Vulnerabilidades

Vulnerabilidad en el producto Oracle Managed File Transfer de Oracle Fusion Middleware (componente: MFT Runtime Server). Las versiones compatibles afectadas son 12.2.1.4.0 y 14.1.2.0.0. Una vulnerabilidad fácilmente explotable permite a un atacante con privilegios bajos con acceso a la red a través de T3, IIOP…

Vulnerabilidad en el producto Oracle Managed File Transfer de Oracle Fusion Middleware (componente: MFT Runtime Server). Las versiones compatibles afectadas son 12.2.1.4.0 y 14.1.2.0.0. Una vulnerabilidad fácilmente explotable permite a un atacante con privilegios bajos con acceso a la red a través de HTTP comprometer…

IBM MQ 9.1.0.0 hasta 9.1.0.37 LTS, 9.2.0.0 hasta 9.2.0.43 LTS, 9.3.0.0 hasta 9.3.0.41 LTS, 9.3.0.0 hasta 9.3.5.1 CD, 9.4.0.0 hasta 9.4.0.25 LTS, 9.4.0.0 hasta 9.4.5.1 CD y 10.0.0.0 Managed File Transfer podría permitir a un atacante autenticado leer archivos arbitrarios o realizar una falsificación de solicitudes del…

Vulnerability in the Oracle Managed File Transfer product of Oracle Fusion Middleware (component: MFT Runtime Server). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.0.0. Easily exploitable vulnerability allows low privileged attacker with network access via T3, IIOP to compromise Oracle Managed File…

Vulnerability in the Oracle Managed File Transfer product of Oracle Fusion Middleware (component: MFT Runtime Server). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.0.0. Easily exploitable vulnerability allows low privileged attacker with network access via HTTP to compromise Oracle Managed File…

Vulnerability in the Oracle Managed File Transfer product of Oracle Fusion Middleware (component: MFT Runtime Server). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.0.0. Easily exploitable vulnerability allows low privileged attacker with network access via HTTP to compromise Oracle Managed File…

Vulnerability in the Oracle Managed File Transfer product of Oracle Fusion Middleware (component: MFT Runtime Server). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.0.0. Easily exploitable vulnerability allows low privileged attacker with network access via HTTP to compromise Oracle Managed File…

Vulnerability in the Oracle Managed File Transfer product of Oracle Fusion Middleware (component: MFT Runtime Server). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.0.0. Easily exploitable vulnerability allows low privileged attacker with network access via HTTP to compromise Oracle Managed File…

User‑Controlled HTTP Header in Fortra's GoAnywhere MFT prior to version 7.10.0 allows attackers to trigger a DNS lookup, as well as DNS Rebinding and Information Disclosure.

HTML injection is possible in system generated emails in Fortra's GoAnywhere MFT prior to 7.10.0. Note: The title, details, and description of this CVE were corrected post-publishing.

An improper session timeout issue in Fortra's GoAnywhere MFT prior to version 7.10.0 results in SAML configured Web Users being redirected to the regular login page instead of the SAML login page.

Los valores cifrados en GoAnywhere MFT de Fortra, anteriores a la versión 7.10.0, y en los Agentes de GoAnywhere, anteriores a la versión 2.2.0, utilizan un IV estático que permite a los usuarios administradores forzar el descifrado de datos mediante fuerza bruta.

El límite de intentos de inicio de sesión no se aplica en el servicio SFTP de GoAnywhere MFT de Fortra anterior a la versión 7.10.0 si el usuario web al que se intenta iniciar sesión está configurado para iniciar sesión con una clave SSH, lo que hace que la clave SSH sea vulnerable a ser adivinada mediante fuerza…

An issue was discovered in BMC Control-M/MFT 9.0.20 through 9.0.22. A set of default debug user credentials is hardcoded in cleartext within the application package. If left unchanged, these credentials can be easily obtained and may allow unauthorized access to the MFT API debug interface.

An issue was discovered in BMC Control-M/MFT 9.0.20 through 9.0.22. An API management endpoint allows unauthenticated users to obtain both an API identifier and its corresponding secret value. With these exposed secrets, an attacker could invoke privileged API operations, potentially leading to unauthorized access.

An issue was discovered in BMC Control-M/MFT 9.0.20 through 9.0.22. A SQL injection vulnerability in the MFT API's debug interface allows an authenticated attacker to inject malicious queries due to improper input validation and unsafe dynamic SQL handling. Successful exploitation can enable arbitrary file read/write…

WiFi File Transfer 1.0.8 contiene una vulnerabilidad persistente de cross-site scripting que permite a atacantes remotos inyectar códigos de script maliciosos a través de nombres de archivos y carpetas. Los atacantes pueden explotar la debilidad de validación de entrada del servidor web para ejecutar JavaScript…

Un control de acceso inadecuado en el servicio SFTP en GoAnywhere MFT de Fortra versiones anteriores a la 7.9.0 permite a los usuarios web con un alias de autenticación y una clave SSH válida, pero limitados a la autenticación por contraseña para SFTP, iniciar sesión igualmente usando su clave SSH.

Kiteworks MFT orquesta flujos de trabajo de transferencia de archivos de extremo a extremo. Antes de la versión 9.1.0, una definición desfavorable de roles y permisos en Kiteworks MFT en la gestión de Conexiones podría conducir a una escalada inesperada de privilegios para usuarios autorizados. Este problema ha sido…

Kiteworks MFT orquesta flujos de trabajo de transferencia de archivos de extremo a extremo. Antes de la versión 9.1.0, el back-end de Kiteworks MFT es vulnerable a una especificación incorrecta del destino en un canal de comunicación, lo que permite a un atacante con privilegios administrativos en el sistema, bajo…

Kiteworks MFT orquesta flujos de trabajo de transferencia de archivos de extremo a extremo. Antes de la versión 9.1.0, esta vulnerabilidad podría permitir a un atacante externo obtener acceso a la información de registro del sistema engañando a un administrador para que navegue por una página falsa de Kiteworks MFT…

Kiteworks MFT orquesta flujos de trabajo de transferencia de archivos de extremo a extremo. Antes de la versión 9.1.0, un error en Kiteworks MFT podría causar bajo ciertas circunstancias que la sesión activa de un usuario no caducara correctamente debido a la inactividad. Este problema ha sido parcheado en la versión…

A deserialization vulnerability in the License Servlet of Fortra's GoAnywhere MFT allows an actor with a validly forged license response signature to deserialize an arbitrary actor-controlled object, possibly leading to command injection.

Cuando un usuario web sin permiso de creación en subcarpetas intenta subir un archivo a un directorio inexistente, el mensaje de error incluye la ruta absoluta del servidor, lo que podría permitir el análisis de errores para el mapeo de aplicaciones. Este problema afecta a GoAnywhere: versiones anteriores a la 7.8.0.

La falta de validación de entrada en ciertas funciones del cliente web de GoAnywhere de Fortra anterior a la versión 7.8.0 permite que un atacante con permiso para activar correos electrónicos inserte HTML o JavaScript arbitrario en un correo electrónico.