Vulnerabilidades

Omisión de autorización mediante una clave controlada por el usuario en Microsoft Exchange Server permite a un atacante autorizado realizar manipulación (tampering) a través de una red.

Falsificación de solicitudes del lado del servidor (SSRF) en Microsoft Exchange Server permite a un atacante autorizado realizar suplantación (spoofing) a través de una red.

Neutralización incorrecta de la entrada durante la generación de páginas web ('secuencias de comandos en sitios cruzados') en Microsoft Exchange Server permite a un atacante no autorizado realizar suplantación (spoofing) a través de una red.

Control externo del nombre o la ruta de un archivo en Microsoft Exchange Server permite a un atacante autorizado ejecutar código a través de una red.

Doble liberación (double free) en Microsoft Exchange Server permite a un atacante no autorizado ejecutar código a través de una red.

Se ha encontrado un fallo en el componente multicloud-operators-subscription de Red Hat Advanced Cluster Management (RHACM). Un inquilino con permisos de creación de HelmRelease puede explotar esta vulnerabilidad manipulando el campo `secretRef.Namespace`. Esto permite que la función `GetSecret()` del controlador de…

Se ha encontrado un fallo en el componente multicloud-operators-subscription. Esta vulnerabilidad permite a un inquilino con capacidad para crear recursos personalizados (CR) HelmRelease eludir los controles de seguridad existentes. El controlador de HelmRelease del sistema procesa las plantillas de charts de Helm…

Inyección de objetos PHP por parte de un cliente (Customer) en las versiones de Flexible Subscriptions <= 1.8.1.

Vulnerabilidad en el producto Oracle Scripting de Oracle E-Business Suite (componente: Internal Operations). Las versiones compatibles afectadas son 12.2.3-12.2.15. Una vulnerabilidad fácilmente explotable permite a un atacante no autenticado con acceso a la red a través de HTTP comprometer Oracle Scripting. Los…

Vulnerabilidad en el producto Oracle Scripting de Oracle E-Business Suite (componente: Internal Operations). Las versiones compatibles afectadas son 12.2.3-12.2.15. Una vulnerabilidad difícil de explotar permite a un atacante con privilegios bajos con acceso a la red a través de HTTP comprometer Oracle Scripting. Los…

Vulnerabilidad en el producto Oracle Scripting de Oracle E-Business Suite (componente: Internal Operations). Las versiones compatibles afectadas son 12.2.3-12.2.15. Una vulnerabilidad fácilmente explotable permite a un atacante con privilegios bajos con acceso a la red a través de HTTP comprometer Oracle Scripting.…

Vulnerabilidad en el producto Oracle Scripting de Oracle E-Business Suite (componente: Internal Operations). Las versiones compatibles afectadas son 12.2.3-12.2.15. Una vulnerabilidad fácilmente explotable permite a un atacante con pocos privilegios con acceso a la red a través de HTTP comprometer Oracle Scripting.…

Se ha encontrado un fallo en el componente multicloud-operators-subscription. Esta vulnerabilidad permite a un usuario de un clúster gestionado escalar sus privilegios creando una Subscription con anotaciones específicas manipuladas. Una explotación satisfactoria otorga al atacante la capacidad de desplegar recursos…

Secuencias de comandos en sitios cruzados (XSS) por parte de un suscriptor en Profile Extra Fields by BestWebSoft, versiones <= 1.3.4.

El plugin de WordPress WooCommerce Subscriptions anterior a la 9.1.0 no valida la entrada del usuario antes de deserializarla en tiendas con High-Performance Order Storage habilitado, lo que da lugar a un problema de inyección de objetos PHP que usuarios no autenticados pueden escalar a ejecución remota de código…

Se ha encontrado un fallo en multicloud-operators-subscription. Un usuario con privilegios, en concreto un administrador de espacio de nombres capaz de crear recursos Channel y Subscription, puede explotar esta vulnerabilidad. Manipulando el campo Channel.Spec.SecretRef.Namespace, el usuario puede hacer que el sistema…

Una falsificación de solicitudes del lado del servidor (SSRF) en Microsoft Exchange Server permite a un atacante autorizado elevar privilegios a través de una red.

La falta de autorización en Microsoft Exchange Server permite a un atacante autorizado omitir una característica de seguridad a través de una red.

Una neutralización inadecuada de la entrada durante la generación de páginas web ('secuencias de comandos en sitios cruzados', XSS) en Microsoft Exchange Server permite a un atacante autorizado realizar suplantación (spoofing) a través de una red.

Un desbordamiento de búfer basado en montón en Microsoft Exchange Server permite a un atacante autorizado ejecutar código a través de una red.

La deserialización de datos no confiables en Microsoft Exchange Server permite a un atacante autorizado denegar el servicio a través de una red.

Un control inadecuado de identificadores de recursos ('inyección de recursos') en Microsoft Exchange Server permite a un atacante autorizado elevar privilegios a través de una red.

Omisión de autenticación mediante captura-repetición en Microsoft Exchange Server permite a un atacante autorizado elevar privilegios sobre una red.

El plugin de WordPress Accept PayPal & Stripe with Subscriptions for WooCommerce hasta la 3.1.0 no valida el importe realmente pagado frente al total del pedido en su manejador de retorno de PayPal Data Transfer, lo que permite a un cliente pagar menos del total del pedido y aun así conseguir que el pedido se marque…

El plugin de WordPress Accept PayPal & Stripe with Subscriptions for WooCommerce hasta la 3.1.0 no verifica que la cuenta de PayPal que recibió un pago coincida con la cuenta configurada del comerciante antes de marcar el pedido como pagado, lo que permite a compradores no autenticados completar un pedido de…