Vulnerabilidades

Neutralización Incorrecta de Datos dentro de Expresiones XPath ('Inyección XPath') vulnerabilidad en Apache HertzBeat. Este problema afecta a Apache HertzBeat: desde 1.7.1 anterior a 1.8.0. Se recomienda a los usuarios actualizar a la versión 1.8.0, que corrige el problema.

Improper Neutralization of Special Elements used in an LDAP Query ('LDAP Injection') vulnerability in Apache HertzBeat . The attacker needs to have an authenticated account with access, and the attack can only be triggered by crafting custom commands. A successful attack would result in arbitrary script execution.…

XML Injection RCE by parse http sitemap xml response vulnerability in Apache HertzBeat. The attacker needs to have an authenticated account with access, and add monitor parsed by xml, returned special content can trigger the XML parsing vulnerability. This issue affects Apache HertzBeat (incubating): before 1.7.0.…

Vulnerabilidad de Server-Side Request Forgery (SSRF) en Apache HertzBeat. Este problema afecta a Apache HertzBeat (en desarrollo): versiones anteriores a la 1.7.0. Se recomienda actualizar a la versión 1.7.0, que soluciona el problema.

Vulnerabilidad de exposición de información confidencial a un agente no autorizado en Apache HertzBeat. Este problema afecta a Apache HertzBeat: versiones anteriores a 1.6.1. Se recomienda a los usuarios que actualicen a la versión 1.6.1, que soluciona el problema.

Vulnerabilidad de neutralización inadecuada de elementos especiales utilizados en un comando ('Inyección de comandos') en Apache HertzBeat (en incubación). Esta vulnerabilidad solo puede ser explotada por atacantes autorizados. Este problema afecta a Apache HertzBeat (en incubación): versiones anteriores a la 1.6.1.…

Vulnerabilidad de deserialización de datos no confiables en Apache HertzBeat. Esta vulnerabilidad solo puede ser explotada por atacantes autorizados. Este problema afecta a Apache HertzBeat: versiones anteriores a 1.6.1. Se recomienda a los usuarios que actualicen a la versión 1.6.1, que soluciona el problema.

Vulnerabilidad de carga XML malintencionada en Apache HertzBeat (en incubación). Esta vulnerabilidad solo puede ser explotada por atacantes autorizados. Este problema afecta a Apache HertzBeat (en incubación): versiones anteriores a la 1.6.0. Se recomienda a los usuarios que actualicen a la versión 1.6.0, que…

Hertzbeat es un sistema de monitoreo en tiempo real de código abierto. Hertzbeat tiene un RCE autenticado (rol de usuario) mediante una deserialización insegura en /api/monitors/import. Esta vulnerabilidad se solucionó en 1.6.0.

Hertzbeat es un sistema de monitoreo en tiempo real de código abierto. Hertzbeat 1.6.0 y versiones anteriores declaran un endpoint /api/monitor/{monitorId}/metric/{metricFull} para descargar métricas de trabajo. En el proceso, ejecuta una consulta SQL con datos controlados por el usuario, lo que permite la inyección…

Hertzbeat es un sistema de monitorización en tiempo real. En la implementación de `JmxCollectImpl.java`, `JMXConnectorFactory.connect` es vulnerable a la inyección JNDI. La interfaz correspondiente es `/api/monitor/detect`. Si hay un campo URL, la dirección se utilizará de forma predeterminada. Cuando la URL es…

Hertzbeat es un sistema de monitorización en tiempo real. En la interfaz de `/define/yml`, SnakeYAML se usa como analizador para analizar el contenido yml, pero no se usa ninguna configuración de seguridad, lo que genera una vulnerabilidad de deserialización de YAML. La versión 1.4.1 corrige esta vulnerabilidad.

Hertzbeat es un sistema de monitorización en tiempo real. En `CalculateAlarm.java`, `AviatorEvaluator` se usa para ejecutar directamente la función de expresión y no se configura ninguna política de seguridad, lo que da como resultado la inyección de script AviatorScript (que puede ejecutar cualquier método estático…

Hertzbeat es un sistema de monitoreo en tiempo real de código abierto. Antes de la versión 1.4.1, los problemas de configuración de permisos de Spring Boot provocaban vulnerabilidades de acceso no autorizado a tres interfaces. Esto podría resultar en la divulgación de información confidencial del servidor. La versión…

Hertzbeat es un sistema de monitoreo en tiempo real de código abierto. Hertzbeat utiliza aviatorscript para evaluar expresiones de alerta. Se supone que las expresiones de alerta son expresiones simples. Sin embargo, debido a una sanitización inadecuada de las expresiones de alerta en versiones anteriores a la 1.4.1,…

Hertzbeat es un sistema de monitoreo en tiempo real de código abierto con monitoreo personalizado, clúster de alto rendimiento, similar a Prometheus y sin agentes. Las versiones 1.20 y anteriores de Hertzbeat tienen una vulnerabilidad de omisión de permisos. La autenticación del sistema se puede omitir e invocar…

Se ha detectado que Hertz versión v0.3.0, contiene una vulnerabilidad de salto de ruta por medio de la función normalizePath