Vulnerabilidades

El panel de administración de Auth0 AD/LDAP Connector (versiones 6.5.0 y anteriores) escucha en la interfaz de loopback local sin requerir autenticación. Esto permite a un usuario o proceso local con pocos privilegios en el sistema host acceder a los endpoints de gestión del panel sin credenciales. A través de estos…

Se ha encontrado un fallo en 389 Directory Server. Durante la autenticación SASL PLAIN, una identidad obsoleta contenida en una propiedad auxiliar de Cyrus SASL procedente de un intento de bind fallido anterior puede instalarse en una conexión tras un bind posterior, no relacionado y correcto, independientemente de…

Se ha encontrado un fallo en 389 Directory Server. La falta de una comprobación de puntero NULL en la gestión de resultados paginados de op_shared_search permite a un atacante remoto no autenticado bloquear el servidor LDAP enviando una secuencia manipulada de peticiones de búsqueda que usan el control…

Se ha encontrado un fallo de desbordamiento de búfer en el montón en la capa de E/S SASL de 389 Directory Server (389-ds-base). En sasl_io_start_packet(), la longitud del registro envuelto leída de la red solo se valida frente a un límite superior. Una longitud pequeña (0, 1 o 2) produce un encrypted_buffer_count…

Se ha encontrado un fallo en 389 Directory Server. El evaluador de reglas de bind de ACI SELFDN hace coincidir incorrectamente el DN de bind vacío de un cliente LDAP anónimo con un valor de atributo almacenado vacío, lo que permite a un cliente no autenticado superar comprobaciones de control de acceso pensadas para…

Una vulnerabilidad de falta de autorización en HTTP Connector en las versiones de Google Cloud Integration Connectors anteriores a 2025-12-11 en Google Cloud Platform permite a un usuario autenticado escalar privilegios y tomar el control de un proyecto de Google Cloud mediante la vinculación no autorizada de cuentas…

El plugin de WordPress Directorist: AI-Powered Business Directory, Listings & Classified Ads anterior a 8.9 no verifica que el usuario que realiza la solicitud sea el propietario de la entrada que se modifica antes de escribir referencias a archivos subidos en sus metadatos, lo que permite a usuarios con rol de…

La omisión de autorización mediante una clave controlada por el usuario en Microsoft Azure Active Directory B2C permite a un atacante no autorizado elevar privilegios a través de una red.

Vulnerabilidad de falta de autorización en Cascadia Web Services MountDev AI MCP Connector for WordPress que permite explotar niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a MountDev AI MCP Connector for WordPress: desde n/a hasta 1.6.5.

Inyección SQL sin autenticación en GeoDirectory, versiones <= 2.8.174.

Referencias directas inseguras a objetos (IDOR) sin autenticación en Business Directory, versiones <= 6.4.26.

Control de acceso roto sin autenticación en Business Directory, versiones <= 6.4.26.

Vulnerabilidad de neutralización inadecuada de elementos especiales utilizados en una consulta LDAP ('LDAP Injection') en Drupal LDAP / Active Directory Integration que permite la inyección LDAP. Este problema afecta a las versiones de LDAP / Active Directory Integration: desde la 0.0.0 hasta la 2.2.1.

Secuencias de comandos en sitios cruzados (XSS) sin autenticación en LeadConnector, versiones <= 4.0.5.

Vulnerabilidad de interceptación de tráfico en BOSH Director vCenter CPI que permite a atacantes situados entre BOSH Director y vCenter suplantar la API REST de vCenter y capturar las credenciales de administrador mediante la autenticación HTTP Basic, lo que conduce a la toma de control completa de la infraestructura…

MariaDB Connector/R2DBC es un cliente no bloqueante de MariaDB y MySQL implementado en Java. En las versiones anteriores a la 1.4.1, org.mariadb:r2dbc-mariadb no condiciona los plugins de autenticación con contraseña en texto plano al cifrado del transporte, porque la interfaz AuthenticationPlugin no ofrece ninguna…

MariaDB Connector/R2DBC es un cliente no bloqueante de MariaDB y MySQL implementado en Java. En las versiones anteriores a la 1.4.1, org.mariadb:r2dbc-mariadb codifica y decodifica todos los datos de caracteres suponiendo que el juego de caracteres de la conexión es UTF-8. Un servidor puede anunciar un cambio de…

MariaDB Connector/J se utiliza para conectar aplicaciones desarrolladas en Java a bases de datos MariaDB y MySQL. En las versiones anteriores a la 2.7.14, 3.3.5, 3.4.3 y 3.5.9, el conector codifica y decodifica el texto del protocolo y realiza el escape en el lado del cliente suponiendo que el juego de caracteres de…

MariaDB Connector/J se utiliza para conectar aplicaciones desarrolladas en Java a bases de datos MariaDB y MySQL. En las versiones anteriores a la 2.7.14, 3.3.5, 3.4.3 y 3.5.9, se puede forzar a la autenticación PAM dialog a transmitir la contraseña de la cuenta a través de una conexión insegura. El plugin…

MariaDB Connector/J se utiliza para conectar aplicaciones desarrolladas en Java a bases de datos MariaDB y MySQL. En las versiones anteriores a la 2.7.14, 3.3.5, 3.4.3 y 3.5.9, cuando una aplicación Java se conecta con sslMode=verify-full o sslMode=verify-ca, proporciona una contraseña y no configura serverSslCert ni…

MariaDB Connector/Node.js se utiliza para conectar aplicaciones desarrolladas en Node.js a bases de datos MariaDB y MySQL. En las versiones anteriores a la 3.2.4, 3.3.3, 3.4.6 y 3.5.3, MariaDB Connector/Node.js permite la inyección SQL cuando parámetros Buffer controlados por el atacante se escapan en el lado del…

MariaDB Connector/Node.js se utiliza para conectar aplicaciones desarrolladas en Node.js a bases de datos MariaDB y MySQL. En las versiones anteriores a la 3.2.4, 3.3.3, 3.4.6 y 3.5.3, MariaDB Connector/Node.js puede revelar la contraseña de una cuenta cuando se negocia la autenticación PAM dialog a través de un…

Una aplicación que use el controlador ODBC de MongoDB BI Connector puede sufrir un problema de seguridad de memoria cuando una sentencia SQL enviada contiene una secuencia de dígitos inusualmente larga a continuación de una cláusula LIMIT. El problema solo se produce en conexiones en las que está habilitado el ajuste…

Un usuario capaz de enviar SQL a través de una aplicación que use el controlador ODBC de MongoDB Connector for BI puede proporcionar una sentencia de cursor posicionado cuyo nombre de cursor supere el tamaño de un búfer interno de longitud fija. Dado que la longitud del nombre no se limita antes de que el controlador…

MariaDB Connector/Node.js se usa para conectar aplicaciones desarrolladas en Node.js a bases de datos MariaDB y MySQL. En versiones anteriores a la 3.3.3, la 3.4.6 y la 3.5.3, cuando ssl está habilitado sin una CA o un certificado de servidor fijados, MariaDB Connector/Node.js envía las credenciales antes de completar…