Vulnerabilidades

Hay una vulnerabilidad de suplantación de identidad cuando los Navegadores de Microsoft no analizan apropiadamente el contenido HTTP, también se conoce como "Microsoft Browser Spoofing Vulnerability". Este ID de CVE es diferente de CVE-2019-1357.

Se ha identificado una vulnerabilidad en Development/Evaluation Kits for PROFINET IO: DK Standard Ethernet Controller, Development/Evaluation Kits for PROFINET IO: EK-ERTEC 200, Kits de desarrollo/evaluación para PROFINET IO: EK-ERTEC 200P, SIMATIC CFU PA, SIMATIC ET 200SP Open Controller CPU 1515SP PC (incl. variantes SIPLUS), SIMATIC ET200AL, SIMATIC ET200M (incl. variantes SIPLUS), SIMATIC ET200MP IM155-5 PN BA (incl. variantes SIPLUS), SIMATIC ET200MP IM155-5 PN HF (incl. variantes SIPLUS), SIMATIC ET200MP IM155-5 PN ST (incl. variantes SIPLUS) SIPLUS), SIMATIC ET200S (incl. variantes SIPLUS), SIMATIC ET200SP IM155-6 PN BA (incl. variantes SIPLUS), SIMATIC ET200SP IM155-6 PN HA (incl. variantes SIPLUS), SIMATIC ET200SP IM155-6 PN HF (incl. variantes SIPLUS), SIMATIC ET200SP IM155-6 PN HS (incl. variantes SIPLUS), SIMATIC ET200SP IM155-6 PN ST (incl. variantes SIPLUS). SIPLUS), SIMATIC ET200SP IM155-6 PN/2 HF (incl. variantes SIPLUS), SIMATIC ET200SP IM155-6 PN/3 HF (incl. variantes SIPLUS) variantes SIPLUS), SIMATIC ET200ecoPN, 16DI, DC24V, 8xM12, SIMATIC ET200ecoPN, 16DO DC24V/1,3A, 8xM12, SIMATIC ET200ecoPN, 4AO U/I 4xM12, SIMATIC ET200ecoPN, 8 DIO, DC24V/1,3A, 8xM12, SIMATIC ET200ecoPN, 8 DO, DC24V/2A, 8xM12, SIMATIC ET200ecoPN, 8AI RTD/TC 8xM12, SIMATIC ET200ecoPN, 8AI 4 U/I; 4 RTD/TC 8xM12, SIMATIC ET200ecoPN, 8DI, DC24V, 4xM12, SIMATIC ET200ecoPN, 8DI, DC24V, 8xM12, SIMATIC ET200ecoPN, 8DO, DC24V/0,5A, 4xM12, SIMATIC ET200ecoPN, 8DO, DC24V/1,3A, 4xM12, SIMATIC ET200ecoPN, 8DO, DC24V/1,3A, 8xM12, SIMATIC ET200ecoPN: IO-Link Master, SIMATIC ET200pro, paneles exteriores SIMATIC HMI Comfort de 7" y 15" (incl. variantes SIPLUS), paneles SIMATIC HMI Comfort de 4" a 22" (incl. variantes SIPLUS), paneles móviles SIMATIC HMI KTP, acoplador SIMATIC PN/PN (incl. variantes SIPLUS NET), driver SIMATIC PROFINET, familia de CPUs SIMATIC S7-1200 (incl. variantes SIPLUS), familia de CPUs SIMATIC S7-1500 (incl. variantes SIPLUS). CPUs ET200 y variantes SIPLUS), SIMATIC S7-1500 Software Controller, familia de CPUs SIMATIC S7-300 (incl. CPUs ET200 y variantes SIPLUS), familia de CPUs SIMATIC S7-400 H V6 (incl. variantes SIPLUS), familia de CPUs SIMATIC S7-400 PN/DP V6 e inferiores (incl. variantes SIPLUS), familia de CPUs SIMATIC S7-400 PN/DP V7 (incl. variantes SIPLUS), SIMATIC S7-400 PN/DP V7 (incl. variantes SIPLUS). SIPLUS), familia de CPU SIMATIC S7-410 V8 (incl. variantes SIPLUS), SIMATIC TDC CP51M1, SIMATIC TDC CPU555, SIMATIC WinAC RTX (F) 2010, SINAMICS DCM, SINAMICS DCP, SINAMICS G110M V4. 7 PN Control Unit, SINAMICS G120 V4.7 PN Control Unit (incl. variantes SIPLUS), SINAMICS G130 V4.7 Control Unit, SINAMICS G150 Control Unit, SINAMICS GH150 V4. 7, SINAMICS GL150 V4.7, SINAMICS GM150 V4.7, SINAMICS S110, SINAMICS S120 V4.7 (incluidas las variantes SIPLUS), SINAMICS S150, SINAMICS SL150 V4.7, SINAMICS SM120 V4.7, SINUMERIK 828D, SINUMERIK 840D sl. Los dispositivos afectados contienen una vulnerabilidad que permite a un atacante no autenticado desencadenar una condición de denegación de servicio. La vulnerabilidad puede activarse si se envía al dispositivo una gran cantidad de paquetes UDP especialmente diseñados. La vulnerabilidad de seguridad podría ser explotada por un atacante con acceso a la red de los sistemas afectados. La explotación exitosa no requiere privilegios del sistema ni interacción del usuario. Un atacante podría utilizar la vulnerabilidad para comprometer la disponibilidad del dispositivo. En el momento de la publicación del aviso no se conocía ninguna explotación pública de esta vulnerabilidad de seguridad

Se ha identificado una vulnerabilidad en Development/Evaluation Kits para PROFINET IO: DK Standard Ethernet Controller (Todas las versiones anteriores a la versión V4.1.1 Patch 05), Development/Evaluation Kits para PROFINET IO: EK-ERTEC 200 (Todas las versiones anteriores a la versión V4.5.0 Patch 01), Development/Evaluation Kits para PROFINET IO: EK-ERTEC 200P (Todas las versiones anteriores a la versión V4.5.0), familia de switches SCALANCE X-200IRT (incluidas las variantes SIPLUS NET) (Todas las versiones anteriores a la versión V5.2.1), SIMATIC ET200M (incluidas las variantes SIPLUS) (Todas las versiones), SIMATIC ET200S (incluidas las variantes SIPLUS) (Todas las versiones), SIMATIC ET200ecoPN, 16DI, DC24V, 8xM12 (Todas las versiones), SIMATIC ET200ecoPN, 16DO DC24V/1,3A, 8xM12 (Todas las versiones), SIMATIC ET200ecoPN, 4AO U/I 4xM12 (Todas las versiones), SIMATIC ET200ecoPN, 8 DIO, DC24V/1,3A, 8xM12 (Todas las versiones), SIMATIC ET200ecoPN, 8 DO, DC24V/2A, 8xM12 (Todas las versiones), SIMATIC ET200ecoPN, 8AI RTD/TC 8xM12 (Todas las versiones), SIMATIC ET200ecoPN, 8AI; 4 U/I; 4 RTD/TC 8xM12 (Todas las versiones), SIMATIC ET200ecoPN, 8DI, DC24V, 4xM12 (Todas las versiones), SIMATIC ET200ecoPN, 8DI, DC24V, 8xM12 (Todas las versiones), SIMATIC ET200ecoPN, 8DO, DC24V/0,5A, 4xM12 (Todas las versiones), SIMATIC ET200ecoPN, 8DO, DC24V/1,3A, 4xM12 (Todas las versiones), SIMATIC ET200ecoPN, 8DO, DC24V/1,3A, 8xM12 (Todas las versiones), SIMATIC ET200ecoPN: IO-Link Master (Todas las versiones), SIMATIC ET200pro (Todas las versiones), SIMATIC NET CP 1604 (Todas las versiones anteriores a la versión V2.8), SIMATIC NET CP 1616 (Todas las versiones anteriores a la versión V2.8), SIMATIC PN/PN Coupler 6ES7158-3AD01-0XA0 (incluida la variante SIPLUS NET) (Todas las versiones), familia SIMATIC S7-300 CPU (incluyendo las variantes relacionadas ET200 CPUs y SIPLUS) (Todas las versiones anteriores a la versión V3.X.17), familia SIMATIC S7-400 PN/DP V6 y anteriores CPU (incluidas las variantes SIPLUS) (Todas las versiones), familia SIMATIC S7-400 PN/DP V7 CPU (incluidas las variantes SIPLUS) (Todas las versiones), SIMATIC WinAC RTX (F) 2010 (Todas las versiones anteriores a la versión SIMATIC WinAC RTX 2010 SP3), SIMOTION (incluidas las variantes SIPLUS) (Todas las versiones), SINAMICS DCM (Todas las versiones anteriores a la versión V1.5 HF1), SINAMICS DCP (Todas las versiones anteriores a la versión V1.3), SINAMICS G110M V4.7 Control Unit (Todas las versiones anteriores a la versión V4.7 SP10 HF5), SINAMICS G120 V4.7 Control Unit (incluidas las variantes SIPLUS) (Todas las versiones anteriores a la versión V4.7 SP10 HF5), SINAMICS G130 V4.7 Control Unit (Todas las versiones anteriores a la versión V4.7 HF29), SINAMICS G150 Control Unit (Todas las versiones anteriores a la versión V4.8), SINAMICS GH150 V4.7 Control Unit (Todas las versiones), SINAMICS GL150 V4.7 Control Unit (Todas las versiones), SINAMICS GM150 V4.7 Control Unit (Todas las versiones), SINAMICS S110 Control Unit (Todas las versiones), SINAMICS S120 V4.7 Control Unit and CBE20 (incluidas las variantes SIPLUS) (Todas las versiones anteriores a la versión V4.7 HF34), SINAMICS S150 Control Unit (Todas las versiones anteriores a la versión V4.8), SINAMICS SL150 V4.7 Control Unit (Todas las versiones anteriores a la versión V4.7 HF33), SINAMICS SM120 V4.7 Control Unit (Todas las versiones), SINUMERIK 828D (Todas las versiones anteriores a la versión V4.8 SP5), SINUMERIK 840D sl (Todas las versiones). Un atacante con acceso de red a un producto afectado puede causar una condición de denegación de servicio al romper la sincronización en tiempo real (IRT) de la instalación afectada. La vulnerabilidad de seguridad podría ser explotada por un atacante no autenticado con acceso de red a la instalación afectada. No se requiere interacción del usuario para explotar esta vulnerabilidad de seguridad. La vulnerabilidad afecta la disponibilidad de las instalaciones afectadas

LavaLite versiones hasta 5.7, presenta una vulnerabilidad de tipo XSS por medio de un nombre de cuenta diseñado que es manejado inapropiadamente en la pantalla Manage Clients.

z-song laravel-admin versión 1.7.3, presenta una vulnerabilidad de tipo XSS por medio de Slug o Name en la pantalla Roles, debido a un manejo inapropiado en la pantalla "Operation log".

Se detectó un problema en fastadmin versión 1.0.0.20190705_beta. Se presenta una vulnerabilidad de tipo CSRF de public/index.php/admin/auth/admin/add.

Se detectó un problema en fastadmin versión 1.0.0.20190705_beta. Se presenta una vulnerabilidad de tipo CSRF de public/admin/general.config/edit, como es demostrado por el XSS resultante por medio del parámetro row[name].

Adhouma CMS hasta el 09-10-2019, presenta una inyección SQL por medio del parámetro p_id del archivo post.php.

EyouCms versiones hasta 11-07-2019, presenta una vulnerabilidad de tipo XSS relacionada con el parámetro web_recordnum del archivo login.php.

El plugin new-contact-form-widget (también se conoce como Contact Form Widget - Contact Query, Form Maker) versión 1.0.9 para WordPress, presenta una inyección SQL por medio del archivo all-query-page.php.

El plugin client-dash (también se conoce como Client Dash) versión 2.1.4 para WordPress, permite un ataque de tipo XSS.

El plugin liquid-speech-balloon (también se conoce como LIQUID SPEECH BALLOON) en versiones anteriores a la.1.0.7 para WordPress permite un ataque de tipo XSS con Internet Explorer.