Vulnerabilidades

Dreamer CMS 4.1.3 es vulnerable a la inyección SQL.

systeminformation es System Information Library para Node.JS. Las versiones 5.0.0 a 5.21.6 tienen una vulnerabilidad de inyección de comando SSID. El problema se solucionó con una verificación de parámetros en la versión 5.21.7. Como workaround, verifique o sanitize las cadenas de parámetros que se pasan a `wifiConnections()`, `wifiNetworks()` (solo cadena).

Frappe LMS es un sistema de gestión de aprendizaje de código abierto. En las versiones 1.0.0 y anteriores, en la Página Personas de LMS, había una vulnerabilidad de inyección SQL. El problema se ha solucionado en la rama "principal". Los usuarios no enfrentarán este problema si usan la última rama principal de la aplicación.

Hydra es the layer-two scalability solution para Cardano. Antes de la versión 0.13.0, no firmar ni verificar `$\mathsf{cid}$` permite que un atacante (que debe ser un participante de este encabezado) use una instantánea de una instancia principal anterior con los mismos participantes para cerrar el encabezado o disputar al Estado. Esto puede llevar a una distribución incorrecta del valor (= ataque de extracción de valor; difícil, pero posible) o impedir que la cabeza finalice porque el valor disponible no es consistente con el estado utxo cerrado (= denegación de servicio; fácil). Está previsto un parche para la versión 0.13.0. Como workaround, rote las claves entre los cabezales para no reutilizarlas y no generar los mismos participantes con firmas múltiples.

quinn-proto es una máquina de estados para el protocolo de transporte QUIC. Antes de las versiones 0.9.5 y 0.10.5, recibir tramas QUIC desconocidas en un paquete QUIC podía provocar pánico. El problema se solucionó en las versiones de mantenimiento 0.9.5 y 0.10.5.

Zope es un servidor de aplicaciones web de código abierto. Antes de las versiones 4.8.10 y 5.8.5, existe una vulnerabilidad de Stored Cross Site Scripting para imágenes SVG. Tenga en cuenta que una etiqueta de imagen con una imagen SVG como fuente nunca es vulnerable, incluso cuando la imagen SVG contiene código malicioso. Para explotar la vulnerabilidad, un atacante primero tendría que cargar una imagen y luego engañar al usuario para que siga un enlace especialmente manipulado. Los parches están disponibles en Zope 4.8.10 y 5.8.5. Como workaround, asegúrese de que el permiso "Agregar documentos, imágenes y archivos" solo esté asignado a roles confiables. De forma predeterminada, sólo el Administrador tiene este permiso.

Vulnerabilidad de inyección SQL en Prestashop opartplannedpopup 1.4.11 y anteriores permite a atacantes remotos ejecutar comandos SQL de su elección a través del método OpartPlannedPopupModuleFrontController::prepareHook().

Sudo-rs, una implementación segura de memoria de sudo y su, permite a los usuarios no tener que ingresar autenticación en cada intento de sudo, sino que solo requiere autenticación de vez en cuando en cada terminal o grupo de procesos. Solo una vez que haya transcurrido un tiempo de espera configurable, el usuario deberá volver a autenticarse. Esta funcionalidad admite un conjunto de archivos de sesión (marcas de tiempo) para cada usuario, almacenados en `/var/run/sudo-rs/ts`. Estos archivos se nombran según el nombre de usuario desde el que se realiza el intento de sudo (el usuario de origen). Se descubrió un problema en versiones anteriores a la 0.2.1 donde los nombres de usuario que contenían los caracteres `.` y `/` podían provocar la corrupción de archivos específicos en el sistema de archivos. Como los nombres de usuario generalmente no están limitados por los caracteres que pueden contener, se puede construir un nombre de usuario que parezca un Path Traversal. Por ejemplo, podríamos agregar un usuario al sistema que contenga el nombre de usuario `../../../../bin/cp`. Cuando iniciaba sesión como usuario con ese nombre, ese usuario podía ejecutar `sudo -K` para borrar su archivo de registro de sesión. Luego, el código de sesión construye la ruta al archivo de sesión concatenando el nombre de usuario al directorio de almacenamiento del archivo de sesión, lo que da como resultado una ruta resuelta de `/bin/cp`. Luego, el código borra ese archivo, lo que da como resultado que el binario `cp` se elimine efectivamente del sistema. Un atacante debe poder iniciar sesión como usuario con un nombre de usuario construido. Dado que es poco probable que dicho nombre de usuario exista en un sistema existente, también deberán poder crear usuarios con los nombres de usuario creados. El problema se solucionó en la versión 0.2.1 de sudo-rs. Sudo-rs ahora usa el uid del usuario en lugar de su nombre de usuario para determinar el nombre del archivo. Tenga en cuenta que una actualización a esta versión hará que se ignoren los archivos de sesión existentes y los usuarios se verán obligados a volver a autenticarse. También elimina por completo cualquier posibilidad de Path Traversal, dado que los uids son siempre valores enteros. Los comandos `sudo -K` y `sudo -k` se pueden ejecutar, incluso si un usuario no tiene acceso a sudo. Como workaround, asegúrese de que su sistema no contenga ningún usuario con un nombre de usuario especialmente manipulado. Si bien este es el caso y aunque los usuarios que no son de confianza no tienen la capacidad de crear usuarios arbitrarios en el sistema, no se debería poder explotar este problema.

DataEase es una herramienta de análisis y visualización de datos de código abierto. Antes de la versión 1.18.11, DataEase tenía una vulnerabilidad que permitía a un atacante obtener cookies de usuario. El programa sólo utiliza el método `ImageIO.read()` para determinar si el archivo es un archivo de imagen o no. No existe ninguna restricción de inclusión en la lista blanca de sufijos de archivos. Esto permite al atacante sintetizar el código de ataque en una imagen para cargarla y cambiar la extensión del archivo a html. El atacante puede robar las cookies del usuario accediendo a enlaces. La vulnerabilidad se ha solucionado en v1.18.11. No se conocen soluciones alternativas.

plone.namedfile permite a los usuarios manejar los campos `File` e `Image` dirigidos, pero no dependiendo del contenido de Plone Dexterity. Antes de las versiones 5.6.1, 6.0.3, 6.1.3 y 6.2.1, existe una vulnerabilidad de Stored Cross-Site Scripting para imágenes SVG. Una revisión de seguridad de 2021 ya solucionó parcialmente este problema al garantizar que las imágenes SVG siempre se descarguen en lugar de mostrarse en línea. Pero el mismo problema todavía existe para las escalas de imágenes SVG. Tenga en cuenta que una etiqueta de imagen con una imagen SVG como fuente no es vulnerable, incluso cuando la imagen SVG contiene código malicioso. Para explotar la vulnerabilidad, un atacante primero tendría que cargar una imagen y luego engañar al usuario para que siga un enlace especialmente manipulado. Los parches están disponibles en las versiones 5.6.1 (para Plone 5.2), 6.0.3 (para Plone 6.0.0-6.0.4), 6.1.3 (para Plone 6.0.5-6.0.6) y 6.2.1 (para Plón 6.0.7). No se conocen workarounds.

plone.rest permite a los usuarios utilizar verbos HTTP como GET, POST, PUT, DELETE, etc. en Plone. A partir de la rama 2.x y antes de las versiones 2.0.1 y 3.0.1, cuando el recorridor `++api++` se usa accidentalmente varias veces en una URL, su manejo lleva cada vez más tiempo, lo que hace que el servidor responda menos. Los parches están disponibles en `plone.rest` 2.0.1 y 3.0.1. La serie 1.x no se ve afectada. Como workaround, se puede redirigir `/++api++/++api++` a `/++api++` en el servidor web frontend (nginx, Apache).

Debido a la implementación de "deriveVaultKey", antes de la versión 7.10, la clave de almacén generada siempre tendría los últimos 16 bytes predeterminados como "arfoobarfoobarfo". Este problema ocurre porque "deriveVaultKey" llama a "retrieveCloudKey" (que siempre devolverá "foobarfoobarfoobarfoobarfoobarfo" como clave) y luego fusiona la clave de 32 bytes generada aleatoriamente con esta clave (tomando 16 bytes de cada una, consulte "mergeKeys"). Esto debilita mucho la clave. Este problema no persiste en los dispositivos que se inicializaron en la versión 7.10 o posteriores, pero los dispositivos que se inicializaron antes y se actualizaron a una versión más reciente aún tienen este problema. Implemente una actualización que imponga el uso completo de la clave de 32 bytes.