Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

• Vulnerabilidad en Streamlit (CVE-2022-35918)
  Severidad: Pendiente de análisis
  Fecha de publicación: 01/08/2022
  Fecha de última actualización: 13/08/2024
  Streamlit es un marco de desarrollo de aplicaciones orientado a datos para python. Los usuarios que alojan aplicaciones Streamlit que usan componentes personalizados son vulnerables a un ataque de salto de directorio que podría filtrar datos de su sistema de archivos del servidor web, como por ejemplo: registros del servidor, archivos legibles a nivel mundial y, potencialmente, otra información confidencial. Un atacante puede diseñar una URL maliciosa con rutas de archivos y el servidor streamlit procesaría esa URL y devolvería el contenido de ese archivo o sobrescribiría los archivos existentes en el servidor web. Este problema ha sido resuelto en versión 1.11.1. Se recomienda a los usuarios que actualicen. No hay soluciones alternativas conocidas para este problema.
  
• Vulnerabilidad en R-HUB TurboMeeting (CVE-2024-38287)
  Severidad: Pendiente de análisis
  Fecha de publicación: 25/07/2024
  Fecha de última actualización: 13/08/2024
  El mecanismo de restablecimiento de contraseña en la funcionalidad Forgot Password en R-HUB TurboMeeting hasta 8.x permite a atacantes remotos no autenticados forzar a la aplicación a restablecer la contraseña del administrador a un valor aleatorio inseguro de 8 dígitos.
  
• Vulnerabilidad en R-HUB TurboMeeting (CVE-2024-38288)
  Severidad: Pendiente de análisis
  Fecha de publicación: 25/07/2024
  Fecha de última actualización: 13/08/2024
  Un problema de inyección de comandos en la funcionalidad de Certificate Signing Request (CSR) en R-HUB TurboMeeting hasta 8.x permite a atacantes autenticados con privilegios de administrador ejecutar comandos arbitrarios en el servidor subyacente como root.
  
• Vulnerabilidad en R-HUB TurboMeeting (CVE-2024-38289)
  Severidad: Pendiente de análisis
  Fecha de publicación: 25/07/2024
  Fecha de última actualización: 13/08/2024
  Un problema de inyección de SQL basado en booleanos en el endpoint Virtual Meeting Password (VMP) en R-HUB TurboMeeting hasta 8.x permite a atacantes remotos no autenticados extraer contraseñas hash de la base de datos y autenticarse en la aplicación, a través de una entrada SQL manipulada.
  
• Vulnerabilidad en OpenObserve (CVE-2024-41808)
  Severidad: Pendiente de análisis
  Fecha de publicación: 25/07/2024
  Fecha de última actualización: 13/08/2024
  La plataforma de observabilidad de código abierto OpenObserve brinda la capacidad de filtrar registros en un panel por los valores cargados en un registro determinado. Sin embargo, todas las versiones de la plataforma hasta la 0.9.1 no sanitizan la entrada del usuario en el menú de selección de filtros, lo que puede resultar en una apropiación total de la cuenta. Se ha observado que el front-end utiliza `DOMPurify` o plantillas Vue para escapar ampliamente del cross-site scripting (XSS), sin embargo, ciertas áreas del front-end carecen de esta protección XSS. Al combinar la protección faltante con el manejo de autenticación inseguro que utiliza el front-end, un usuario malintencionado puede hacerse cargo de la cuenta de cualquier víctima siempre que cumpla con los pasos de explotación. Al momento de la publicación, no hay ninguna versión parcheada disponible.
  
• Vulnerabilidad en Anybus-CompactCom 30 de HMS Industrial Networks (CVE-2024-6558)
  Severidad: Pendiente de análisis
  Fecha de publicación: 25/07/2024
  Fecha de última actualización: 13/08/2024
  Los productos Anybus-CompactCom 30 de HMS Industrial Networks son vulnerables a un ataque XSS causado por la falta de controles sanitarios de entrada. Como consecuencia, es posible insertar código HTML en los campos de entrada y almacenar el código HTML. El código HTML almacenado se incrustará en la página y el navegador host lo ejecutará la próxima vez que se cargue la página, lo que permitirá ataques de ingeniería social.
  
• Vulnerabilidad en OpenObserve (CVE-2024-41809)
  Severidad: Pendiente de análisis
  Fecha de publicación: 25/07/2024
  Fecha de última actualización: 13/08/2024
  OpenObserve es una plataforma de observabilidad de código abierto. A partir de la versión 0.4.4 y anteriores a la versión 0.10.0, OpenObserve contiene una vulnerabilidad de Cross Site Scripting en la línea 32 de `openobserve/web/src/views/MemberSubscription.vue`. La versión 0.10.0 sanitiza el HTML entrante.
  
• Vulnerabilidad en Spina CMS 2.18.0 (CVE-2024-7106)
  Severidad: MEDIA
  Fecha de publicación: 25/07/2024
  Fecha de última actualización: 13/08/2024
  Una vulnerabilidad fue encontrada en Spina CMS 2.18.0 y clasificada como problemática. Una funcionalidad desconocida del archivo /admin/media_folders es afectada por esta vulnerabilidad. La manipulación conduce a cross-site request forgery. El ataque se puede lanzar de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador asociado de esta vulnerabilidad es VDB-272431. NOTA: Se contactó al proveedor tempranamente sobre esta divulgación, pero no respondió de ninguna manera.
  
• Vulnerabilidad en dotCMS LLC (CVE-2024-3938)
  Severidad: Pendiente de análisis
  Fecha de publicación: 25/07/2024
  Fecha de última actualización: 13/08/2024
  La página de inicio de sesión "reset password" aceptó una inyección de HTML a través de parámetros de URL. Esto ya se ha rectificado mediante un parche y, como tal, no se puede demostrar mediante el enlace del sitio de demostración. Aquellos interesados en ver la vulnerabilidad pueden activar un http://localhost:8082/dotAdmin/#/public/login?resetEmailSent=true&resetEmail=%3Ch1%3E%3Ca%20href%3D%22https:%2F%2Fgoogle.com% 22%3ECLICK%20ME%3C%2Fa%3E%3C%2Fh1%3E Esto dará como resultado una vista similar a estas líneas: * OWASP Top 10 - A03: Inyección * Puntuación CVSS: 5,4 * AV:N/AC:L/PR :N/UI:R/S:U/C:L/I:L/A:N https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator * https://nvd.nist. gov/vuln-metrics/cvss/v3-calculator?vector=AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N&... https: //nvd.nist.gov/vuln-metrics/cvss/v3-calculator
  
• Vulnerabilidad en Raisecom MSG1200, MSG2100E, MSG2200 y MSG2300 3.90 (CVE-2024-7120)
  Severidad: MEDIA
  Fecha de publicación: 26/07/2024
  Fecha de última actualización: 13/08/2024
  Una vulnerabilidad fue encontrada en Raisecom MSG1200, MSG2100E, MSG2200 y MSG2300 3.90 y clasificada como crítica. Una parte desconocida del archivo list_base_config.php del componente Web Interface afecta a una parte desconocida. La manipulación del argumento template conduce a la inyección de comandos del sistema operativo. Es posible iniciar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador asociado de esta vulnerabilidad es VDB-272451.
  
• Vulnerabilidad en SourceCodester Insurance Management System 1.0 (CVE-2024-7225)
  Severidad: MEDIA
  Fecha de publicación: 30/07/2024
  Fecha de última actualización: 13/08/2024
  Se encontró una vulnerabilidad en SourceCodester Insurance Management System 1.0. Ha sido clasificada como problemática. Esto afecta a una parte desconocida del archivo /Script/admin/core/update_policy del componente Edit Insurance Policy Page. La manipulación del argumento pname conduce a cross site scripting. Es posible iniciar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse. A esta vulnerabilidad se le asignó el identificador VDB-272805.
  
• Vulnerabilidad en SourceCodester Medicine Tracker System 1.0 (CVE-2024-7226)
  Severidad: MEDIA
  Fecha de publicación: 30/07/2024
  Fecha de última actualización: 13/08/2024
  Se encontró una vulnerabilidad en SourceCodester Medicine Tracker System 1.0. Ha sido declarada problemática. Esta vulnerabilidad afecta a código desconocido del archivo /classes/Users.php?f=save_user del componente Password Change Handler. La manipulación conduce a cross-site request forgery. El ataque se puede iniciar de forma remota. El exploit ha sido divulgado al público y puede utilizarse. VDB-272806 es el identificador asignado a esta vulnerabilidad.
  
• Vulnerabilidad en IBM Security Directory Integrator (CVE-2022-33167)
  Severidad: Pendiente de análisis
  Fecha de publicación: 30/07/2024
  Fecha de última actualización: 13/08/2024
  IBM Security Directory Integrator 7.2.0 e IBM Security Verify Directory Integrator 10.0.0 podrían permitir a un atacante remoto obtener información confidencial, causada por el fallo al establecer el indicador HTTPOnly. Un atacante remoto podría aprovechar esta vulnerabilidad para obtener información confidencial de la cookie. ID de IBM X-Force: 228587.
  
• Vulnerabilidad en IBM Aspera Orchestrator 4.0.1 (CVE-2023-26288)
  Severidad: Pendiente de análisis
  Fecha de publicación: 30/07/2024
  Fecha de última actualización: 13/08/2024
  IBM Aspera Orchestrator 4.0.1 no invalida la sesión después de un cambio de contraseña que podría permitir a un usuario autenticado hacerse pasar por otro usuario en el sistema. ID de IBM X-Force: 248477.
  
• Vulnerabilidad en IBM Aspera Orchestrator 4.0.1 (CVE-2023-26289)
  Severidad: Pendiente de análisis
  Fecha de publicación: 30/07/2024
  Fecha de última actualización: 13/08/2024
  IBM Aspera Orchestrator 4.0.1 es vulnerable a la inyección de encabezados HTTP, causada por una validación incorrecta de la entrada por parte de los encabezados HOST. Esto podría permitir a un atacante realizar varios ataques contra el sistema vulnerable, incluidos cross-site scripting, envenenamiento de caché o secuestro de sesión. ID de IBM X-Force: 248478.
  
• Vulnerabilidad en IBM Aspera Orchestrator 4.0.1 (CVE-2023-38001)
  Severidad: Pendiente de análisis
  Fecha de publicación: 30/07/2024
  Fecha de última actualización: 13/08/2024
  IBM Aspera Orchestrator 4.0.1 es vulnerable a cross-site request forgery, lo que podría permitir a un atacante ejecutar acciones maliciosas y no autorizadas transmitidas por un usuario en el que confía el sitio web. ID de IBM X-Force: 260206.
  
• Vulnerabilidad en itsourcecode Alton Management System 1.0 (CVE-2024-7273)
  Severidad: MEDIA
  Fecha de publicación: 30/07/2024
  Fecha de última actualización: 13/08/2024
  Una vulnerabilidad fue encontrada en itsourcecode Alton Management System 1.0 y clasificada como crítica. Esta vulnerabilidad afecta a un código desconocido del archivo search.php. La manipulación del argumento rcode conduce a la inyección de SQL. El ataque se puede iniciar de forma remota. El exploit ha sido divulgado al público y puede utilizarse. VDB-273142 es el identificador asignado a esta vulnerabilidad.
  
• Vulnerabilidad en itsourcecode Alton Management System 1.0 (CVE-2024-7274)
  Severidad: MEDIA
  Fecha de publicación: 30/07/2024
  Fecha de última actualización: 13/08/2024
  Una vulnerabilidad fue encontrada en itsourcecode Alton Management System 1.0 y clasificada como crítica. Este problema afecta un procesamiento desconocido del archivo /reservation_status.php. La manipulación del argumento rcode conduce a la inyección de SQL. El ataque puede iniciarse de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador asociado de esta vulnerabilidad es VDB-273143.
  
• Vulnerabilidad en itsourcecode Alton Management System 1.0 (CVE-2024-7275)
  Severidad: MEDIA
  Fecha de publicación: 30/07/2024
  Fecha de última actualización: 13/08/2024
  Una vulnerabilidad fue encontrada en itsourcecode Alton Management System 1.0 y clasificada como crítica. Una función desconocida del archivo /admin/category_save.php es afectada por esta vulnerabilidad. La manipulación del argumento category conduce a la inyección de SQL. Es posible lanzar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador de esta vulnerabilidad es VDB-273144.
  
• Vulnerabilidad en SourceCodester Establishment Billing Management System 1.0 (CVE-2024-7289)
  Severidad: MEDIA
  Fecha de publicación: 31/07/2024
  Fecha de última actualización: 13/08/2024
  Se encontró una vulnerabilidad en SourceCodester Establishment Billing Management System 1.0. Ha sido calificada como crítica. Una función desconocida del archivo /manage_paid.php es afectada por esta vulnerabilidad. La manipulación del argumento id conduce a la inyección de SQL. El ataque puede lanzarse de forma remota. El exploit ha sido divulgado al público y puede utilizarse. VDB-273158 es el identificador asignado a esta vulnerabilidad.
  
• Vulnerabilidad en SourceCodester Establishment Billing Management System 1.0 (CVE-2024-7290)
  Severidad: MEDIA
  Fecha de publicación: 31/07/2024
  Fecha de última actualización: 13/08/2024
  Una vulnerabilidad ha sido encontrada en SourceCodester Establishment Billing Management System 1.0 y clasificada como crítica. Esto afecta a una parte desconocida del archivo /manage_tenant.php. La manipulación del argumento id conduce a la inyección de SQL. Es posible iniciar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador asociado de esta vulnerabilidad es VDB-273159.
  
• Vulnerabilidad en Dell Inventory Collector (CVE-2024-37129)
  Severidad: Pendiente de análisis
  Fecha de publicación: 31/07/2024
  Fecha de última actualización: 13/08/2024
  Dell Inventory Collector, versiones anteriores a 12.3.0.6, contiene una vulnerabilidad de Path Traversal. Un usuario malintencionado autenticado local podría aprovechar esta vulnerabilidad, lo que provocaría la ejecución de código arbitrario en el sistema.
  
• Vulnerabilidad en SourceCodester Establishment Billing Management System 1.0 (CVE-2024-7307)
  Severidad: MEDIA
  Fecha de publicación: 31/07/2024
  Fecha de última actualización: 13/08/2024
  Se ha encontrado una vulnerabilidad en SourceCodester Establishment Billing Management System 1.0 y se ha clasificado como crítica. Esta vulnerabilidad afecta a una funcionalidad desconocida del archivo /manage_billing.php. La manipulación del argumento id conduce a una inyección SQL. El ataque se puede lanzar de forma remota. El exploit se ha divulgado al público y puede utilizarse. El identificador asociado a esta vulnerabilidad es VDB-273199.
  
• Vulnerabilidad en SourceCodester Establishment Billing Management System 1.0 (CVE-2024-7308)
  Severidad: MEDIA
  Fecha de publicación: 31/07/2024
  Fecha de última actualización: 13/08/2024
  Se ha encontrado una vulnerabilidad en SourceCodester Establishment Billing Management System 1.0 y se ha clasificado como crítica. Este problema afecta a algunas funciones desconocidas del archivo /view_bill.php. La manipulación del argumento id provoca una inyección SQL. El ataque puede ejecutarse de forma remota. La vulnerabilidad se ha hecho pública y puede utilizarse. El identificador de esta vulnerabilidad es VDB-273200.
  
• Vulnerabilidad en SourceCodester Record Management System 1.0 (CVE-2024-7309)
  Severidad: MEDIA
  Fecha de publicación: 31/07/2024
  Fecha de última actualización: 13/08/2024
  Se ha encontrado una vulnerabilidad en SourceCodester Record Management System 1.0. Se ha clasificado como problemática. Afecta a una parte desconocida del archivo entry.php. La manipulación del argumento school provoca cross site scripting. Es posible iniciar el ataque de forma remota. El exploit se ha hecho público y puede utilizarse. A esta vulnerabilidad se le ha asignado el identificador VDB-273201.
  
• Vulnerabilidad en SourceCodester Record Management System 1.0 (CVE-2024-7310)
  Severidad: MEDIA
  Fecha de publicación: 31/07/2024
  Fecha de última actualización: 13/08/2024
  Se ha encontrado una vulnerabilidad en SourceCodester Record Management System 1.0. Se ha declarado como problemática. Esta vulnerabilidad afecta al código desconocido del archivo sort_user.php. La manipulación del argumento sort provoca cross site scripting. El ataque se puede iniciar de forma remota. La vulnerabilidad se ha hecho pública y puede utilizarse. VDB-273202 es el identificador asignado a esta vulnerabilidad.
  
• Vulnerabilidad en code-projects Online Bus Reservation Site 1.0 (CVE-2024-7311)
  Severidad: ALTA
  Fecha de publicación: 31/07/2024
  Fecha de última actualización: 13/08/2024
  Se ha encontrado una vulnerabilidad code-projects Online Bus Reservation Site 1.0. Se ha calificado como crítica. Este problema afecta a algunos procesos desconocidos del archivo register.php. La manipulación del argumento Email provoca una inyección SQL. El ataque puede iniciarse de forma remota. La vulnerabilidad se ha divulgado al público y puede utilizarse. El identificador asociado a esta vulnerabilidad es VDB-273203.
  
• Vulnerabilidad en Lenovo PC Manager (CVE-2017-3772)
  Severidad: Pendiente de análisis
  Fecha de publicación: 31/07/2024
  Fecha de última actualización: 13/08/2024
  Se informó una vulnerabilidad en las versiones de Lenovo PC Manager anteriores a la 2.6.40.3154 que podría permitir que un atacante provocara un reinicio del sistema.
  
• Vulnerabilidad en Lenovo PC Manager (CVE-2019-6197)
  Severidad: Pendiente de análisis
  Fecha de publicación: 31/07/2024
  Fecha de última actualización: 13/08/2024
  Se informó una vulnerabilidad en Lenovo PC Manager antes de la versión 2.8.90.11211 que podría permitir a un atacante local escalar privilegios.
  
• Vulnerabilidad en Lenovo PC Manager (CVE-2019-6198)
  Severidad: Pendiente de análisis
  Fecha de publicación: 31/07/2024
  Fecha de última actualización: 13/08/2024
  Se informó una vulnerabilidad en Lenovo PC Manager antes de la versión 2.8.90.11211 que podría permitir a un atacante local escalar privilegios.
  
• Vulnerabilidad en Lenovo Group Ltd. (CVE-2022-4002)
  Severidad: Pendiente de análisis
  Fecha de publicación: 31/07/2024
  Fecha de última actualización: 13/08/2024
  Una vulnerabilidad de inyección de comandos podría permitir a un usuario autenticado ejecutar comandos del sistema operativo como root a través de una solicitud API especialmente manipulada.
  
• Vulnerabilidad en Lenovo Group Ltd. (CVE-2022-4003)
  Severidad: Pendiente de análisis
  Fecha de publicación: 31/07/2024
  Fecha de última actualización: 13/08/2024
  Una vulnerabilidad de denegación de servicio podría permitir que un usuario autenticado active un reinicio del servicio interno mediante una solicitud API especialmente manipulada.
  
• Vulnerabilidad en Lenovo Driver Manager (CVE-2023-1577)
  Severidad: Pendiente de análisis
  Fecha de publicación: 31/07/2024
  Fecha de última actualización: 13/08/2024
  Se informó una vulnerabilidad de secuestro de ruta en Lenovo Driver Manager antes de la versión 3.1.1307.1308 que podría permitir a un usuario local ejecutar código con privilegios elevados.
  
• Vulnerabilidad en Poly Clariti Manager (CVE-2024-41910)
  Severidad: Pendiente de análisis
  Fecha de publicación: 06/08/2024
  Fecha de última actualización: 13/08/2024
  Se descubrió una vulnerabilidad en las versiones de firmware hasta 10.10.2.2 en dispositivos Poly Clariti Manager. El firmware contenía múltiples vulnerabilidades XXS en la versión de JavaScript utilizada.
  
• Vulnerabilidad en Poly Clariti Manager (CVE-2024-41911)
  Severidad: Pendiente de análisis
  Fecha de publicación: 06/08/2024
  Fecha de última actualización: 13/08/2024
  Se descubrió una vulnerabilidad en las versiones de firmware hasta 10.10.2.2 en dispositivos Poly Clariti Manager. La falla no neutraliza adecuadamente la entrada durante la generación de una página web.
  
• Vulnerabilidad en Poly Clariti Manager (CVE-2024-41913)
  Severidad: Pendiente de análisis
  Fecha de publicación: 06/08/2024
  Fecha de última actualización: 13/08/2024
  Se descubrió una vulnerabilidad en las versiones de firmware hasta 10.10.2.2 en dispositivos Poly Clariti Manager. La falla del firmware no desinfecta adecuadamente la entrada del usuario.