CVE-2024-52292

CVE-2024-52292

Título es
CVE-2024-52292

Mié, 13/11/2024 – 17:15

Tipo
CWE-22

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-52292

Descripción en
Craft is a content management system (CMS). The dataUrl function can be exploited if an attacker has write permissions on system notification templates. This function accepts an absolute file path, reads the file's content, and converts it into a Base64-encoded string. By embedding this function within a system notification template, the attacker can exfiltrate the Base64-encoded file content through a triggered system email notification. Once the email is received, the Base64 payload can be decoded, allowing the attacker to read arbitrary files on the server. This is fixed in 5.4.9 and 4.12.8.

13/11/2024
13/11/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
7.70

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-52291

CVE-2024-52291

Título es
CVE-2024-52291

Mié, 13/11/2024 – 17:15

Tipo
CWE-22

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-52291

Descripción en
Craft is a content management system (CMS). A vulnerability in CraftCMS allows an attacker to bypass local file system validation by utilizing a double file:// scheme (e.g., file://file:////). This enables the attacker to specify sensitive folders as the file system, leading to potential file overwriting through malicious uploads, unauthorized access to sensitive files, and, under certain conditions, remote code execution (RCE) via Server-Side Template Injection (SSTI) payloads. Note that this will only work if you have an authenticated administrator account with allowAdminChanges enabled. This is fixed in 5.4.6 and 4.12.5.

13/11/2024
13/11/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
8.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-52298

CVE-2024-52298

Título es
CVE-2024-52298

Mié, 13/11/2024 – 16:15

Tipo
CWE-615

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-52298

Descripción en
macro-pdfviewer is a PDF Viewer Macro for XWiki using Mozilla pdf.js. The PDF Viewer macro allows an attacker to view any attachment using the "Delegate my view right" feature as long as the attacker can view a page whose last author has access to the attachment. For this, the attacker only needs to provide the reference to a PDF file to the macro. To obtain the reference of the desired attachment, the attacker can access the Page Index, Attachments tab. Even if the UI shows N/A, the user can inspect the page and check the HTTP request that fetches the live data entries. The attachment URL is available in the returned JSON for all attachments, including protected ones and allows getting the necessary values. This vulnerability is fixed in version 2.5.6.

13/11/2024
13/11/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
7.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

ICE comenzó a aumentar su arsenal de vigilancia inmediatamente después de que Trump ganara

El 6 de noviembre, pocas horas después de que los medios de comunicación declararan que Donald Trump había sido elegido próximo presidente de Estados Unidos, el Servicio de Inmigración y Control de Aduanas (ICE, por sus siglas en inglés) publicó un anuncio en el que pedía a las empresas que presentaran planes sobre cómo ampliarían el sistema de monitores de tobillo, rastreadores GPS, tecnología de registro biométrico y agentes humanos, empleados para supervisar a los «no ciudadanos» que esperan audiencias en los tribunales de inmigración o la deportación; una lista que podría crecer de menos de 200,000 personas a más de 5 millones.


Elon Musk y Donald Trump
Trump suma a Elon Musk a su gabinete para dirigir el nuevo departamento de eficiencia gubernamental

«Estos dos maravillosos estadounidenses allanarán el camino para que mi administración desmantele la burocracia gubernamental, reduzca drásticamente el exceso de regulaciones, recorte los gastos superfluos y reestructure las agencias federales», enunció Donald Trump en un comunicado.


Competencia por obtener licitaciones

A lo largo de su campaña presidencial, Trump prometió llevar a cabo «la mayor operación de deportación en la historia de EE UU». Pero más allá de prometer redadas en los centros de trabajo y «campos» de detención gigantescos, el presidente electo no ha dado a conocer planes específicos sobre cómo funcionarían sus deportaciones masivas. Sin embargo, es probable que muchos aspectos granulares de un programa masivo de monitoreo, detención y deportación sean planificados por empresas privadas que contrate el ICE.

El reciente anuncio pide a las empresas interesadas que envíen detalles concretos sobre cómo almacenarían los datos de localización y la información personal, dónde estarían ubicadas sus oficinas, cómo dotarían de personal a los agentes y de qué tecnología disponen para la vigilancia a distancia, entre otros detalles. En la actualidad, el Servicio de Inmigración utiliza una combinación de monitores de tobillo, relojes inteligentes con GPS y aplicaciones para smartphones para vigilar a distancia a las personas. También utiliza aplicaciones con reconocimiento facial para los registros «biométricos». El boletín dicta que las empresas deben tener instalaciones con «salas de admisión grandes» para las personas que se inscriban en la vigilancia del ICE, igualmente deben poseer la «capacidad de realizar admisiones masivas según lo requieran acontecimientos imprevisibles».

Los contratistas estarían facilitando el Programa de Comparecencia Bajo Supervisión Intensiva (ISAP, por sus siglas en inglés) del ICE, que es una forma de vigilar a las personas indocumentadas o no naturalizadas sin internarlas en un centro de detención. El ISAP está pensado para personas que llevan algún tiempo en EE UU y ya tienen casa, departamento u otro tipo de residencia. Este programa ha florecido bajo la presidencia de Biden, que ha duplicado con creces el número de participantes desde diciembre de 2020, situando el total actual en casi 200,000 personas. Según el aviso publicado en noviembre, el ISAP ofrece un «considerable ahorro en costos» en comparación con la detención. Así que incluso si Trump sigue adelante con su promesa de detención masiva, es probable que el programa instaurado por Biden sea un aspecto significativo en cual sea su estrategia de deportación masiva.


"Silhouettes of People in front of an American electric Flag, Winter Olympics, Salt Lake City, Utah" - stock photo
Nota de la editora: qué sigue para WIRED

De nuestra jefa editorial: el resultado de las elecciones estadounidenses afectará el futuro de todos nosotros. Así es como lo cubriremos.


Una cuestión ajena al presidente electo

El ICE fue aún más claro en un aviso publicado el año pasado, en el que detallaba que su política de inmigración sería aún más severa independientemente de quién ganara las elecciones de 2025. En la notificación, se aclara que el programa matriz del ISAP, Alternativas a la Detención (ATD, por sus siglas en inglés), pasaría a denominarse Gestión de Puesta en Libertad y Presentación de Informes. Este nuevo programa implicaría el seguimiento de todas y cada una de las personas no detenidas pero que están a la espera de una visita judicial o de deportación, en lugar de «solo algunas». En aquel momento, el ICE contabilizó 5.7 millones de personas que reunían los requisitos para ser vigiladas en el marco del nuevo programa, lo que significa que, de aplicarse, el monitoreo a distancia aumentaría a un 3,000%

Según una base de datos de contratos gubernamentales, B.I. Incorporated ha sido el contratista del ISAP del ICE al menos desde 2005. Se trata de una filial de GEO Group, una de las mayores empresas privadas de prisiones de Estados Unidos. Aunque el mercado de valores en su conjunto subió un día después de la victoria de Trump, según el sitio de noticias de inversión Sherwood News, propiedad de la empresa de servicios financieros Robinhood, el aumento de las acciones de GEO Group la convirtió en «la mayor ganadora individual en el mercado de valores de EE UU, entre las empresas de cualquier tamaño». Su contrato de cinco años para gestionar ISAP, por valor de 2,200 millones de dólares, expira el año que viene.

El portal de noticias HuffPost informa que, en una llamada telefónica posterior a las elecciones, el CEO de GEO Group, Brian Evans, corroboró que la empresa podría aumentar su capacidad de ISAP en «varios cientos de miles de participantes, y hasta varios millones si fuera necesario». El director de operaciones de la compañía, Wayne Calabrese, añadió que ya notificaron al ICE de su disposición para cumplir con el trabajo. «Esperamos que la administración entrante de Trump adopte un enfoque mucho más expansivo para monitorear a los varios millones de individuos que actualmente están en la lista de inmigrantes no detenidos», comentó Calabrese en la llamada.

HuffPost también afirma que el competidor de GEO Group CoreCivic; anteriormente llamado Corrections Corporation of America, tuvo su propia llamada negocios después de las elecciones, durante la cual el CEO Damon Hininger afianzó que el momento de la notificación de ICE del 6 de noviembre «probablemente no fue una coincidencia». «Nos lo tomamos como una señal muy alentadora», concluye Hininger.

Artículo originalmente publicado en WIRED. Adaptado por Alondra Flores.

CVE-2024-52295

CVE-2024-52295

Título es
CVE-2024-52295

Mié, 13/11/2024 – 16:15

Tipo
CWE-798

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-52295

Descripción en
DataEase is an open source data visualization analysis tool. Prior to 2.10.2, DataEase allows attackers to forge jwt and take over services. The JWT secret is hardcoded in the code, and the UID and OID are hardcoded. The vulnerability has been fixed in v2.10.2.

13/11/2024
13/11/2024
Vector CVSS:4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Gravedad 4.0
9.30

Gravedad 4.0 txt
CRITICAL

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-52293

CVE-2024-52293

Título es
CVE-2024-52293

Mié, 13/11/2024 – 16:15

Tipo
CWE-22

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-52293

Descripción en
Craft is a content management system (CMS). Prior to 4.12.2 and 5.4.3, Craft is missing normalizePath in the function FileHelper::absolutePath could lead to Remote Code Execution on the server via twig SSTI. This is a sequel to CVE-2023-40035. This vulnerability is fixed in 4.12.2 and 5.4.3.

13/11/2024
13/11/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
7.20

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-50972

CVE-2024-50972

Título es
CVE-2024-50972

Mié, 13/11/2024 – 16:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-50972

Descripción en
A SQL injection vulnerability in printtool.php of Itsourcecode Construction Management System 1.0 allows remote attackers to execute arbitrary SQL commands via the borrow_id parameter.

13/11/2024
13/11/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-50971

CVE-2024-50971

Título es
CVE-2024-50971

Mié, 13/11/2024 – 16:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-50971

Descripción en
A SQL injection vulnerability in print.php of Itsourcecode Construction Management System 1.0 allows remote attackers to execute arbitrary SQL commands via the map_id parameter.

13/11/2024
13/11/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-7295

CVE-2024-7295

Título es
CVE-2024-7295

Mié, 13/11/2024 – 16:15

Tipo
CWE-798

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-7295

Descripción en
In Progress® Telerik® Report Server versions prior to 2024 Q4 (10.3.24.1112), the encryption of local asset data used an older algorithm which may allow a sophisticated actor to decrypt this information.

13/11/2024
13/11/2024
Vector CVSS:3.1
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
7.10

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-52306

CVE-2024-52306

Título es
CVE-2024-52306

Mié, 13/11/2024 – 16:15

Tipo
CWE-502

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-52306

Descripción en
FileManager provides a Backpack admin interface for files and folder. Prior to 3.0.9, deserialization of untrusted data from the mimes parameter could lead to remote code execution. This vulnerability is fixed in 3.0.9.

13/11/2024
13/11/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:C/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
7.60

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off