Vulnerabilidades

El software de código abierto DSpace es una aplicación de repositorio que proporciona acceso duradero a los recursos digitales. En las versiones afectadas el ItemImportServiceImpl es vulnerable a una vulnerabilidad de salto de ruta. Esto significa que un paquete SAF (formato de archivo simple) malicioso podría causar la creación de un archivo/directorio en cualquier lugar donde el usuario de Tomcat/DSpace pueda escribir en el servidor. Sin embargo, esta vulnerabilidad de salto de ruta sólo es posible por un usuario con privilegios especiales (ya sea administradores o alguien con acceso a la línea de comandos del servidor). Esta vulnerabilidad afecta a XMLUI, JSPUI y a la línea de comandos. Es recomendado a usuarios actualizar. Como mitigación básica, los usuarios pueden bloquear todo el acceso a las siguientes rutas URL: Si usa la XMLUI, bloquee todos los accesos a la ruta /admin/batchimport (esta es la URL de la herramienta Admin Batch Import). Ten en cuenta que si tu sitio usa la ruta "/xmlui", tendrás que bloquear el acceso a /xmlui/admin/batchimport. Si usas la JSPUI, bloquea todo el acceso a la ruta /dspace-admin/batchimport (esta es la URL de la herramienta Admin Batch Import). Ten en cuenta que si tu sitio usa la ruta "/jspui", entonces tendrás que bloquear el acceso a /jspui/dspace-admin/batchimport. Tenga en cuenta que sólo un usuario administrativo o un usuario con acceso a la línea de comandos del servidor puede importar/cargar paquetes SAF. Por lo tanto, asumiendo que esos usuarios no suben ciegamente paquetes SAF no confiables, entonces es poco probable que su sitio pueda ser impactado por esta vulnerabilidad

OpenZeppelin Contracts es una biblioteca para el desarrollo de contratos inteligentes seguros. Este problema afecta a las instancias de Governor que usan el módulo "GovernorVotesQuorumFraction", un mecanismo que determina los requisitos de quórum como un porcentaje del suministro total del token de votación. En las instancias afectadas, cuando es aprobada una propuesta para reducir los requisitos de quórum, las propuestas anteriores pueden volverse ejecutables si habían sido derrotadas sólo por falta de quórum, y el número de votos que recibió cumple con el nuevo requisito de quórum. El análisis de las instancias en la cadena encontró sólo una propuesta que cumplía esta condición, y estamos monitoreando activamente para nuevas ocurrencias de este problema en particular. Este problema ha sido corregido en versión 4.7.2. Es recomendado a usuarios actualizar. Los usuarios que no puedan actualizarse deberían considerar la posibilidad de no reducir los requisitos de quórum si una propuesta anterior fue rechazada por falta de quórum

OpenZeppelin Contracts es una biblioteca para el desarrollo de contratos inteligentes seguros. Los contratos que usan las utilidades de cadena cruzada para Arbitrum L2, "CrossChainEnabledArbitrumL2" o "LibArbitrumL2", clasificarán las interacciones directas de las cuentas de propiedad externa (EOA) como llamadas de cadena cruzada, aunque no sean iniciadas en L1. Este problema ha sido corregido en versión 4.7.2. Es recomendado a usuarios actualizar. No se presentan mitigaciones conocidas para este problema

OpenZeppelin Contracts es una biblioteca para el desarrollo de contratos inteligentes seguros. El contrato objetivo de una consulta EIP-165 "supportsInterface" puede causar un consumo de gas no limitado al devolver muchos datos, mientras que generalmente es asumida que esta operación presenta un coste limitado. El problema ha sido solucionado en versión 4.7.2. Es recomendado a usuarios actualizar. No se presentan mitigaciones conocidas para este problema

Se ha detectado que PyroCMS versión v3.9, contiene múltiples vulnerabilidades de tipo cross-site scripting (XSS)

Discourse es una plataforma de debate de código abierto. En las versiones afectadas, una petición maliciosamente diseñada de activos estáticos podría causar que las respuestas de error fueran almacenadas en la caché por la configuración predeterminada del proxy NGINX de Discourse. Una configuración NGINX corregida es incluida en las últimas versiones estables, beta y de prueba de Discourse. Es recomendado a usuarios actualizar. No se presentan mitigaciones conocidas para esta vulnerabilidad

Se ha detectado que el parámetro foldername en Bolt versión 5.1.7, presenta una comprobación de entrada incorrecta, permitiendo a atacantes llevar a cabo una enumeración de directorios o causar una Denegación de Servicio (DoS) por medio de una entrada diseñada

Un problema en la funcionalidad login and reset de Backdrop CMS versión v1.22.0, permite a atacantes enumerar los nombres de usuario por medio de peticiones de restablecimiento de contraseñas y las distintas respuestas devueltas basadas en los nombres de usuario

PrestaShop es una plataforma de comercio electrónico de código abierto. En las versiones a partir de 1.6.0.10 y anteriores a 1.7.8.7, PrestaShop está sujeta a una vulnerabilidad de inyección SQL que puede ser encadenada para llamar a la función Eval de PHP en la entrada del atacante. El problema ha sido solucionado en versión 1.7.8.7. Es recomendado a usuarios actualizar. Los usuarios que no puedan actualizar pueden eliminar la función de caché MySQL Smarty

Shescape es un paquete de escape de shell simple para JavaScript. Se ha detectado que las versiones afectadas no escapan suficientemente de los espacios en blanco cuando interpolan la salida. Este problema sólo afecta a usuarios que usan las funciones "escape" o "escapeAll" con la opción "interpolation" establecida como "true". El resultado es que si un atacante es capaz de incluir espacios en blanco en su entrada puede 1. Invocar un comportamiento específico del shell a través de caracteres especiales específicos del shell insertados directamente después de los espacios en blanco. 2. 2. Invocar el comportamiento específico del shell mediante caracteres especiales específicos del shell insertados o que aparecen después de los caracteres de terminación de línea. 3. Invocar comandos arbitrarios mediante la inserción de un carácter de avance de línea. 4. Invocar comandos arbitrarios mediante la inserción de un carácter de retorno de carro. El comportamiento número 1 ha sido parcheado en la [versión v1.5.7] a la que puedes actualizar ahora. No son requeridos más cambios. Los comportamientos número 2, 3 y 4 han sido parcheados en la [versión v1.5.8] a la que puede actualizarse ahora. No son requeridos más cambios. La mejor mitigación es evitar tener que usar la opción "interpolación: true" - en la mayoría de los casos es posible usar una alternativa, vea [las recetas](https://github.com/ericcornelissen/shescape#recipes) para recomendaciones. Alternativamente, los usuarios pueden eliminar todos los espacios en blanco de la entrada del usuario. Tenga en cuenta que esto es propenso a errores, por ejemplo: para PowerShell esto requiere quitar "'\u0085'" que no está incluido en la definición de JavaScript de "\s" para Expresiones Regulares

El software de código abierto DSpace es una aplicación de repositorio que proporciona acceso duradero a recursos digitales. dspace-xmlui es un componente de interfaz de usuario para DSpace. En versiones afectadas, los metadatos de un elemento retirado son expuestos por medio del objeto "mets.xml" de XMLUI, siempre y cuando sea conocido el handle/URL del elemento retirado. Esta vulnerabilidad sólo afecta a la XMLUI. Es recomendado a usuarios actualizar a versión 6.4 o más reciente

Discourse es una plataforma de discusión de código abierto. En las versiones afectadas puede abusarse de una ruta de activación del correo electrónico para enviar correos masivos de spam. Ha sido incluida una corrección en las últimas versiones estables, beta y de prueba de Discourse que limita los correos electrónicos. Es recomendado a usuarios actualizar. Los usuarios que no puedan actualizarse deberán limitar manualmente la tasa de los correos electrónicos