CVE-2024-28297

CVE-2024-28297

Título es
CVE-2024-28297

Vie, 02/08/2024 – 19:16

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-28297

Descripción en
SQL injection vulnerability in AzureSoft MyHorus 4.3.5 allows authenticated users to execute arbitrary SQL commands via unspecified vectors.

02/08/2024
02/08/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

El Departamento de Justicia de Estados Unidos acusa a TikTok de vulnerar la privacidad de los niños

En marzo de 2019, TikTok aceptó una orden de un tribunal federal estadounidense que prohibía a la gigante de las redes sociales recopilar información personal de sus usuarios más jóvenes sin el consentimiento de sus padres. Según una nueva demanda presentada por las autoridades estadounidenses, TikTok incumplió inmediatamente esa orden y ahora se enfrenta a sanciones de 51,744 dólares por infracción y día.

TikTok «permitió a sabiendas que niños menores de 13 años crearan cuentas en la experiencia habitual de TikTok y recopiló amplia información personal de esos niños sin avisar primero a los padres ni obtener su consentimiento verificable», alegó el Departamento de Justicia de EE UU (DOJ) en nombre de la Comisión Federal de Comercio en una demanda presentada el viernes en un tribunal federal de California.

TikTok no está de acuerdo

El portavoz de TikTok, Michael Hughes, asegura que la empresa está en total desacuerdo con las acusaciones. Reitera una declaración que la empresa emitió en junio, cuando la Federal Trade Comission (FTC) había votado a favor de la demanda, en el sentido de que muchas de las cuestiones planteadas se refieren a «prácticas que son objetivamente inexactas o que ya han sido abordadas.» Hughes añade que TikTok está «orgullosa de nuestros esfuerzos para proteger a los niños, y seguiremos actualizando y mejorando la plataforma.»

Las demandas por supuestas violaciones de la privacidad de los niños son casi un rito de paso para las plataformas sociales en estos días, con compañías como Google, Microsoft y Epic Games habiendo pagado colectivamente cientos de millones de dólares en multas.

Pero el caso contra TikTok también se enmarca en la creciente batalla del gobierno estadounidense contra el servicio, cuya propiedad por ByteDance, con sede en China, ha suscitado preocupaciones de seguridad nacional. Algunos funcionarios y legisladores estadounidenses han manifestado su preocupación por la posibilidad de que China utilice TikTok para difundir propaganda y recopilar datos sobre estadounidenses vulnerables. TikTok ha refutado las preocupaciones como alarmismo infundado y está luchando contra una ley que le obliga a buscar nuevos propietarios.

Un paso atrás antes de entrar

La denuncia presentada el viernes alega que, a partir de 2020, TikTok no permitía a los usuarios registrarse por su cuenta si introducían una fecha de nacimiento que indicara que eran menores de 13 años. Pero permitía a esos mismos usuarios volver atrás, editar su fecha de nacimiento y registrarse sin permiso paterno.

TikTok tampoco eliminaba las cuentas que supuestamente pertenecían a niños a menos que el usuario admitiera explícitamente su edad en su cuenta, según la demanda. Los moderadores de contenidos contratados por TikTok supuestamente dedicaban entre cinco y siete segundos de media a revisar las cuentas en busca de infracciones de edad. «Los demandados evitan activamente eliminar las cuentas de usuarios que saben que son niños», reza la demanda. Además, millones de cuentas marcadas como potencialmente pertenecientes a niños, supuestamente nunca fueron eliminadas debido a un error en las herramientas internas de TikTok.

La demanda reconoce que TikTok mejoró algunas políticas y procesos a lo largo de los años, pero que aún así conservó y utilizó información personal de niños que no debería haber tenido en primer lugar.

CVE-2024-38890

CVE-2024-38890

Título es
CVE-2024-38890

Vie, 02/08/2024 – 15:16

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-38890

Descripción en
An issue in Horizon Business Services Inc. Caterease Software 16.0.1.1663 through 24.0.1.2405 and possibly later versions allows a local attacker to perform an Authentication Bypass by Capture-replay attack due to insufficient protection against capture-replay attacks.

02/08/2024
02/08/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-41127

CVE-2024-41127

Título es
CVE-2024-41127

Vie, 02/08/2024 – 15:16

Tipo
CWE-74

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-41127

Descripción en
Monkeytype is a minimalistic and customizable typing test. Monkeytype is vulnerable to Poisoned Pipeline Execution through Code Injection in its ci-failure-comment.yml GitHub Workflow, enabling attackers to gain pull-requests write access. The ci-failure-comment.yml workflow is triggered when the Monkey CI workflow completes. When it runs, it will download an artifact uploaded by the triggering workflow and assign the contents of ./pr_num/pr_num.txt artifact to the steps.pr_num_reader.outputs.content WorkFlow variable. It is not validated that the variable is actually a number and later it is interpolated into a JS script allowing an attacker to change the code to be executed. This issue leads to pull-requests write access. This vulnerability is fixed in 24.30.0.

02/08/2024
02/08/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
8.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-7029

CVE-2024-7029

Título es
CVE-2024-7029

Vie, 02/08/2024 – 15:16

Tipo
CWE-77

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-7029

Descripción en
Commands can be injected over the network and executed without authentication.

02/08/2024
02/08/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
8.80

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-38877

CVE-2024-38877

Título es
CVE-2024-38877

Vie, 02/08/2024 – 11:16

Tipo
CWE-312

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-38877

Descripción es
Se ha identificado una vulnerabilidad en Omnivise T3000 Application Server (Todas las versiones), Omnivise T3000 Domain Controller (Todas las versiones), Omnivise T3000 Network Intrusion Detection System (NIDS) (Todas las versiones), Omnivise T3000 Product Data Management (PDM) (Todas las versiones), Omnivise T3000 Security Server (Todas las versiones), Omnivise T3000 Terminal Server (Todas las versiones), Omnivise T3000 Thin Client (Todas las versiones), Omnivise T3000 Whitelisting Server (Todas las versiones). Los dispositivos afectados almacenan las credenciales iniciales del sistema sin la protección suficiente. Un atacante con acceso remoto al shell o acceso físico podría recuperar las credenciales, lo que provocaría una pérdida de confidencialidad, lo que permitiría al atacante moverse lateralmente dentro de la red afectada.

Descripción en
A vulnerability has been identified in Omnivise T3000 Application Server (All versions), Omnivise T3000 Domain Controller (All versions), Omnivise T3000 Network Intrusion Detection System (NIDS) (All versions), Omnivise T3000 Product Data Management (PDM) (All versions), Omnivise T3000 Security Server (All versions), Omnivise T3000 Terminal Server (All versions), Omnivise T3000 Thin Client (All versions), Omnivise T3000 Whitelisting Server (All versions). The affected devices stores initial system credentials without sufficient protection. An attacker with remote shell access or physical access could retrieve the credentials leading to confidentiality loss allowing the attacker to laterally move within the affected network.

02/08/2024
02/08/2024
Vector CVSS:3.1
CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
8.20

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-40720

CVE-2024-40720

Título es
CVE-2024-40720

Vie, 02/08/2024 – 11:16

Tipo
CWE-20

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-40720

Descripción es
La API específica en TCBServiSign Windows Version de CHANGING Information Technology no valida correctamente la entrada del lado del servidor. Cuando un usuario visita un sitio web falsificado, atacantes remotos no autenticados pueden modificar el registro `HKEY_CURRENT_USER` para ejecutar comandos arbitrarios.

Descripción en
The specific API in TCBServiSign Windows Version from CHANGING Information Technology does not properly validate server-side input. When a user visits a spoofed website, unauthenticated remote attackers can modify the `HKEY_CURRENT_USER` registry to execute arbitrary commands.

02/08/2024
02/08/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
8.80

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-38879

CVE-2024-38879

Título es
CVE-2024-38879

Vie, 02/08/2024 – 11:16

Tipo
CWE-20

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-38879

Descripción es
Se ha identificado una vulnerabilidad en Omnivise T3000 Application Server (todas las versiones). El sistema afectado expone el puerto de una aplicación interna en la interfaz de la red pública, lo que permite a un atacante omitir la autenticación y acceder directamente a la aplicación expuesta.

Descripción en
A vulnerability has been identified in Omnivise T3000 Application Server (All versions). The affected system exposes the port of an internal application on the public network interface allowing an attacker to circumvent authentication and directly access the exposed application.

02/08/2024
02/08/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
7.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-38878

CVE-2024-38878

Título es
CVE-2024-38878

Vie, 02/08/2024 – 11:16

Tipo
CWE-22

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-38878

Descripción es
Se ha identificado una vulnerabilidad en Omnivise T3000 Application Server (todas las versiones). Los dispositivos afectados permiten a los usuarios autenticados exportar datos de diagnóstico. El endpoint API correspondiente es susceptible a path traversal y podría permitir que un atacante autenticado descargue archivos arbitrarios del sistema de archivos.

Descripción en
A vulnerability has been identified in Omnivise T3000 Application Server (All versions). Affected devices allow authenticated users to export diagnostics data. The corresponding API endpoint is susceptible to path traversal and could allow an authenticated attacker to download arbitrary files from the file system.

02/08/2024
02/08/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
7.20

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-7204

CVE-2024-7204

Título es
CVE-2024-7204

Vie, 02/08/2024 – 11:16

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-7204

Descripción es
Ai3 QbiBot no filtra adecuadamente la entrada del usuario, lo que permite a atacantes remotos no autenticados insertar código JavaScript en el cuadro de chat. Una vez que el destinatario vea el mensaje, estará sujeto a un ataque de XSS almacenado.

Descripción en
Ai3 QbiBot does not properly filter user input, allowing unauthenticated remote attackers to insert JavaScript code into the chat box. Once the recipient views the message, they will be subject to a Stored XSS attack.

02/08/2024
02/08/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
6.10

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off