Vulnerabilidades

Vulnerabilidad de exposición de información sensible a un actor no autorizado en Wikimedia Foundation MediaWiki. Esta vulnerabilidad está asociada con los archivos de programa includes/logging/ManualLogEntry.PHP, includes/recentchanges/RecentChangeFactory.PHP, includes/recentchanges/RecentChangeStore.PHP.<br /> <br /> Este problema afecta a MediaWiki: desde * antes de 1.39.14, 1.43.4, 1.44.1.

Neutralización Incorrecta de Entrada Durante la Generación de Páginas Web (XSS o &amp;#39;cross-site scripting&amp;#39;) vulnerabilidad en Wikimedia Foundation MediaWiki. Esta vulnerabilidad está asociada con los archivos de programa resources/src/mediawiki.Rcfilters/ui/RclToOrFromWidget.Js.<br /> <br /> Este problema afecta a MediaWiki: desde * antes de 1.39.14, 1.43.4, 1.44.1.

Vulnerabilidad en Wikimedia Foundation MediaWiki. Esta vulnerabilidad está asociada con archivos de programa includes/Rest/Handler/PageHTMLHandler.PHP. Este problema afecta a MediaWiki: desde * antes de 1.39.14, 1.43.4, 1.44.1.

Signal K Server es una aplicación de servidor que se ejecuta en un concentrador central en un barco. Antes de la versión 2.20.3, una vulnerabilidad de salto de ruta en la API applicationData de SignalK Server permite a los usuarios autenticados en sistemas Windows leer, escribir y listar archivos y directorios arbitrarios en el sistema de archivos. La función validateAppId() bloquea las barras diagonales (/) pero no las barras invertidas (\), que son tratadas como separadores de directorio por path.join() en Windows. Esto permite a los atacantes escapar del directorio applicationData previsto. Esta vulnerabilidad está corregida en la versión 2.20.3.

El paquete NixOs Odoo es un sistema ERP y CRM de código abierto. Desde la versión 21.11 hasta antes de la 25.11 y la 26.05, cada configuración de Odoo basada en NixOS expone públicamente el gestor de la base de datos sin ninguna autenticación. Esto permite a actores no autorizados eliminar y descargar la base de datos completa, incluyendo el almacén de archivos de Odoo. El acceso no autorizado es evidente a partir de las solicitudes HTTP. Si se mantienen, la búsqueda en los registros de acceso y/o el registro de Odoo de solicitudes a /web/database puede dar indicadores, si esto ha sido explotado activamente. El gestor de la base de datos es una característica destinada al desarrollo y no está pensado para ser accesible públicamente. En otras configuraciones, una contraseña maestra actúa como segunda línea de defensa. Sin embargo, debido a la naturaleza de NixOS, Odoo no puede modificar su propio archivo de configuración y, por lo tanto, no puede persistir la contraseña autogenerada. Esto también se aplica al establecer manualmente una contraseña maestra en la interfaz de usuario web (web-UI). Esto significa que la contraseña se pierde al reiniciar Odoo. Cuando no se establece ninguna contraseña, se le pide al usuario que establezca una directamente a través del gestor de la base de datos. Esto no requiere autenticación ni acción por parte de ningún usuario autorizado o del administrador del sistema. Por lo tanto, la base de datos es efectivamente legible por cualquier persona capaz de alcanzar Odoo. Esta vulnerabilidad está corregida en las versiones 25.11 y 26.05.

Talishar es un proyecto de Flesh and Blood creado por fans. Existe una XSS Almacenada en el sistema de chat del juego. El parámetro playerID en SubmitChat.PHP se guarda sin sanitización y se ejecuta cada vez que un usuario ve la página actual del juego. Esta vulnerabilidad se corrige con 09dd00e5452e3cd998eb1406a88e5b0fa868e6b4.

SandboxJS es una biblioteca de sandboxing de JavaScript. Antes de la versión 0.8.27, SandboxJS no restringe adecuadamente __lookupGetter__, que puede usarse para obtener prototipos, lo que puede usarse para escapar del sandbox / ejecución remota de código. Esta vulnerabilidad está corregida en la versión 0.8.27.

Group-Office es una herramienta empresarial de gestión de relaciones con clientes y groupware. Antes de las versiones 6.8.150, 25.0.82 y 26.0.5, el MaintenanceController expone una acción zipLanguage que toma un parámetro lang y lo pasa directamente a un comando zip del sistema a través de exec(). Esto puede combinarse con la carga de un archivo zip manipulado para lograr la ejecución remota de código. Esta vulnerabilidad está corregida en las versiones 6.8.150, 25.0.82 y 26.0.5.

PolarLearn es un programa de aprendizaje gratuito y de código abierto. En 0-PRERELEASE-15 y versiones anteriores, la implementación de OAuth 2.0 para los proveedores de inicio de sesión de GitHub y Google es vulnerable a la falsificación de petición en sitios cruzados (CSRF) de inicio de sesión. La aplicación no implementa ni verifica el parámetro state durante el flujo de autenticación. Esto permite a un atacante preautenticar una sesión y engañar a una víctima para que inicie sesión en la cuenta del atacante. Cualquier dato que la víctima introduzca o progreso académico que realice se almacena en la cuenta del atacante, lo que provoca la pérdida de datos para la víctima y la revelación de información al atacante.

PolarLearn es un programa de aprendizaje gratuito y de código abierto. En 0-PRERELEASE-15 y versiones anteriores, una vulnerabilidad de ataque de temporización en el proceso de inicio de sesión permite a atacantes no autenticados determinar si una dirección de correo electrónico específica está registrada en la plataforma. Al medir el tiempo de respuesta del endpoint de inicio de sesión, un atacante puede distinguir entre direcciones de correo electrónico válidas e inválidas. Esto ocurre porque el servidor solo realiza el hash de contraseña Argon2, que es computacionalmente costoso, si el usuario existe en la base de datos. Las solicitudes para usuarios existentes tardan significativamente más tiempo (~650ms) que las solicitudes para usuarios no existentes (~160ms).

continuwuity es un homeserver de Matrix escrito en Rust. Esta vulnerabilidad permite a un atacante con un servidor remoto malicioso hacer que el servidor local firme un evento arbitrario tras la interacción del usuario. Cuando una cuenta de usuario abandona una sala (rechazando una invitación), se une a una sala o llama a la puerta de una sala, el servidor víctima puede pedir asistencia a un servidor remoto. Si la víctima pide asistencia al servidor atacante, el atacante puede proporcionar un evento arbitrario, que la víctima firmará y devolverá al atacante. Para el endpoint /leave, esto funciona para cualquier evento con una versión de sala compatible, donde el origen y origin_server_ts son establecidos por la víctima. Para el endpoint /join, se necesita un campo de contenido adicionalmente establecido por la víctima en el formato de una membresía de unión. Para el endpoint /knock, se necesita un campo de contenido adicional establecido por la víctima en el formato de una membresía de knock y una versión de sala que no esté entre 1 y 6. Esto fue explotado como parte de una cadena más grande contra el homeserver continuwuity.org. Esta vulnerabilidad afecta a todos los servidores derivados de Conduit. Esta vulnerabilidad está corregida en Continuwuity 0.5.1, Conduit 0.10.11, Grapevine 0aae932b y Tuwunel 1.4.9.

OpenClaw (anteriormente Clawdbot) es un asistente de IA personal que ejecutas en tus propios dispositivos. Antes de 2026.1.29, existía una vulnerabilidad de inyección de comandos en el mecanismo de ejecución de sandbox de Docker de OpenClaw debido a un manejo inseguro de la variable de entorno PATH al construir comandos de shell. Un usuario autenticado capaz de controlar variables de entorno podría influir en la ejecución de comandos dentro del contexto del contenedor. Esta vulnerabilidad está corregida en 2026.1.29.