Vulnerabilidades

*** Pendiente de traducción *** IBM Planning Analytics Cartridge for Cloud Pak for Data 4.0 connects to a CouchDB server. An attacker can exploit an insecure password policy to the CouchDB server and collect sensitive information from the database. IBM X-Force ID: 247905.

*** Pendiente de traducción *** IBM Spectrum Protect 8.1.0.0 through 8.1.17.0 could allow a local user to cause a denial of service due to due to improper time-of-check to time-of-use functionality. IBM X-Force ID: 256012.

*** Pendiente de traducción *** Absolute Path Traversal in GitHub repository mlflow/mlflow prior to 2.5.0.

IBM InfoSphere Information Server v11.7 podría permitir a un usuario autenticado obtener información confidencial debido a una configuración de seguridad insegura en "InfoSphere Data Flow Designer". IBM X-Force ID: 259352.

*** Pendiente de traducción *** IBM Robotic Process Automation for Cloud Pak 21.0.0 through 21.0.7.4 and 23.0.0 through 23.0.5 is vulnerable to disclosing server version information which may be used to determine software vulnerabilities at the operating system level. IBM X-Force ID: 259368.

*** Pendiente de traducción *** IBM Security Verify Access 10.0 could allow a remote attacker to conduct phishing attacks, using an open redirect attack. By persuading a victim to visit a specially crafted Web site, a remote attacker could exploit this vulnerability to spoof the URL displayed to redirect a user to a malicious Web site that would appear to be trusted. This could allow the attacker to obtain highly sensitive information or conduct further attacks against the victim. IBM X-Force ID: 252186.

*** Pendiente de traducción *** This High severity Injection and RCE (Remote Code Execution) vulnerability known as CVE-2023-22506 was introduced in version 8.0.0 of Bamboo Data Center.<br />  <br /> <br /> This Injection and RCE (Remote Code Execution) vulnerability, with a CVSS Score of 7.5, allows an authenticated attacker to<br /> modify the actions taken by a system call and execute arbitrary code which has high impact to confidentiality, high impact to integrity, high impact to availability, and no user interaction.<br />  <br />  <br /> Atlassian recommends that you upgrade your instance to latest version. If you&amp;#39;re unable to upgrade to latest, upgrade to one of these fixed versions: 9.2.3 and 9.3.1. See the release notes ([https://confluence.atlassian.com/bambooreleases/bamboo-release-notes-1189793869.html|https://confluence.atlassian.com/bambooreleases/bamboo-release-notes-1189793869.html]). You can download the latest version of Bamboo Data Center and Bamboo Server from the download center ([https://www.atlassian.com/software/bamboo/download-archives|https://www.atlassian.com/software/bamboo/download-archives]).<br />  <br /> <br /> This vulnerability was reported via our Penetration Testing program.

*** Pendiente de traducción *** A vulnerability was found in Super Store Finder 3.6. It has been declared as critical. Affected by this vulnerability is an unknown functionality of the file /index.php of the component POST Parameter Handler. The manipulation of the argument products leads to sql injection. The attack can be launched remotely. The identifier VDB-234421 was assigned to this vulnerability. NOTE: The vendor was contacted early about this disclosure but did not respond in any way.

Esta vulnerabilidad RCE (ejecución remota de código) de alta gravedad conocida como CVE-2023-22508 se introdujo en la versión 6.1.0 de Confluence Data Center &amp;amp; Server. Esta vulnerabilidad RCE (ejecución remota de código), con una puntuación CVSS de 8.5, permite a un atacante autenticado ejecutar código arbitrario que tiene un alto impacto en la confidencialidad, un alto impacto en la integridad, un alto impacto en la disponibilidad y ninguna interacción del usuario. Atlassian recomienda actualizar su instancia para evitar este error utilizando las siguientes opciones: * Actualizar a una versión de función de Confluence mayor o igual a 8.2.0 (es decir, 8.2, 8.2, 8.4, etc...) * Actualizar a una versión de corrección de errores de Confluence 7.19 LTS mayor o igual a 7.19.8 (es decir: 7.19.8, 7.19.9, 7.19.10, 7.19.11, etc.) * Actualice a una versión de corrección de errores Confluence 7.13 LTS mayor o igual a 13.7.20 (Lanzamiento disponible a principios de agosto) Consulte las notas de la versión (https://confluence.atlassian.com/doc/confluence-release-notes-327.html). Puede descargar la última versión de Data Center &amp;amp; Server desde el centro de descargas (https://www.atlassian.com/software/confluence/download-archives). Si no puede actualizar su instancia, utilice la siguiente guía para solucionar el problema https://confluence.atlassian.com/confkb/how-to-disable-the-jmx-network-port-for-cve-2023-22508-1267761550.html Esta vulnerabilidad fue descubierta por un usuario privado y reportada a través de nuestro programa Bug Bounty.

*** Pendiente de traducción *** A CSV injection vulnerability was found in the Avaya Call Management System (CMS) Supervisor web application which allows a user with administrative privileges to input crafted data which, when exported to a CSV file, may attempt arbitrary command execution on the system used to open the file by a spreadsheet software <br /> <br /> such as Microsoft Excel.<br /> <br />  <br /> <br />

Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Optimizer). Las versiones afectadas son 8.0.33 y anteriores. Una vulnerabilidad fácilmente explotable permite a un atacante con altos privilegios con acceso a la red a través de múltiples protocolos comprometer MySQL Server. Los ataques exitosos de esta vulnerabilidad pueden resultar en la capacidad no autorizada de causar un cuelgue o una caída frecuentemente repetible (DOS completo) de MySQL Server. CVSS 3.1 Base Score 4.9 (Impactos en la disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H).

Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Replication). Las versiones afectadas son 8.0.33 y anteriores. Una vulnerabilidad fácilmente explotable permite a un atacante con altos privilegios con acceso a la red a través de múltiples protocolos comprometer MySQL Server. Los ataques exitosos de esta vulnerabilidad pueden resultar en la capacidad no autorizada de causar un cuelgue o una caída frecuentemente repetible (DOS completo) de MySQL Server. CVSS 3.1 Base Score 4.9 (Impactos en la disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H).