ejecuta cuando otros usuarios ven la página afectada.

Endian Cortafuegos versión 3.3.25 y anteriores permiten cross-site scripting (XSS) almacenado a través del parámetro remark a /cgi-bin/zonefw.cgi. Un atacante autenticado puede inyectar JavaScript arbitrario que se almacena y ejecuta cuando otros usuarios ven la página afectada.

Endian Firewall versión 3.3.25 y anteriores permiten cross-site scripting (XSS) almacenado a través del parámetro remark a /cgi-bin/outgoingfw.cgi. Un atacante autenticado puede inyectar JavaScript arbitrario que se almacena y ejecuta cuando otros usuarios ven la página afectada.

Endian Firewall versión 3.3.25 y anteriores permiten cross-site scripting almacenado (XSS) a través del parámetro remark a /cgi-bin/incoming.cgi. Un atacante autenticado puede inyectar JavaScript arbitrario que se almacena y ejecuta cuando otros usuarios ven la página afectada.

Endian Firewall versión 3.3.25 y anteriores permiten cross-site scripting (XSS) almacenado a través del parámetro remark en /cgi-bin/snat.cgi. Un atacante autenticado puede inyectar JavaScript arbitrario que se almacena y ejecuta cuando otros usuarios ven la página afectada.

Endian Cortafuegos versión 3.3.25 y anteriores permiten cross-site scripting almacenado (XSS) a través del parámetro remark a /cgi-bin/dnat.cgi. Un atacante autenticado puede inyectar JavaScript arbitrario que se almacena y ejecuta cuando otros usuarios ven la página afectada.

Endian Cortafuegos versión 3.3.25 y anteriores permiten cross-site scripting almacenado (XSS) a través del parámetro dscp a /manage/qos/rules/. Un atacante autenticado puede inyectar JavaScript arbitrario que se almacena y ejecuta cuando otros usuarios ven la página afectada.

Endian cortafuegos versión 3.3.25 y anteriores permiten cross-site scripting almacenado (XSS) a través del parámetro name a /manage/qos/classes/. Un atacante autenticado puede inyectar JavaScript arbitrario que se almacena y ejecuta cuando otros usuarios ven la página afectada.

Endian Cortafuegos versión 3.3.25 y anteriores permiten cross-site scripting (XSS) almacenado a través del parámetro remark user ham spam a /cgi-bin/salearn.cgi. Un atacante autenticado puede inyectar JavaScript arbitrario que se almacena y ejecuta cuando otros usuarios ven la página afectada.