Vulnerabilidades

Parse Server es un backend de código abierto que se puede implementar en cualquier infraestructura que pueda ejecutar Node.js. Parse Server falla al cargar un archivo sin extensión. Esta vulnerabilidad ha sido parcheada en las versiones 5.5.6 y 6.3.1.

IBM TXSeries para multiplataformas, 8.1, 8.2 y 9.1, CICS TX Standard CICS TX Advanced 10.1 y 11.1 podría permitir que un usuario privilegiado provoque una Denegación de Servicio (DoS) debido al consumo incontrolado de recursos. ID de IBM X-Force: 266016.

Las versiones 8.1 a 8.8.2 de Pega Platform se ven afectadas por un problema XSS con la descripción del Pin

Las versiones 8.1 a Infinity 23.1.0 de Pega Platform se ven afectadas por un problema XSS con la creación de casos ad-hoc

Las versiones 8.1 a Infinity 23.1.0 de Pega Platform se ven afectadas por un problema XSS con la creación de tareas

Múltiples vulnerabilidades de Cross-Site Scripting (XSS) almacenados en el módulo Commerce en Liferay Portal 7.3.5 hasta 7.4.3.91, y Liferay DXP 7.3 actualización 33 y anteriores, y 7.4 antes de la actualización 92 permiten a atacantes remotos inyectar scripts web o HTML arbitrarios mediante un payload manipulado…

Vulnerabilidad de Cross-Site Scripting (XSS) almacenadas en el widget Wiki en Liferay Portal 7.1.0 a 7.4.3.87 y Liferay DXP 7.0 fixpack 83 a 102, 7.1 fixpack 28 y anteriores, 7.2 fixpack 20 y anteriores, actualización 7.3 33 y anteriores, y 7.4 anterior a la actualización 88 permite a atacantes remotos inyectar…

Múltiples vulnerabilidades de Cross-Site Scripting (XSS) reflejadas en el complemento para la clase OAuth2ProviderApplicationRedirect del módulo OAuth 2.0 en Liferay Portal v7.4.3.41 a 7.4.3.89 y Liferay DXP 7.4 actualización 41 a 89 permiten a atacantes remotos inyectar script web o HTML arbitrarios mediante el (1)…

Vulnerabilidad de Cross-Site Scripting (XSS) almacenada en Page Tree menu Liferay Portal 7.3.6 hasta 7.4.3.78, y Liferay DXP 7.3 fixpack 1 hasta la actualización 23, y 7.4 antes de la actualización 79 permite a atacantes remotos inyectar script web o HTML arbitrario mediante un payload manipulado inyectado en el campo…

Múltiples vulnerabilidades de Cross-Site Scripting (XSS) almacenadas en los componentes de fragmentos en Liferay Portal v7.4.2 hasta 7.4.3.53 y Liferay DXP 7.4 anterior a la actualización 54 permiten a atacantes remotos inyectar script web o HTML arbitrario a través de un payload manipulado inyectado en cualquier…

Vulnerabilidad de Cross-Site Scripting (XSS) en la página de gestión de vocabulario en Liferay Portal v7.4.2 hasta v7.4.3.87, y Liferay DXP v7.4 anterior a la actualización 88 permite a atacantes remotos inyectar script web o HTML arbitrario a través de un payload manipulado inyectado en un vocabulario campo de texto…

Vulnerabilidad de Cross-Site Scripting (XSS) reflejada en la página "Export for Translation" en Liferay Portal 7.4.3.4 hasta 7.4.3.85, y Liferay DXP 7.4 anterior a la actualización 86 permite a atacantes remotos inyectar script web o HTML arbitrario a través del parámetro…

Las versiones afectadas de 1E Platform tienen una vulnerabilidad de inyección Blind SQL que puede provocar la ejecución de código arbitrario. La aplicación del hotfix correspondiente soluciona este problema. para v8.1.2 aplique hotfix Q23166 para v8.4.1 aplique hotfix Q23164 para v9.0.1 aplique hotfix Q23169 Las…

Una configuración predeterminada insegura en KNIME Analytics Platform anterior a 5.2.0 permite un ataque de Cross-Site Scripting (XSS). Cuando se utiliza KNIME Analytics Platform como ejecutor de KNIME Server o KNIME Business Hub, varios nodos de vista basados en JavaScript no sanitizan los datos que se muestran de…

Un desbordamiento de enteros de xerces-c++ 3.2.3 en BigFix Platform permite a atacantes remotos provocar acceso fuera de límites a través de una solicitud HTTP.

El protocolo HTTP/2 permite una denegación de servicio (consumo de recursos del servidor) porque la cancelación de solicitudes puede restablecer muchas transmisiones rápidamente, como se explotó en la naturaleza entre agosto y octubre de 2023.

Se encontró una falla en Open vSwitch que permite que los paquetes de anuncios de vecinos ICMPv6 entre máquinas virtuales omitan las reglas de OpenFlow. Este problema puede permitir que un atacante local cree paquetes especialmente manipulados con un campo de dirección IP de destino modificado o falsificado que puede…

Se encontró una falla en la API de OpenShift, ya que las comprobaciones de admisión no aplican permisos de "custom-host". Este problema podría permitir que un atacante viole los límites, ya que no se aplicarán los permisos.

Se encontró una falla de suplantación de contenido en el endpoint OAuth de OpenShift. Esta falla permite que un atacante remoto y no autenticado inyecte texto en una página web, lo que permite ofuscar una operación de phishing.

Existe un defecto lógico en Ansible. Siempre que se crea un proyecto privado con credenciales incorrectas, se registra en texto plano. Esta falla permite que un atacante recupere las credenciales del registro, lo que resulta en la pérdida de confidencialidad, integridad y disponibilidad.

Se encontró una falla en la plataforma de automatización Ansible. Al crear un nuevo par de claves, el módulo ec2_key imprime la clave privada directamente en la salida estándar. Esta falla permite que un atacante obtenga esas claves de los archivos de registro, comprometiendo la confidencialidad, integridad y…

Se encontró una falla de inyección de HTML en Controller en la configuración de la interfaz de usuario. Esta falla permite a un atacante capturar credenciales creando una página de inicio de sesión personalizada mediante la inyección de HTML, lo que resulta en un compromiso total.

Se encontró una falla en Open Virtual Network donde el monitor de servicio MAC no califica correctamente el límite. Este problema podría permitir que un atacante provoque una denegación de servicio, incluso en implementaciones con CoPP habilitado y configurado correctamente.

Se encontró una falla en Keycloak. Un servidor Keycloak configurado para admitir la autenticación mTLS para clientes OAuth/OpenID no verifica correctamente la cadena de certificados del cliente. Un cliente que posee un certificado adecuado puede autorizarse como cualquier otro cliente, por tanto, acceder a datos que…

Corrupción de la memoria al invocar la función de devolución de llamada de AFE desde ADSP.