Vulnerabilidades

Se presenta una vulnerabilidad de tipo XSS en Pandora FMS versiones 756 y posteriores, que permite a un atacante llevar a cabo ejecuciones de código javascript por medio del campo name de operación masiva del módulo

Se presenta una vulnerabilidad de tipo XSS en Pandora FMS versiones 756 y anteriores, que permite a un atacante llevar a cabo ejecuciones de código javascript por medio del campo name del filtro de eventos

Se presenta una vulnerabilidad de tipo XSS en Pandora FMS versiones 756 y anteriores, que permite a un atacante llevar a cabo ejecuciones de código javascript por medio del campo name del servicio

Se presenta una vulnerabilidad de tipo XSS en Pandora FMS versiones 756 y anteriores, que permite a un atacante llevar a cabo ejecuciones de código javascript por medio de elementos de servicio

Se presenta una vulnerabilidad de tipo XSS en Pandora FMS versiones 756 y anteriores, que permite a un atacante llevar a cabo ejecuciones de código javascript por medio del campo name de formulario del módulo

Se ha encontrado un problema de pérdida de memoria en el algoritmo de generación de puertos de origen TCP en el archivo net/ipv4/tcp.c debido al pequeño tamaño de la tabla de perturbación. Este fallo puede permitir a un atacante un filtrado de información y puede causar un problema de denegación de servicio

Múltiples vulnerabilidades de Control de Acceso Inapropiado en el plugin premium StoreApps Affiliate For WooCommerce versiones anteriores a 4.7.0 incluyéndola, en WordPress

Se ha detectado un problema en GitLab CE/EE afectando a todas las versiones anteriores a la 15.0.5, a todas las versiones a partir de 15.1 anteriores a 15.1.4 y a todas las versiones a partir de 15.2 anteriores a 15.2.1. Es posible que mantenedores de grupos o proyectos maliciosos cambien la visibilidad de su grupo o proyecto correspondiente al diseñar una petición POST maliciosa

Se ha detectado un problema en GitLab EE afectando a todas las versiones anteriores a la 15.0.5, a todas las versiones a partir de 15.1 anteriores a 15.1.4 y a todas las versiones a partir de 15.2 anteriores a 15.2.1. Es posible que miembros invitados por correo electrónico sean unidas a un proyecto incluso después de que el propietario del grupo haya habilitado la configuración para evitar que los miembros sean añadidas a proyectos de un grupo, si la invitación es enviada antes de que sea habilitada la configuración

Se ha detectado un problema en GitLab CE/EE afectando a todas las versiones anteriores a la 15.0.5, a todas las versiones a partir de 15.1 anteriores a 15.1.4 y a todas las versiones a partir de 15.2 anteriores a 15.2.1. Puede ser posible a los miembros del grupo omitir la aplicación de 2FA habilitada a nivel de grupo al usar la concesión de credenciales de contraseña de propietario de recursos para obtener un token de acceso sin usar 2FA

Debido a una vulnerabilidad de tipo XML external entity, el software analiza XML en la funcionalidad backup/restore sin banderas de seguridad XML, lo que puede conllevar a un ataque de tipo XXE al restaurar la copia de seguridad

Cuando una petición POST llega a través de AJP y la petición excede el límite de tamaño máximo de post (maxEntitySize), la implementación AjpServerRequestConduit de Undertow cierra una conexión sin enviar ninguna respuesta al cliente/proxy. Este comportamiento resulta en que un proxy del front-end marque al trabajador del backend (servidor de aplicaciones) como un estado de error y no reenvíe peticiones al trabajador durante un tiempo. En mod_cluster, esto continúa hasta que la siguiente petición de STATUS (en intervalos de 10 segundos) del servidor de aplicaciones actualiza el estado del servidor. Así que, en el peor de los casos, puede resultar en "Todos los trabajadores están en estado de error" y mod_cluster responde "503 Service Unavailable" durante un tiempo (hasta 10 segundos). En mod_proxy_balancer, no reenvía las peticiones al trabajador hasta que pasa el tiempo de espera de "reintento". Sin embargo, por suerte, mod_proxy_balancer presenta el parámetro "forcerecovery" (habilitado por defecto; este parámetro puede forzar la recuperación inmediata de todos los trabajadores sin tener en cuenta el parámetro retry de los trabajadores si todos los trabajadores de un balanceador están en estado de error). Así, a diferencia de mod_cluster, mod_proxy_balancer no resulta en la respuesta "503 Service Unavailable". Un atacante podría usar este comportamiento para enviar una petición maliciosa y desencadenar errores en el servidor, resultando en DoS (denegación de servicio). Este fallo fue corregido en Undertow versión 2.2.19.Final, Undertow versión 2.3.0.Alpha2