Vulnerabilidades

*** Pendiente de traducción *** Rejected reason: Not used

Tanium abordó una vulnerabilidad de controles de acceso inadecuados en Tanium Server.

Se ha descubierto una falla de seguridad en Tenda AC21 1.1.1.1/1.dmzip/16.03.08.16. El elemento afectado es la función mDMZSetCfg del archivo /goform/mDMZSetCfg. La manipulación del argumento dmzIp resulta en inyección de comandos. El ataque puede ser ejecutado remotamente. El exploit ha sido publicado y puede ser usado para ataques.

Una vulnerabilidad fue identificada en Tenda AC21 16.03.08.16. El elemento afectado es la función fromAdvSetMacMtuWan del archivo /goform/AdvSetMacMtuWan. La manipulación conduce a un desbordamiento de búfer basado en pila. La explotación remota del ataque es posible. El exploit está disponible públicamente y podría ser utilizado.

Una vulnerabilidad de inyección de comandos existe en nvm (Node Version Manager) versiones 0.40.3 e inferiores. La función nvm_download() utiliza eval para ejecutar comandos wget, y la variable de entorno NVM_AUTH_HEADER no fue saneada en la ruta de código de wget (aunque sí fue saneada en la ruta de código de curl). Un atacante que puede establecer variables de entorno en el entorno de shell de una víctima (por ejemplo, a través de configuraciones maliciosas de CI/CD, dotfiles comprometidos o imágenes de Docker) puede inyectar comandos de shell arbitrarios que se ejecutan cuando la víctima ejecuta comandos nvm que activan descargas, como 'nvm install' o 'nvm ls-remote'.

*** Pendiente de traducción *** Runtipi is a personal homeserver orchestrator. Starting in version 4.5.0 and prior to version 4.7.2, an unauthenticated Path Traversal vulnerability in the `UserConfigController` allows any remote user to overwrite the system's `docker-compose.yml` configuration file. By exploiting insecure URN parsing, an attacker can replace the primary stack configuration with a malicious one, resulting in full Remote Code Execution (RCE) and host filesystem compromise the next time the instance is restarted by the operator. Version 4.7.2 fixes the vulnerability.

pwn.college DOJO es una plataforma educativa para aprender ciberseguridad. Antes del commit e33da14449a5abcff507e554f66e2141d6683b0a, la falta de sandboxing en las rutas `/workspace/*` permite a los autores de desafíos inyectar javascript arbitrario que se ejecuta en el mismo origen que 'http[:]//dojo[.]website'. Esto es un escape de sandbox que lleva a la ejecución arbitraria de javascript como el origen del dojo. Un autor de desafíos puede crear una página que ejecute cualquier acción peligrosa que el usuario podría. La versión e33da14449a5abcff507e554f66e2141d6683b0a soluciona el problema.

*** Pendiente de traducción *** PolarLearn is a free and open-source learning program. Prior to version 0-PRERELEASE-15, the vote API route (`POST /api/v1/forum/vote`) trusts the JSON body’s `direction` value without runtime validation. TypeScript types are not enforced at runtime, so an attacker can send arbitrary strings (e.g., `"x"`) as `direction`. Downstream (`VoteServer`) treats any non-`"up"` and non-`null` value as a downvote and persists the invalid value in `votes_data`. This can be exploited to bypass intended business logic. Version 0-PRERELEASE-15 fixes the vulnerability.

*** Pendiente de traducción *** TrustTunnel is an open-source VPN protocol with a rule bypass issue in versions prior to 0.9.115. In `tls_listener.rs`, `TlsListener::listen()` peeks 1024 bytes and calls `extract_client_random(...)`. If `parse_tls_plaintext` fails (for example, a fragmented/partial ClientHello split across TCP writes), `extract_client_random` returns `None`. In `rules.rs`, `RulesEngine::evaluate` only evaluates `client_random_prefix` when `client_random` is `Some(...)`. As a result, when extraction fails (`client_random == None`), any rule that relies on `client_random_prefix` matching is skipped and evaluation falls through to later rules. As an important semantics note: `client_random_prefix` is a match condition only. It does not mean "block non-matching prefixes" by itself. A rule with `client_random_prefix = ...` triggers its `action` only when the prefix matches (and the field is available to evaluate). Non-matches (or `None`) simply do not match that rule and continue to fall through. The vulnerability is fixed in version 0.9.115.

*** Pendiente de traducción *** Inspektor Gadget is a set of tools and framework for data collection and system inspection on Kubernetes clusters and Linux hosts using eBPF. The `ig` binary provides a subcommand for image building, used to generate custom gadget OCI images. A part of this functionality is implemented in the file `inspektor-gadget/cmd/common/image/build.go`. The `Makefile.build` file is the Makefile template employed during the building process. This file includes user-controlled data in an unsafe fashion, specifically some parameters are embedded without an adequate escaping in the commands inside the Makefile. Prior to version 0.48.1, this implementation is vulnerable to command injection: an attacker able to control values in the `buildOptions` structure would be able to execute arbitrary commands during the building process. An attacker able to exploit this vulnerability would be able to execute arbitrary command on the Linux host where the `ig` command is launched, if images are built with the `--local` flag or on the build container invoked by `ig`, if the `--local` flag is not provided. The `buildOptions` structure is extracted from the YAML gadget manifest passed to the `ig image build` command. Therefore, the attacker would need a way to control either the full `build.yml` file passed to the `ig image build` command, or one of its options. Typically, this could happen in a CI/CD scenario that builds untrusted gadgets to verify correctness. Version 0.48.1 fixes the issue.

Budibase es una plataforma de bajo código para crear herramientas internas, flujos de trabajo y paneles de administración. En versiones hasta la 3.26.3 inclusive, un usuario con nivel de Creador, quien normalmente no tiene permiso en la interfaz de usuario (UI) para invitar usuarios, puede manipular solicitudes de API para invitar a nuevos usuarios con cualquier rol, incluyendo Administrador, Creador o Visor de Aplicaciones, y asignarlos a cualquier grupo de la organización. Esto permite una escalada de privilegios completa, eludiendo las restricciones de la interfaz de usuario (UI), y puede llevar a una toma de control completa del espacio de trabajo o la organización. Al momento de la publicación, no hay versiones corregidas conocidas disponibles.

Kimi Agent SDK es un conjunto de bibliotecas que exponen el tiempo de ejecución del agente Kimi Code (Kimi CLI) en aplicaciones. Los scripts vsix-publish.js y ovsx-publish.js pasan nombres de archivo a execSync() como cadenas de comandos de shell. Antes de la versión 0.1.6, los nombres de archivo que contenían metacaracteres de shell como $(cmd) podían ejecutar comandos arbitrarios. Nota: Esta vulnerabilidad existe solo en los scripts de desarrollo del repositorio. La extensión de VSCode publicada no incluye estos archivos y los usuarios finales no se ven afectados. Esto se corrige en la versión 0.1.6 reemplazando execSync por execFileSync usando argumentos de matriz. Como solución alternativa, asegúrese de que los archivos .vsix en el directorio del proyecto tengan nombres de archivo seguros antes de ejecutar los scripts de publicación.