Vulnerabilidades

OpenFGA es un motor de autorización/permiso. Las versiones anteriores a 0.2.4 son vulnerables a la omisión de la autorización bajo determinadas condiciones. Los usuarios cuyo modelo presenta una relación definida como un conjunto de tuplas (el lado derecho de una declaración "from") que implica cualquier cosa que no sea una relación directa (por ejemplo, "as self") son vulnerables. La versión 0.2.4 contiene un parche para este problema

Dependency-Track es una plataforma de análisis de componentes que permite a las organizaciones identificar y reducir el riesgo en la cadena de suministro de software. versiones anteriores a 4.6.0, llevar a cabo una petición de API usando una clave de API válida con permisos insuficientes causa que la clave de API sea escrita en el registro de auditoría de Dependency-Track en texto sin cifrar. Los actores con acceso al registro de auditoría pueden aprovechar este fallo para conseguir acceso a claves de API válidas. El problema ha sido corregido en Dependency-Track versión 4.6.0. En lugar de registrar toda la clave API, sólo serán registrados los últimos 4 caracteres de la clave. Es recomendado encarecidamente comprobar los registros históricos para comprobar si es producido este comportamiento, y volver a generar las claves de API en caso de filtración

dependencytrack/frontend es una aplicación de página única (SPA) usada en Dependency-Track, una plataforma de análisis de componentes de código abierto que permite a las organizaciones identificar y reducir el riesgo en la cadena de suministro de software. Debido a la práctica común de proporcionar detalles de vulnerabilidad en formato markdown, el frontend de Dependency-Track los renderiza usando la biblioteca JavaScript Showdown. Showdown no presenta ninguna contramedida de tipo XSS incorporada, y Las versiones anteriores a 4.6.1 del frontend Dependency-Track no codificaban ni saneaban la salida de Showdown. Esto hacía posible que el JavaScript arbitrario incluido en los detalles de la vulnerabilidad por medio de atributos HTML es ejecutadora en el contexto del frontend. Los actores con el permiso "VULNERABILITY_MANAGEMENT" pueden explotar esta debilidad al crear o editar una vulnerabilidad personalizada y proporcionando cargas útiles de tipo XSS en cualquiera de los siguientes campos: Description, Details, Recommendation, o References. La carga útil es ejecutada para usuarios con el permiso "VIEW_PORTFOLIO" cuando naveguen a la página de la vulnerabilidad modificada. Alternativamente, el JavaScript malicioso podría ser introducido por medio de cualquiera de las bases de datos de vulnerabilidades reflejadas por Dependency-Track. Sin embargo, este vector de ataque es altamente improbable, y los mantenedores de Dependency-Track no presentan conocimiento de que esto ocurra. Tenga en cuenta que el elemento "Detalles de la vulnerabilidad" de la pestaña "Auditoría de vulnerabilidades" en la vista del proyecto no está afectado. El problema ha sido corregido en versión 4.6.1 del frontend

La aplicación Tasks.org para Android es una aplicación de código abierto para listas de tareas y recordatorios. La aplicación Tasks.org usa la actividad "ShareLinkActivity.kt" para manejar los intentos de "compartir" procedentes de otros componentes en el mismo dispositivo y convertirlos en tareas. Estos intentos pueden contener rutas de archivos arbitrarias como adjuntos, en cuyo caso los archivos apuntados por esas rutas son copiadas en el directorio de almacenamiento externo de la app. En versiones anteriores a 12.7.1 y 13.0.1, esas rutas no eran comprendidas, permitiendo que una aplicación maliciosa o comprometida en el mismo dispositivo forzara a Tasks.org a copiar archivos de su almacenamiento interno a su directorio de almacenamiento externo, donde quedaban accesibles para cualquier componente con permiso para leer el almacenamiento externo. Esta vulnerabilidad puede conllevar a una divulgación de información confidencial. Toda la información de las notas del usuario y de las preferencias de la aplicación, incluidas las credenciales cifradas de las integraciones de CalDav si están activadas, podía ser accesible por aplicaciones de terceros instaladas en el mismo dispositivo. Este problema ha sido corregido en versiones 12.7.1 y 13.0.1. No se presentan mitigaciones conocidas

kartverket/github-workflows son flujos de trabajo reusables compartidos para las acciones de GitHub. versiones anteriores a 2.7.5, todos los usuarios del flujo de trabajo reusable "run-terraform" del repositorio kartverket/github-workflows están afectados por una vulnerabilidad de inyección de código. Un actor malicioso podría enviar una RP con una carga útil maliciosa que conlleva a una ejecución de código JavaScript arbitrario en el contexto del flujo de trabajo. Los usuarios deben actualizar al menos a versión 2.7.5 para resolver el problema. Como mitigación, revise cualquier petición de usuarios externos en busca de cargas útiles maliciosas antes de permitir que desencadenen una compilación

keystone-6/core es un paquete central para Keystone 6, un sistema de administración de contenidos para Node.js. A partir de versiones 2.2.0 anteriores a 2.3.1, los usuarios que esperaban que sus campos "multiselect" usaran el control de acceso a nivel de campo -si estaba configurado- son vulnerables a que su control de acceso a nivel de campo no sea usado. El control de acceso a nivel de lista no está afectado. El control de acceso a nivel de campo para los campos que no sean "multiselect" no está afectado. La versión 2.3.1 contiene una corrección para este problema. Como mitigación, deje de usar el campo "multiselect"

El plugin LBStopAttack de WordPress versiones hasta 1.1.2, no usa nonces cuando guarda su configuración, lo que permite a atacantes conducir ataques de tipo CSRF. Esto podría permitir a atacantes deshabilitar las protecciones del plugin

El plugin Blog2Social: Social Media Auto Post & Scheduler de WordPress versiones anteriores a 6.9.10, no sanea y escapa apropiadamente de un parámetro antes de usarlo en una sentencia SQL, conllevando a una inyección SQL explotable por cualquier usuario autenticado, como los suscriptores

Se ha detectado un problema en el dlt-daemon de Connected Vehicle Systems Alliance (COVESA) versiones hasta 2.18.8. Debido a un analizador de archivos DLT defectuoso, puede crearse un archivo DLT diseñado que bloquea el proceso. Esto es debido a una falta de chequeo de comprobación. Se presenta una lectura excesiva del búfer en la región heap de la memoria de un byte

Se ha detectado un problema en Connected Vehicle Systems Alliance (COVESA) dlt-daemon versiones hasta 2.18.8. Debido a un analizador de archivos DLT defectuoso, puede crearse un archivo DLT diseñado que bloquea el proceso. Esto es debido a una falta de chequeo de comprobación. Se presenta una desreferencia de puntero NULL

El plugin Blog2Social: Social Media Auto Post & Scheduler de WordPress versiones anteriores a 6.9.10, no presenta autorización en una acción AJAX, y no asegura que la URL a la que hace una petición sea externa. Como resultado, cualquier usuario autenticado, como el suscriptor podría llevar a cabo ataques de tipo SSRF

El plugin Form Maker by 10Web de WordPress versiones anteriores a 1.15.6, no sanea y escapa apropiadamente de un parámetro antes de usarlo en una sentencia SQL, conllevando a una inyección SQL explotable por usuarios con altos privilegios, como el administrador