Vulnerabilidades

MongoDB Compass puede interpolar un nombre de base de datos sin escapar en la entrada inicial de su shell de MongoDB integrado cuando un usuario abre el shell desde la vista de esa base de datos. Un usuario con privilegios para crear bases de datos en un servidor al que se conecta un usuario de Compass puede, en…

When importing connections in Compass it is possible to override some connection options that are otherwise can't be changed via connection form. In particular it is possible to provide a custom browser open command for OIDC auth flow that is usually can be set only globally via Compass settings.

Contaminación de prototipos en la lógica de análisis de CSV durante la importación puede llevar a que rutas de archivo no confiables (pero no argumentos) entren en shell.openExternal después de un comportamiento de usuario específico, resultando en la ejecución de comandos 'de 1 clic'.

TranzAxis 3.2.41.10.26 allows authenticated users to inject cross-site scripting via the `Open Object in Tree` endpoint, allowing attackers to steal session cookies and potentially escalate privileges.

Una vulnerabilidad de seguridad en HCL Compass puede permitir al atacante obtener acceso no autorizado a la base de datos.

MongoDB Compass puede ser susceptible a una escalada de privilegios locales en determinadas condiciones, lo que podría permitir acciones no autorizadas en el sistema de un usuario con privilegios elevados, cuando un archivo manipulado se almacena en C:\node_modules\. Este problema afecta a MongoDB Compass anterior a…

MongoDB Compass puede ser susceptible a la inyección de código debido a una configuración insuficiente de protección de la zona de pruebas con el uso del analizador de shell ejson en el manejo de conexiones de Compass. Este problema afecta a las versiones de MongoDB Compass anteriores a la versión 1.42.2

MongoDB Compass puede aceptar y utilizar entradas no suficientemente validadas de una fuente externa que no sea de confianza. Esto puede provocar un comportamiento no deseado de la aplicación, incluida la divulgación de datos y permitir que los atacantes se hagan pasar por usuarios. Este problema afecta a las…

HCL Compass es vulnerable a requisitos de contraseña inseguros. Un atacante podría adivinar fácilmente la contraseña y obtener acceso a las cuentas de usuario.

HCL Compass es vulnerable a no invalidar las sesiones. La aplicación no invalida las sesiones autenticadas cuando se llama a la función de cierre de sesión. Si se puede descubrir el identificador de sesión, podría reproducirse en la aplicación y usarse para hacerse pasar por el usuario.

HCL Compass es vulnerable a la falta de seguridad en la carga de archivos. Un atacante podría cargar archivos que contengan código activo que pueda ser ejecutado por el servidor o por el navegador web de un usuario.

Se ha descubierto que la versión v2.2.0 e inferiores de University Compass contienen una vulnerabilidad de inyección de código en el componente "org.compass.core.executor.DefaultExecutorManager.configure". Esta vulnerabilidad se aprovecha pasando un argumento no comprobado.

broccoli-compass v0.2.4 was discovered to contain a remote code execution (RCE) vulnerability via the child_process function.

HCL Compass is vulnerable to Cross-Origin Resource Sharing (CORS). This vulnerability can allow an unprivileged remote attacker to trick a legitimate user into accessing a special resource and executing a malicious request.

El software Honeywell Alerton Compass versión 1.6.5, permite realizar cambios de configuración no autenticados desde usuarios remotos. Esto permite que los datos de configuración sean almacenados en el controlador y luego sean implementados. Un usuario con intenciones maliciosas puede enviar un paquete diseñado para…

Se presenta una vulnerabilidad de Inyección de Encabezado en Compass Plus TranzWare Online FIMI Web Interface Tranzware Online (TWO) versión 5.3.33.3 F38 y FIMI versión 4.2.19.4 25. El encabezado HTTP del host puede ser manipulada y causar a la aplicación comportarse de manera no esperada. Cualquier cambio realizado…

Las versiones de Telenot CompasX anteriores a la 32.0 utilizan una semilla débil para la generación de números aleatorios, lo que hace que las claves AES utilizadas en las etiquetas NFC para la autorización local de los usuarios sean predecibles. Esto puede llevar a la pérdida total de la fiabilidad de la instalación

Un tercero malicioso con acceso local a la máquina de Windows donde MongoDB Compass está instalado puede ejecutar software arbitrario con los privilegios del usuario que está ejecutando MongoDB Compass. Este problema afecta a: MongoDB Inc. MongoDB Compass versiones 1.x versión 1.3.0 en Windows y versiones…

El archivo index.jsp en TranzWare e-Commerce Payment Gateway (TWEC PG) versiones anteriores a 3.1.27.5, presentaba una vulnerabilidad de tipo cross-site scripting (XSS) almacenado

/exec en TranzWare e-Commerce Payment Gateway (TWEC PG) versiones anteriores a 3.1.27.5, presentaba una vulnerabilidad en su analizador XML

TranzWare (POI) FIMI versiones anteriores a 4.2.20.4.2, permite al archivo login_tw.php un ataque de tipo Cross-Site Scripting (XSS) reflejado

compass-compile versiones hasta 0.0.1, es vulnerable a una Inyección de Comandos. Permite una ejecución de comandos arbitrarios por medio del argumento options.

Los complementos Compassion Switzerland 10.01.4 para Odoo permiten la inyección SQL en models/partner_compassion.py.

El dispositivo Android Plum Compass con una huella digital de compilación de PLUM/c179_hwf_221/c179_hwf_221:6.0/MRA58K/W16.51.5-22:user/release-keys, contiene una aplicación de plataforma preinstalada con un nombre de paquete de com.android.settings (versionCode=23, versionName=6.0-eng.root.20161223.224055) que…

SEL Compass, en versiones 3.0.5.1 y anteriores, otorga a todos los usuarios acceso total al directorio SEL Compass, lo que podría permitir la modificación o sobrescritura de archivos en la carpeta de instalación de Compass. Esto podría resultar en un escalado de privilegios y/o en la ejecución de código malicioso.