Vulnerabilidades

zhmcclient es una librería de cliente Python pura para la API de servicios web IBM Z HMC. En las versiones afectadas, el paquete Python "zhmcclient" escribe propiedades similares a contraseñas en texto plano en sus registros de HMC y API en los siguientes casos: 1. Las propiedades 'boot-ftp-password' y 'ssc-master-pw' al crear o actualizar una partición en modo DPM, en la API de zhmcclient y los registros de HMC. 2. Las propiedades 'ssc-master-pw' y 'zaware-master-pw' al actualizar una LPAR en modo clásico, en la API de zhmcclient y los registros de HMC. 3. Las propiedades 'ssc-master-pw' y 'zaware-master-pw' al crear o actualizar un perfil de activación de imagen en modo clásico, en la API de zhmcclient y los registros de HMC. 4. La propiedad 'password' al crear o actualizar un usuario de HMC, en el registro de la API de zhmcclient. 5. La propiedad 'bind-password' al crear o actualizar una definición de servidor LDAP, en los registros de la API y de la HMC de zhmcclient. Este problema afecta únicamente a los usuarios del paquete zhmcclient que han habilitado los registradores de Python denominados "zhmcclient.api" (para el registro de la API) o "zhmcclient.hmc" (para el registro de la HMC) y que utilizan las funciones enumeradas anteriormente. Este problema se ha solucionado en la versión 1.18.1 de zhmcclient. Se recomienda a los usuarios que actualicen la versión. No existen workarounds conocidos para esta vulnerabilidad.

ibm.ibm_zhmc es una colección de Ansible para IBM Z HMC. La colección de Ansible "ibm.ibm_zhmc" escribe propiedades similares a contraseñas en texto sin formato en su archivo de registro y en la salida devuelta por algunos de sus módulos de Ansible en los siguientes casos: 1. Las propiedades 'boot_ftp_password' y 'ssc_master_pw' se pasan como entrada al módulo de Ansible zhmc_partition. 2. Las propiedades 'ssc_master_pw' y 'zaware_master_pw' se pasan como entrada al módulo de Ansible zhmc_lpar. 3. La propiedad 'password' se pasa como entrada al módulo de Ansible zhmc_user (solo en el archivo de registro, no en la salida del módulo). 4. La propiedad 'bind_password' se pasa como entrada al módulo de Ansible zhmc_ldap_server_definition. Estas propiedades aparecen en la salida del módulo solo cuando se especificaron en la entrada del módulo y al crear o actualizar los recursos correspondientes. No aparecen en la salida cuando se recuperan datos para los recursos correspondientes. Estas propiedades aparecen en el archivo de registro solo cuando se utiliza el parámetro de entrada del módulo "log_file". De forma predeterminada, no se crea ningún archivo de registro. Este problema se ha solucionado en la versión 1.9.3 de ibm.ibm_zhmc. Se recomienda a los usuarios que actualicen. No existen workarounds conocidos para esta vulnerabilidad.

Traefik (que se pronuncia "traffic") es un proxy inverso HTTP y un equilibrador de carga. Traefik presenta una vulnerabilidad que permite al cliente proporcionar el encabezado X-Forwarded-Prefix desde una fuente no confiable. Este problema se ha solucionado en las versiones 2.11.14 y 3.2.1. Se recomienda a los usuarios que actualicen la versión. No existen workarounds conocidos para esta vulnerabilidad.

veraPDF es una librería de validación PDF/A de código abierto. La ejecución de comprobaciones de políticas mediante archivos Schematron personalizados a través de la CLI invoca una transformación XSL que, en teoría, puede provocar una vulnerabilidad de ejecución remota de código (RCE). Esto no afecta a la funcionalidad estándar de validación y comprobaciones de políticas, que son los casos de uso más comunes de veraPDF. La mayoría de los usuarios de veraPDF no insertan ningún código XSLT personalizado en los perfiles de políticas, que se basan en la sintaxis de Schematron en lugar de en transformaciones XSL directas. Los usuarios que sí lo hacen deben cargar únicamente archivos de políticas personalizados de fuentes en las que confíen. Este problema aún no se ha solucionado. Se recomienda a los usuarios que tengan cuidado con el código XSLT hasta que haya un parche disponible.

sftpgo es una solución de transferencia de archivos basada en eventos, altamente configurable y con todas las funciones. Protocolos de servidor: SFTP, HTTP/S, FTP/S, WebDAV. La implementación de OpenID Connect permite a los usuarios autenticados forzar las cookies de sesión y, de ese modo, obtener acceso a los datos de otros usuarios, ya que las cookies se generan de manera predecible utilizando la librería xid y, por lo tanto, son únicas pero no criptográficamente seguras. Este problema se solucionó en la versión v2.6.4, donde las cookies son cadenas opacas y criptográficamente seguras. Se recomienda a todos los usuarios que actualicen. No existen workarounds conocidos para esta vulnerabilidad.

FFmpeg n7.0 tiene una vulnerabilidad de condición ejecución en el decodificador VP9. Esto podría provocar una ejecución de datos si se exportaran parámetros de codificación de video, ya que los datos secundarios se adjuntarían en el hilo del decodificador mientras se leían en el hilo de salida.

Un desbordamiento de entero en el componente /libavformat/westwood_vqa.c de FFmpeg n6.1.1 permite a atacantes provocar una denegación de servicio en la aplicación a través de un archivo VQA manipulado.

En Symfony v7.07, se identificó una vulnerabilidad de seguridad en el componente FormLoginAuthenticator, que no podía gestionar adecuadamente los casos en los que el campo de nombre de usuario o contraseña de una solicitud de inicio de sesión estaba vacío. Este fallo podría generar varios riesgos de seguridad, incluido el manejo inadecuado de la lógica de autenticación o la denegación de servicio.

Sandboxie es un software de aislamiento basado en sandbox para sistemas operativos Windows NT de 32 y 64 bits. Un usuario autenticado (**UserA**) sin privilegios está autorizado a leer todos los archivos creados en sandbox que pertenecen a otros usuarios en las carpetas sandbox `C:\Sandbox\UserB\xxx`. Un atacante autenticado que puede utilizar `explorer.exe` o `cmd.exe` fuera de cualquier sandbox puede leer los archivos de otros usuarios en `C:\Sandbox\xxx`. De forma predeterminada en Windows 7+, la carpeta `C:\Users\UserA` no es legible por **UserB**.<br /> Todos los archivos editados o creados durante el procesamiento de sandbox se ven afectados por la vulnerabilidad. Todos los archivos en C:\Users están seguros. Si `UserB` ejecuta un comando en un sandbox, podrá acceder a `C:\Sandox\UserA`. Además, si **UserB** crea una carpeta `C:\Sandbox\UserA` con ACL maliciosas, cuando **UserA** use el sandbox, Sandboxie no restablece las ACL. Este problema aún no se ha solucionado. Se recomienda a los usuarios que limiten el acceso a sus Sandbox mediante Sandboxie."

En RaspAP raspap-webgui 3.0.9 y versiones anteriores, existe una vulnerabilidad de inyección de comandos en el script clearlog.php. La vulnerabilidad se debe a una desinfección incorrecta de la entrada del usuario que se pasa a través del parámetro logfile.

moby v25.0.3 tiene una vulnerabilidad de condición de ejecución en el paquete streamformatter que puede usarse para activar múltiples operaciones de escritura simultáneas que resulten en corrupción de datos o fallos de la aplicación.

Zulip 8.3 es vulnerable a Cross Site Scripting (XSS) a través de la función construct_copy_div en copy_and_paste.js.