Vulnerabilidades

Las versiones de GFI MailEssentials AI anteriores a la 22.4 contienen una vulnerabilidad de cross-site scripting almacenado en el endpoint de configuración de POP2Exchange. Un usuario autenticado puede introducir HTML/JavaScript en el campo de inicio de sesión del servidor POP3 dentro del payload JSON 'popServers' a /MailEssentials/pages/MailSecurity/POP2Exchange.aspx/Save, el cual se almacena y se renderiza posteriormente en la interfaz de gestión, permitiendo la ejecución de scripts en el contexto de un usuario con sesión iniciada.

Las versiones de GFI MailEssentials AI anteriores a la 22.4 contienen una vulnerabilidad de cross-site scripting almacenado en la página de gestión de la lista de bloqueo de IP. Un usuario autenticado puede introducir HTML/JavaScript en el parámetro ctl00$ContentPlaceHolder1$pv1$txtIPDescription a /MailEssentials/pages/MailSecurity/ipblocklist.aspx, que se almacena y luego se renderiza en la interfaz de gestión, permitiendo la ejecución de scripts en el contexto de un usuario con sesión iniciada.

Las versiones de GFI MailEssentials AI anteriores a la 22.4 contienen una vulnerabilidad de cross-site scripting almacenado en la página de configuración de la lista de bloqueo de IP DNS. Un usuario autenticado puede proporcionar HTML/JavaScript en el parámetro ctl00$ContentPlaceHolder1$pv1$TXB_IPs a /MailEssentials/pages/MailSecurity/ipdnsblocklist.aspx, que se almacena y luego se renderiza en la interfaz de gestión, permitiendo la ejecución de scripts en el contexto de un usuario con sesión iniciada.

GFI MailEssentials AI versiones anteriores a la 22.4 contienen una vulnerabilidad de cross-site scripting almacenado en el flujo de trabajo de creación de reglas de filtrado de palabras clave. Un usuario autenticado puede proporcionar HTML/JavaScript en el parámetro ctl00$ContentPlaceHolder1$pv1$TXB_RuleName a /MailEssentials/pages/MailSecurity/contentchecking.aspx, que se almacena y luego se renderiza en la interfaz de gestión, permitiendo la ejecución de scripts en el contexto de un usuario con sesión iniciada.

Las versiones de GFI MailEssentials AI anteriores a la 22.4 contienen una vulnerabilidad de cross-site scripting almacenado en el flujo de trabajo de creación de reglas de filtrado de adjuntos. Un usuario autenticado puede introducir HTML/JavaScript en el parámetro ctl00$ContentPlaceHolder1$pv1$TXB_RuleName a /MailEssentials/pages/MailSecurity/attachmentchecking.aspx, que se almacena y se renderiza posteriormente en la interfaz de gestión, permitiendo la ejecución de scripts en el contexto de un usuario con sesión iniciada.

Las versiones de GFI MailEssentials AI anteriores a la 22.4 contienen una vulnerabilidad de cross-site scripting almacenado en el flujo de trabajo de creación de reglas de Filtrado Avanzado de Contenido. Un usuario autenticado puede introducir HTML/JavaScript en el parámetro ctl00$ContentPlaceHolder1$pv1$txtRuleName a /MailEssentials/pages/MailSecurity/advancedfiltering.aspx, que se almacena y posteriormente se renderiza en la interfaz de gestión, permitiendo la ejecución de scripts en el contexto de un usuario con sesión iniciada.

Las versiones de GFI MailEssentials AI anteriores a la 22.4 contienen una vulnerabilidad de cross-site scripting almacenado en la interfaz de gestión de la lista blanca de correo no deseado. Un usuario autenticado puede introducir HTML/JavaScript en el parámetro ctl00$ContentPlaceHolder1$pv1$txtDescription a /MailEssentials/pages/MailSecurity/Whitelist.aspx, que se almacena y posteriormente se renderiza en la interfaz de gestión, permitiendo la ejecución de scripts en el contexto de un usuario con sesión iniciada.

El plugin Product Table y List Builder para WooCommerce Lite para WordPress es vulnerable a inyección SQL basada en tiempo a través del parámetro 'search' en todas las versiones hasta la, e incluyendo, la 4.6.2 debido a un escape insuficiente en el parámetro proporcionado por el usuario y a la falta de preparación suficiente en la consulta SQL existente. Esto hace posible que atacantes no autenticados añadan consultas SQL adicionales en consultas ya existentes que pueden utilizarse para extraer información sensible de la base de datos.

*** Pendiente de traducción *** strongMan is a management interface for strongSwan, an OpenSource IPsec-based VPN. When storing credentials in the database (private keys, EAP secrets), strongMan encrypts the corresponding database fields. So far it used AES in CTR mode with a global database key. Together with an initialization vector (IV), a key stream is generated to encrypt the data in the database fields. But because strongMan did not generate individual IVs, every database field was encrypted using the same key stream. An attacker that has access to the database can use this to recover the encrypted credentials. In particular, because certificates, which have to be considered public information, are also encrypted using the same mechanism, an attacker can directly recover a large chunk of the key stream, which allows them to decrypt basically all other secrets especially ECDSA private keys and EAP secrets, which are usually a lot shorter. Version 0.2.0 fixes the issue by switching to AES-GCM-SIV encryption with a random nonce and an individually derived encryption key, using HKDF, for each encrypted value. Database migrations are provided to automatically re-encrypt all credentials.

Wings es el plano de control del servidor para Pterodactyl, un panel de gestión de servidores de juegos gratuito y de código abierto. Antes de la versión 1.12.1, una falta de verificación de autorización en múltiples controladores permite a cualquier usuario con acceso a un token secreto de nodo obtener información sobre cualquier servidor en una instancia de Pterodactyl, incluso si ese servidor está asociado con un nodo diferente. Este problema se deriva de la falta de lógica para verificar que el nodo que solicita datos del servidor es el mismo nodo con el que está asociado el servidor. Cualquier nodo Wings autenticado puede recuperar scripts de instalación de servidores (que potencialmente contienen valores secretos) y manipular el estado de instalación de servidores pertenecientes a otros nodos. Los nodos Wings también pueden manipular el estado de transferencia de servidores pertenecientes a otros nodos. Esta vulnerabilidad requiere que un usuario adquiera un token de acceso secreto para un nodo. A menos que un usuario obtenga acceso a un token de acceso secreto de Wings, no podría acceder a ninguno de estos puntos finales vulnerables, ya que cada punto final requiere un token de acceso de nodo válido. Un único token de demonio de nodo Wings comprometido (almacenado en texto plano en '/etc/pterodactyl/config.yml') otorga acceso a datos de configuración sensibles de cada servidor en el panel, en lugar de solo a los servidores a los que el nodo tiene acceso. Un atacante puede usar esta información para moverse lateralmente a través del sistema, enviar notificaciones excesivas, destruir datos de servidores en otros nodos y, de otro modo, exfiltrar secretos a los que no debería tener acceso con solo un token de nodo. Además, activar un éxito de transferencia falso hace que el panel elimine el servidor del nodo de origen, lo que resulta en una pérdida permanente de datos. Los usuarios deben actualizar a la versión 1.12.1 para recibir una solución.

Semantic Kernel, el SDK de Python de kernel semántico de Microsoft, tiene una vulnerabilidad de ejecución remota de código en versiones anteriores a la 1.39.4, específicamente dentro de la funcionalidad de filtro de 'InMemoryVectorStore'. El problema ha sido solucionado en la versión 'python-1.39.4'. Los usuarios deberían actualizar a esta versión o una superior. Como solución alternativa, evite usar 'InMemoryVectorStore' para escenarios de producción.

Hyland Alfresco permite a atacantes no autenticados leer archivos arbitrarios de directorios protegidos (como WEB-INF) a través del endpoint '/share/page/resource/', lo que lleva a la divulgación de archivos de configuración sensibles.