Vulnerabilidades

Slack Morphism es una biblioteca cliente para la API Web de Slack, la API de eventos, Socket Mode y Block Kit. Las versiones desde la 1.0.0 hasta la 2.27.0 exponen la HMAC de solicitud de Slack correcta cuando falla la verificación de la firma. Para una solicitud no válida, `slack-morphism` calcula la firma correcta…

Se ha detectado un fallo en slackero phpwcms hasta la versión 1.9.49/1.12.3. Este problema afecta al procesamiento de algunos elementos no identificados del archivo include/inc_front/content/cnt23.article.inc.php del componente Extension Check. Esta manipulación del argumento POST_name provoca una carga sin…

Las versiones de OpenClaw Slack anteriores a 2026.8.1 no aplican correctamente las listas de remitentes permitidos en los mensajes directos entre varias personas. Los participantes no permitidos pueden activar agentes de Slack y acceder a las herramientas y datos concedidos a esos agentes eludiendo las políticas de…

El paquete npm @openclaw/slack anterior a 2026.8.1 contiene un fallo de autorización en su gestor de descarga de archivos de Slack: cuando un archivo carece de los metadatos de compartición utilizados para demostrar que pertenece a la conversación solicitada, la comprobación de autorización de la conversación falla en…

nebula-mesh es un plano de control autoalojado para la VPN en malla Slack Nebula. Desde la versión 0.6.0 hasta antes de la versión 0.7.2, los operadores no administradores (rol user) pueden establecer allow_private: true en su propia suscripción de webhook gestionada (POST/PATCH /api/v1/webhook-subscriptions). No…

nebula-mesh es un plano de control autoalojado para la VPN en malla Slack Nebula. Antes de la versión 0.7.1, la revocación es el único mecanismo en banda que aísla un host comprometido o dado de baja de una malla Nebula. Como la lista de bloqueo nunca llega al config.yml de ningún par, un host Blocked conserva la…

nebula-mesh es un plano de control autoalojado para la VPN en malla Slack Nebula. Antes de la versión 0.3.8, el gestor web renderMobileBundle pasa el *pki.CAResolver real directamente a mobilebundle.Build. Dentro de Build, resolver.LoadByID descifra la clave privada ed25519 de la CA en un *pki.CAManager, pero Build…

nebula-mesh es un plano de control autoalojado para la VPN en malla Slack Nebula. Antes de la versión 0.3.7, dos carencias de autorización relacionadas permiten que un host en el que ya no se debería confiar obtenga un certificado Nebula nuevo y válido, porque nebula-mgmt no vuelve a evaluar el estado de…

tiger-slack iniciaba su transporte HTTP de MCP sin habilitar la lista de hosts permitidos que proporciona el SDK subyacente. mcp/src/httpServer.ts llamaba a la función auxiliar compartida httpServerFactory y nunca establecía la opción de protección contra DNS rebinding, por lo que el transporte aceptaba una solicitud…

TIER IV Nebula hasta la versión 1.2.0 contiene una vulnerabilidad de lectura fuera de límites en la función Vlp32Decoder::unpack() que permite a atacantes remotos no autenticados causar que el decodificador lea más allá del final de un búfer UDP recibido hacia memoria heap adyacente enviando un datagrama UDP corto.…

Nebula Mesh es un plano de control autoalojado para la VPN de malla Slack Nebula. En las versiones 0.3.5 e inferiores, la interfaz de usuario web (/ui/*) no aplica el alcance de CA por operador empleado por la API JSON. Esto fue abordado parcialmente por GHSA-598g-h2vc-h5vg, pero los cambios no fueron implementados en…

nebula-mesh es un plano de control autoalojado para la red privada virtual de malla Slack Nebula. Antes de la versión 0.3.7, internal/pki/resolver.go:36-64 construye un CAManager con la clave privada ed25519.PrivateKey en texto plano después de desempaquetar a través de la clave maestra; internal/pki/ca.go:13-16 la…

Nebula es una herramienta de red superpuesta escalable. En las versiones de 1.7.0 a 1.10.2, al usar certificados P256 (lo cual no es la configuración predeterminada), es posible evadir una entrada en la lista de bloqueo creada contra la huella digital de un certificado al usar la Maleabilidad de la Firma ECDSA para…

Slack Nebula anterior a la versión 1.9.7 maneja incorrectamente CIDR en algunas configuraciones y por lo tanto acepta direcciones IP de origen arbitrarias dentro de la red Nebula.

Existe una vulnerabilidad de exfiltración de datos en el servidor obsoleto del Protocolo de Contexto de Modelo (MCP) de Slack de Anthropic mediante el despliegue automático de enlaces. Cuando un agente de IA que utiliza el servidor MCP de Slack procesa datos no confiables, estos pueden manipularse para generar…

La vulnerabilidad de falta de autorización en Dor Zuberi Slack Notifications by dorzki permite explotar niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a las notificaciones de Slack de dorzki desde la versión n/d hasta la 2.0.7.

Slack Morphism es una moderna librería cliente para Slack Web/Events API/Socket Mode y Block Kit. Los registros de depuración exponen URLs confidenciales para los webhooks de Slack que contienen información privada. El problema ha sido corregido en versión 1.3.2 que redacta las URLs confidenciales para los webhooks.…

Slack Morphism es una biblioteca cliente asíncrona para Rust. En versiones anteriores a 0.41.0, era posible que la información del cliente Slack OAuth fuera filtrada en los registros de depuración de la aplicación. En la versión 0.41.0 fue introducido un formato de depuración más estricto y seguro para los tipos de…

jsx-slack es un paquete para construir objetos JSON para las superficies del kit de bloques Slack desde JSX. Los mantenedores encontraron que el parche para CVE-2021-43838 en jsx-slack versión v4.5.1, es insuficiente para la protección contra un ataque de denegación de servicio por expresión regular (ReDoS). Si un…

jsx-slack es una biblioteca para construir objetos JSON para las superficies del Slack Block Kit desde JSX. En versiones anteriores a la 4.5.1, los usuarios son vulnerables a un ataque de denegación de servicio por expresión regular (ReDoS). Si el atacante puede poner muchos elementos JSX en la etiqueta…

Un endpoint en el plugin Atlassian Jira Server para Slack desde versiones 0.0.3 anteriores a 2.0.15, permite a atacantes remotos ejecutar código arbitrario por medio de una vulnerabilidad de inyección de plantilla

Jenkins Slack Upload Plugin versiones 1.7 y anteriores, almacenan un secreto sin cifrar en los archivos config.xml de trabajo en el maestro de Jenkins, donde puede ser visualizados por usuarios con permiso de Lectura Extendida o acceso al sistema de archivos maestro

Slack Nebula versiones hasta 1.1.0, contiene una vulnerabilidad de ruta relativa que permite a un atacante poco privilegiado ejecutar código en el contexto del usuario root por medio del archivo tun_darwin.go o tun_windows.go. Un usuario también puede usar Nebula para ejecutar código arbitrario en el propio contexto…

Slackware versiones 13.1, 13.37, 14.0 y 14.1, contienen permisos de tipo world-writable en los programas iodbctest y iodbctestw dentro del paquete libiodbc, lo que podría permitir a usuarios locales usar información de RPATH para ejecutar código arbitrario con privilegios root.

Slackware versiones 14.0 y 14.1, y Slackware LLVM versiones 3.0-i486-2 y 3.3-i486-2, contienen permisos de tipo world-writable en el directorio /tmp que podrían permitir a atacantes remotos ejecutar código arbitrario con privilegios de root.