Vulnerabilidades

Razón rechazado: no se usa

Razón rechazado: no se usa

Razón rechazado: no se usa

Razón rechazado: no se usa

Razón rechazado: no se usa

Un endpoint de API, que debería estar limitado a los administradores de aplicaciones web, está oculto, pero es accesible para usuarios de aplicaciones web de solo lectura de nivel inferior. Este endpoint puede usarse para exportar la configuración del dispositivo, lo que expone información confidencial.

Un usuario autenticado de solo lectura puede matar cualquier proceso que se ejecute en el dispositivo virtual Xormon Original como usuario lpar2rrd.

Un endpoint de API, que debería estar limitado a los administradores de aplicaciones web, está oculto, pero es accesible para usuarios de aplicaciones web de solo lectura de nivel inferior. Este endpoint puede usarse para descargar registros de la configuración del dispositivo, lo que expone información confidencial.

Un usuario autenticado de solo lectura puede cargar un archivo y realizar un directory traversal para colocarlo en la ubicación que elija. Esto puede usarse para sobrescribir módulos PERL existentes en la aplicación y lograr la ejecución remota de código (RCE) por parte de un atacante.

Un endpoint de API, que debería estar limitado a los administradores de aplicaciones web, está oculto, pero es accesible para usuarios de aplicaciones web de solo lectura de nivel inferior. Este endpoint puede usarse para importar la configuración del dispositivo, lo que permite a un atacante controlar la configuración del dispositivo, incluyendo la concesión de permisos de nivel administrativo.

Polkadot Frontier es una capa de compatibilidad con Ethereum y EVM para Polkadot y Substrate. La función extrínseca note_min_gas_price_target es inherente, lo que significa que solo el productor del bloque puede invocarla. Para garantizar la corrección, se debe implementar el atributo ProvideInherent para cada inherente, lo que incluye la llamada check_inherent. Esto permite que otros nodos verifiquen si la entrada (en este caso, el valor objetivo) es correcta. Sin embargo, antes del commit a754b3d, la función check_inherent no se había implementado para note_min_gas_price_target. Esto permite al productor del bloque establecer el valor objetivo sin verificación. El objetivo se utiliza entonces para establecer el MinGasPrice, que tiene un límite superior e inferior definidos en el gancho on_initialize. El productor del bloque puede establecer el objetivo en el límite superior. Esto también aumenta los límites superior e inferior para el siguiente bloque. Con el tiempo, esto podría resultar en un aumento continuo del precio del gas, encareciendo la ejecución del contrato e ineficaz para los usuarios. Un atacante podría usar esta vulnerabilidad para manipular el precio del gas, lo que podría resultar en tarifas de transacción significativamente infladas. Dicha manipulación podría encarecer la ejecución del contrato de forma prohibitiva para los usuarios, lo que resultaría en una denegación de servicio para la red. Esto se corrigió en la versión a754b3d.

RevelaCode es un proyecto de tecnología religiosa basado en IA que decodifica versículos bíblicos, profecías y eventos globales en un lenguaje accesible. En versiones anteriores a la 1.0.1, una URI válida de MongoDB Atlas con nombre de usuario y contraseña integrados se envió accidentalmente al repositorio público. Esto podría permitir el acceso no autorizado a bases de datos de producción o de prueba, lo que podría provocar la exfiltración, modificación o eliminación de datos. Esto se solucionó en la versión 1.0.1. Las soluciones alternativas incluyen la rotación inmediata de las credenciales del usuario de la base de datos expuesta, el uso de un gestor de secretos (como Vault, Doppler, AWS Secrets Manager, etc.) en lugar de almacenar los secretos directamente en el código, o la auditoría de los registros de acceso recientes para detectar actividad sospechosa.