CVE-2024-47779

CVE-2024-47779

Título es
CVE-2024-47779

Mar, 15/10/2024 – 16:15

Tipo
CWE-200

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-47779

Descripción en
Element is a Matrix web client built using the Matrix React SDK .Element Web versions 1.11.70 through 1.11.80 contain a vulnerability which can, under specially crafted conditions, lead to the access token becoming exposed to third parties. At least one vector has been identified internally, involving malicious widgets, but other vectors may exist. Note that despite superficial similarity to CVE-2024-47771, this is an entirely separate vulnerability, caused by a separate piece of code included only in Element Web. Element Web and Element Desktop share most but not all, of their code and this vulnerability exists in the part of the code base which is not shared between the projects. Users are strongly advised to upgrade to version 1.11.81 to remediate the issue. As a workaround, avoid granting permissions to untrusted widgets.

15/10/2024
15/10/2024
Vector CVSS:4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:L/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Gravedad 4.0
7.00

Gravedad 4.0 txt
HIGH

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-48913

CVE-2024-48913

Título es
CVE-2024-48913

Mar, 15/10/2024 – 16:15

Tipo
CWE-352

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-48913

Descripción en
Hono, a web framework, prior to version 4.6.5 is vulnerable to bypass of cross-site request forgery (CSRF) middleware by a request without Content-Type header. Although the CSRF middleware verifies the Content-Type Header, Hono always considers a request without a Content-Type header to be safe. This can allow an attacker to bypass CSRF protection implemented with Hono CSRF middleware. Version 4.6.5 fixes this issue.

15/10/2024
15/10/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:H/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
5.90

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-48623

CVE-2024-48623

Título es
CVE-2024-48623

Mar, 15/10/2024 – 16:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-48623

Descripción en
In queue\index.php of DomainMOD below v4.12.0, the list_id and domain_id parameters in the GET request can be exploited to cause a reflected Cross Site Scripting (XSS).

15/10/2024
15/10/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-48622

CVE-2024-48622

Título es
CVE-2024-48622

Mar, 15/10/2024 – 16:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-48622

Descripción en
A cross-site scripting (XSS) issue in DomainMOD below v4.12.0 allows remote attackers to inject JavaScript code via admin/domain-fields/edit.php and the cdfid parameter.

15/10/2024
15/10/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-9676

CVE-2024-9676

Título es
CVE-2024-9676

Mar, 15/10/2024 – 16:15

Tipo
CWE-22

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-9676

Descripción en
A vulnerability was found in Podman, Buildah, and CRI-O. A symlink traversal vulnerability in the containers/storage library can cause Podman, Buildah, and CRI-O to hang and result in a denial of service via OOM kill when running a malicious image using an automatically assigned user namespace (`–userns=auto` in Podman and Buildah). The containers/storage library will read /etc/passwd inside the container, but does not properly validate if that file is a symlink, which can be used to cause the library to read an arbitrary file on the host.

15/10/2024
15/10/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
6.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-9506

CVE-2024-9506

Título es
CVE-2024-9506

Mar, 15/10/2024 – 16:15

Tipo
CWE-1333

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-9506

Descripción en
Improper regular expression in Vue's parseHTML function leads to a potential regular expression denial of service vulnerability.

15/10/2024
15/10/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
3.70

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
LOW

Enviar en el boletín
Off

CVE-2024-48914

CVE-2024-48914

Título es
CVE-2024-48914

Mar, 15/10/2024 – 16:15

Tipo
CWE-20

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-48914

Descripción en
Vendure is an open-source headless commerce platform. Prior to versions 3.0.5 and 2.3.3, a vulnerability in Vendure's asset server plugin allows an attacker to craft a request which is able to traverse the server file system and retrieve the contents of arbitrary files, including sensitive data such as configuration files, environment variables, and other critical data stored on the server. In the same code path is an additional vector for crashing the server via a malformed URI. Patches are available in versions 3.0.5 and 2.3.3. Some workarounds are also available. One may use object storage rather than the local file system, e.g. MinIO or S3, or define middleware which detects and blocks requests with urls containing `/../`.

15/10/2024
15/10/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
9.10

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
CRITICAL

Enviar en el boletín
Off

Android activa nuevas funciones contra el robo de celulares en México

Android ha anunciado el lanzamiento en México de una serie de funciones basadas en inteligencia artificial (IA) que permiten detectar posibles robos de teléfonos celulares y bloquear el acceso a los datos de manera instantánea. Las nuevas herramientas están disponibles para todos los smartphones que cuentan con la décima versión del sistema operativo de Google o superior.

El hurto de dispositivos móviles es uno de los delitos más comunes en el país. El Instituto Nacional de Estadística y Geografía (INEGI) calcula que de los 5.3 millones de asaltos registrados durante 2022, los teléfonos celulares fueron el artículo robado en el 57.2% de los casos.


Mano que sostiene un teléfono móvil con un mensaje de bienvenida en la pantalla, lista para configurar el dispositivo.
¿Cómo configurar tu Android para sacarle mayor provecho?

Con estos prácticos consejos podrás darle la bienvenida a tu nuevo y reluciente dispositivo móvil con tecnología de Google.


“Nuestros teléfonos son cada vez más importantes para almacenar registros confidenciales, como información de pago y datos personales, por lo que perder uno puede ser una experiencia inquietante”, asegura el equipo de Google. Afirma que mediante la integración de tecnología avanzada y la autenticación biométrica “haremos que los dispositivos Android sean objetivos menos apetecibles para los ladrones”. La big tech ha puesto a disposición tres funciones para cumplir su promesa:

  • Bloqueo por detección de robo: utiliza la IA de Google para detectar si alguien arrebata el teléfono de la mano del usuario e intenta huir corriendo, en bicicleta o en coche. Si el sistema identifica un movimiento comúnmente asociado con un robo, la pantalla del teléfono se bloquea para evitar que los delincuentes accedan a los datos guardados en el equipo.
  • Bloqueo remoto: la característica permite inhabilitar un celular a distancia usando un número de teléfono verificado en el dispositivo. Ofrece otros recursos para recuperar los datos de las cuentas y enviar un comando de restablecimiento completo de fábrica para borrar por completo la información contenida en el smartphone.
  • Bloqueo de dispositivo sin conexión: la compañía explica que “si un ladrón intenta desconectar un teléfono durante períodos prolongados, [esta nueva herramienta] bloqueará automáticamente la pantalla para proteger los datos sensibles”. Subraya que Android 15 también podrá reconocer otras señales de que los dispositivos pueden estar en las manos equivocadas. Incluye una configuración que restringe la pantalla de un celular cuando se realizan excesivos intentos fallidos de autenticación.

Olivia Maloney, líder de Alianzas Estratégicas para Android en México, asegura que «con más de 3,000 millones de usuarios confiando en Android a nivel mundial, sabemos que la seguridad de sus datos es primordial. En México, entendemos que nuestro ecosistema forma parte de la vida diaria de muchas personas [lo que hace] que sus dispositivos sean atractivos para los ladrones. Estamos orgullosos de lanzar estas funciones antirrobo que permitirán a los usuarios personalizar la protección de sus datos”.

CVE-2024-9976

CVE-2024-9976

Título es
CVE-2024-9976

Mar, 15/10/2024 – 11:15

Tipo
CWE-89

Gravedad v2.0
6.50

Gravedad 2.0 Txt
MEDIUM

Título en

CVE-2024-9976

Descripción es
Se ha encontrado una vulnerabilidad clasificada como crítica en code-projects Pharmacy Management System 1.0. Afecta a una parte desconocida del archivo /php/manage_customer.php?action=search. La manipulación del texto del argumento provoca una inyección SQL. Es posible iniciar el ataque de forma remota. El exploit ha sido divulgado al público y puede ser utilizado.

Descripción en
A vulnerability classified as critical has been found in code-projects Pharmacy Management System 1.0. This affects an unknown part of the file /php/manage_customer.php?action=search. The manipulation of the argument text leads to sql injection. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used.

15/10/2024
15/10/2024
Vector CVSS:4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Vector CVSS:2.0
AV:N/AC:L/Au:S/C:P/I:P/A:P

Gravedad 4.0
5.30

Gravedad 4.0 txt
MEDIUM

Gravedad 3.1 (CVSS 3.1 Base Score)
6.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-9975

CVE-2024-9975

Título es
CVE-2024-9975

Mar, 15/10/2024 – 11:15

Tipo
CWE-434

Gravedad v2.0
6.50

Gravedad 2.0 Txt
MEDIUM

Título en

CVE-2024-9975

Descripción es
Se ha encontrado una vulnerabilidad en SourceCodester Drag and Drop Image Upload 1.0. Se ha calificado como crítica. Este problema afecta a una funcionalidad desconocida del archivo /upload.php. La manipulación permite la carga sin restricciones. El ataque puede ejecutarse de forma remota. El exploit se ha hecho público y puede utilizarse.

Descripción en
A vulnerability was found in SourceCodester Drag and Drop Image Upload 1.0. It has been rated as critical. Affected by this issue is some unknown functionality of the file /upload.php. The manipulation leads to unrestricted upload. The attack may be launched remotely. The exploit has been disclosed to the public and may be used.

15/10/2024
15/10/2024
Vector CVSS:4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Vector CVSS:2.0
AV:N/AC:L/Au:S/C:P/I:P/A:P

Gravedad 4.0
5.30

Gravedad 4.0 txt
MEDIUM

Gravedad 3.1 (CVSS 3.1 Base Score)
6.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off