Vulnerabilidades

Se ha detectado que el parámetro foldername en Bolt versión 5.1.7, presenta una comprobación de entrada incorrecta, permitiendo a atacantes llevar a cabo una enumeración de directorios o causar una Denegación de Servicio (DoS) por medio de una entrada diseñada

Un problema en la funcionalidad login and reset de Backdrop CMS versión v1.22.0, permite a atacantes enumerar los nombres de usuario por medio de peticiones de restablecimiento de contraseñas y las distintas respuestas devueltas basadas en los nombres de usuario

PrestaShop es una plataforma de comercio electrónico de código abierto. En las versiones a partir de 1.6.0.10 y anteriores a 1.7.8.7, PrestaShop está sujeta a una vulnerabilidad de inyección SQL que puede ser encadenada para llamar a la función Eval de PHP en la entrada del atacante. El problema ha sido solucionado en versión 1.7.8.7. Es recomendado a usuarios actualizar. Los usuarios que no puedan actualizar pueden eliminar la función de caché MySQL Smarty

Shescape es un paquete de escape de shell simple para JavaScript. Se ha detectado que las versiones afectadas no escapan suficientemente de los espacios en blanco cuando interpolan la salida. Este problema sólo afecta a usuarios que usan las funciones "escape" o "escapeAll" con la opción "interpolation" establecida como "true". El resultado es que si un atacante es capaz de incluir espacios en blanco en su entrada puede 1. Invocar un comportamiento específico del shell a través de caracteres especiales específicos del shell insertados directamente después de los espacios en blanco. 2. 2. Invocar el comportamiento específico del shell mediante caracteres especiales específicos del shell insertados o que aparecen después de los caracteres de terminación de línea. 3. Invocar comandos arbitrarios mediante la inserción de un carácter de avance de línea. 4. Invocar comandos arbitrarios mediante la inserción de un carácter de retorno de carro. El comportamiento número 1 ha sido parcheado en la [versión v1.5.7] a la que puedes actualizar ahora. No son requeridos más cambios. Los comportamientos número 2, 3 y 4 han sido parcheados en la [versión v1.5.8] a la que puede actualizarse ahora. No son requeridos más cambios. La mejor mitigación es evitar tener que usar la opción "interpolación: true" - en la mayoría de los casos es posible usar una alternativa, vea [las recetas](https://github.com/ericcornelissen/shescape#recipes) para recomendaciones. Alternativamente, los usuarios pueden eliminar todos los espacios en blanco de la entrada del usuario. Tenga en cuenta que esto es propenso a errores, por ejemplo: para PowerShell esto requiere quitar "'\u0085'" que no está incluido en la definición de JavaScript de "\s" para Expresiones Regulares

El software de código abierto DSpace es una aplicación de repositorio que proporciona acceso duradero a recursos digitales. dspace-xmlui es un componente de interfaz de usuario para DSpace. En versiones afectadas, los metadatos de un elemento retirado son expuestos por medio del objeto "mets.xml" de XMLUI, siempre y cuando sea conocido el handle/URL del elemento retirado. Esta vulnerabilidad sólo afecta a la XMLUI. Es recomendado a usuarios actualizar a versión 6.4 o más reciente

Discourse es una plataforma de discusión de código abierto. En las versiones afectadas puede abusarse de una ruta de activación del correo electrónico para enviar correos masivos de spam. Ha sido incluida una corrección en las últimas versiones estables, beta y de prueba de Discourse que limita los correos electrónicos. Es recomendado a usuarios actualizar. Los usuarios que no puedan actualizarse deberán limitar manualmente la tasa de los correos electrónicos

fs2 es una librería de E/S de composición para Scala. Cuando es establecido un "TLSSocket" en modo servidor usando "fs2-io" en Node.js, el parámetro "requestCert = true" es ignorado, la verificación del certificado del compañero es omitida, y la conexión procede. La vulnerabilidad es limitada a: 1. "fs2-io" corriendo en Node.js. La implementación de TLS en la JVM es completamente independiente. 2. "TLSSocket"s en modo servidor. Los "TLSSocket" en modo cliente es implementado por medio de una API diferente. 3. mTLS está habilitado por medio de "requestCert = true" en "TLSParameters". La configuración por defecto es "false" para los "TLSSocket" en modo servidor. Es introducida con la implementación inicial de Node.js de fs2-io en la versión 3.1.0. Ha sido publicado un parche en la versión 3.2.11. Es respetado el parámetro requestCert = true y es verificado el certificado del compañero. Si la verificación falla, es lanzada una SSLException. Si es usada una versión sin parche en Node.js, no debe usarse un TLSSocket en modo servidor con requestCert = true para establecer una conexión mTLS

Shescape es un sencillo paquete de escape de shell para JavaScript. Las versiones anteriores a 1.5.8, fueron encontradas sujetas a inyección de código en Windows. Esto afecta a usuarios que usan Shescape (cualquier función de la API) para escapar de los argumentos de cmd.exe en Windows Un atacante puede omitir todos los argumentos que siguen a su entrada mediante la inclusión de un carácter de avance de línea (""\n"") en la carga útil. Este error ha sido parcheado en la [v1.5.8], a la que puede actualizar ahora. No es necesario realizar más cambios. Alternativamente, los caracteres de avance de línea (""\n"") pueden ser eliminados manualmente o la entrada del usuario puede convertirse en el último argumento (esto sólo limita el impacto)

NextAuth.js es una completa solución de autenticación de código abierto para aplicaciones Next.js. Una vulnerabilidad de divulgación de información en "next-auth" versiones anteriores a "v4.10.2" y "v3.29.9" permite a un atacante con privilegio de acceso al registro obtener información excesiva, como el secreto de un proveedor de identidad en el registro (que sea lanzada durante la administración de errores de OAuth) y usarla para aprovechar otros ataques al sistema, como hacerse pasar por el cliente para solicitar amplios permisos. Este problema ha sido parcheado en versiones "v4.10.2" y "v3.29.9" moviendo el registro de la información del "proveedor" al nivel de depuración. Además, hemos añadido una advertencia por tener la opción "debug: true" activada en producción. Si por alguna razón no puede actualizar, puede usar la opción de configuración "logger" saneando los registros

mprweb es una plataforma de alojamiento para el repositorio de paquetes makedeb. Ha sido encontrado que las direcciones de correo electrónico no han sido ocultado, incluso si un usuario ha hecho clic en la casilla "Hide Email Address" en su página de cuenta, o durante el registro. Esto puede conllevar a que el correo electrónico de una cuenta sea filtrado, lo que puede ser problemático si su correo electrónico necesita permanecer privado por alguna razón. Los usuarios que alojen su propia instancia de mprweb tendrán que actualizar a la última confirmación para que esto sea solucionado. Los usuarios de la instancia oficial ya presentan este problema solucionado

CVAT es una herramienta de anotación de vídeo e imagen interactiva de código abierto para la visión por ordenador. Las versiones anteriores a 2.0.0, están sujetas a una vulnerabilidad de tipo Server-side request forgery (SSRF). Ha sido añadida la comprobación de las urls usadas en la ruta de código afectada en versión 2.0.0. Es recomendado a usuarios actualizar. No se presentan mitigaciones conocidas para este problema

Sourcegraph es un motor de búsqueda y navegación de código abierto. Es posible que un usuario autenticado de Sourcegraph edite los monitores de código que pertenecen a cualquier otro usuario de Sourcegraph. Esto incluye poder editar tanto el trigger como la acción del monitor en cuestión. Un atacante no es capaz de leer el contenido de los monitores de código existentes, sólo anular los datos. El problema ha sido corregido en Sourcegraph versión 3.42. No se presentan mitigaciones para el problema y es recomendado encarecidamente la aplicación de parches