Vulnerabilidades

EDDI (Enhanced Dialog Driven Interface) es un middleware para conectar y administrar bots de API LLM. Existe una vulnerabilidad de recorrido de ruta en la funcionalidad de exportación de respaldo de EDDI, tal como se implementó en `RestExportService.java`. Esta vulnerabilidad permite a un atacante acceder a archivos confidenciales en el servidor manipulando el parámetro `botFilename` en las solicitudes. La aplicación no puede sanear la entrada del usuario, lo que permite que entradas maliciosas como `..%2f..%2fetc%2fpasswd` accedan a archivos arbitrarios. Sin embargo, la **gravedad de esta vulnerabilidad es significativamente limitada** porque EDDI generalmente se ejecuta dentro de un **contenedor Docker**, que proporciona capas adicionales de aislamiento y permisos restringidos. Como resultado, si bien esta vulnerabilidad expone los archivos dentro del contenedor, no amenaza inherentemente al sistema host subyacente ni a otros contenedores. Se requiere un parche para desinfectar y validar el parámetro de entrada botFilename. Los usuarios deben asegurarse de estar usando la versión 5.4 que contiene este parche. Para una mitigación temporal, el acceso al endpoint vulnerable debe restringirse mediante reglas de firewall o mecanismos de autenticación.

Una vulnerabilidad de carga arbitraria de archivos autenticados en el módulo Documentos de SPIP v4.3.3 permite a los atacantes ejecutar código arbitrario mediante la carga de un archivo PDF manipulado.

sigstore-java es un cliente java de sigstore para interactuar con la infraestructura de sigstore. sigstore-java no tiene suficiente verificación para una situación en la que un paquete firmado válidamente pero "no coincidente" se presenta como prueba de inclusión en un registro de transparencia. Este error afecta a los clientes que usan cualquier variación de KeylessVerifier.verify(). El verificador puede aceptar un paquete con una entrada de registro no relacionada, verificando criptográficamente todo, pero no puede garantizar que la entrada de registro se aplique al artefacto en cuestión, por lo que "verifica" un paquete sin ninguna prueba de que se haya registrado el evento de firma. Esto permite la creación de un paquete sin certificado fulcio y clave privada combinados con una entrada de registro no relacionada pero correcta en el tiempo para simular el registro de un evento de firma. Un actor malintencionado que use una identidad comprometida puede querer hacer esto para evitar el descubrimiento a través de los monitores de registro de rekor. La identidad del firmante seguirá estando disponible para el verificador. La firma en el paquete debe seguir estando en el artefacto correcto para que el verificador la apruebe. Sigstore-gradle-plugin y sigstore-maven-plugin no se ven afectados por esto, ya que solo brindan funcionalidad de firma. Este problema se ha corregido en la versión v1.1.0 con PR #856. Se recomienda a todos los usuarios que actualicen. No existen workarounds conocidas para esta vulnerabilidad.

Fides es una plataforma de ingeniería de privacidad de código abierto. El endpoint de la API de aceptación de invitaciones de usuarios carece de la aplicación de políticas de contraseñas del lado del servidor, lo que permite a los usuarios establecer contraseñas arbitrariamente débiles al eludir la validación del lado del cliente. Si bien la interfaz de usuario aplica requisitos de complejidad de contraseñas, las llamadas API directas pueden eludir estas comprobaciones, lo que permite la creación de cuentas con contraseñas tan cortas como un solo carácter. Cuando se habilita un proveedor de mensajería de correo electrónico y se crea una nueva cuenta de usuario en el sistema, se envía un correo electrónico de invitación que contiene un enlace especial a la dirección de correo electrónico del nuevo usuario. Este enlace dirige al nuevo usuario a una página donde puede establecer su contraseña inicial. Si bien la interfaz de usuario implementa comprobaciones de complejidad de contraseñas, estas validaciones solo se realizan del lado del cliente. El endpoint de la API subyacente `/api/v1/user/accept-invite` no implementa las mismas validaciones de políticas de contraseñas. Esta vulnerabilidad permite que un usuario invitado establezca una contraseña extremadamente débil para su propia cuenta durante el proceso de configuración inicial de la cuenta. Por lo tanto, la cuenta de ese usuario específico puede verse comprometida fácilmente por un atacante que adivine o use la fuerza bruta para adivinar la contraseña. La vulnerabilidad ha sido corregida en la versión 2.50.0 de Fides. Se recomienda a los usuarios que actualicen a esta versión o a una posterior para proteger sus sistemas contra esta amenaza. No existen workarounds para esta vulnerabilidad.

Lobe Chat es un framework de chat de inteligencia artificial de código abierto. Las versiones de lobe-chat anteriores a la 1.19.13 tienen una vulnerabilidad SSRF no autorizada. Un atacante puede crear solicitudes maliciosas para provocar SSRF sin iniciar sesión, atacar servicios de intranet y filtrar información confidencial. La dirección del proxy almacenada del encabezado del token jwt X-Lobe-Chat-Auth y la clave de API de OpenAI se pueden modificar para escanear una red interna en el entorno web de lobe-web de destino. Este problema se ha solucionado en la versión de lanzamiento 1.19.13 y se recomienda a todos los usuarios que la actualicen. No existen workarounds para esta vulnerabilidad.

Se ha descubierto un problema en GitLab CE/EE que afecta a todas las versiones desde la 16.11 hasta la 17.4.5, desde la 17.5 hasta la 17.5.3 y desde la 17.6 hasta la 17.6.1. Las conexiones de larga duración podrían eludir los controles de autenticación, lo que permitiría el acceso no autorizado a los resultados de streaming.

Se descubrió un problema en GitLab CE/EE que afectaba a todas las versiones desde la 16.9.8 hasta la 17.4.5, desde la 17.5 hasta la 17.5.3 y desde la 17.6 hasta la 17.6.1. Ciertos endpoints de API podrían permitir el acceso no autorizado a datos confidenciales debido a la aplicación demasiado amplia de los alcances de los tokens.

Se descubrió una condición de denegación de servicio (DoS) en GitLab CE/EE que afectaba a todas las versiones desde la 13.2.4 hasta la 17.4.5, desde la 17.5 hasta la 17.5.3 y desde la 17.6 hasta la 17.6.1. Al aprovechar esta vulnerabilidad, un atacante podría crear una condición de denegación de servicio mediante el envío de llamadas a la API manipuladas. Se trataba de una regresión de un parche anterior.

Se ha descubierto una vulnerabilidad de inclusión de archivos locales (LFI) en TCPDF 6.7.5. Esta vulnerabilidad permite a un usuario leer archivos arbitrarios del sistema de archivos del servidor a través de la etiqueta src , lo que podría exponer información confidencial.

El complemento Sugar Calendar – Simple Event Management para WordPress es vulnerable a ataques de cross-site scripting reflejado debido al uso de add_query_arg y remove_query_arg sin el escape adecuado en la URL en todas las versiones hasta la 3.3.0 incluida. Esto permite que atacantes no autenticados inyecten secuencias de comandos web arbitrarias en páginas que se ejecutan si logran engañar a un usuario para que realice una acción, como hacer clic en un enlace.

Se identificó una vulnerabilidad de cross-site scripting (XSS) almacenado en PHPGURUKUL Vehicle Parking Management System v1.13 en /users/profile.php. Esta vulnerabilidad permite a los usuarios autenticados inyectar secuencias de comandos XSS maliciosas en el campo de nombre del perfil.

Una vulnerabilidad de inyección CSV en Taiga v6.8.1 permite a los atacantes ejecutar código arbitrario mediante la carga de un archivo CSV manipulado específicamente para ello.