CVE-2024-43708

CVE-2024-43708

Título es
CVE-2024-43708

Jue, 23/01/2025 – 11:15

Tipo
CWE-770

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-43708

Descripción es
Una asignación de recursos sin límites ni limitaciones en Kibana puede provocar un bloqueo causado por un payload especialmente manipulado para una serie de entradas en la interfaz de usuario de Kibana. Esto lo pueden llevar a cabo los usuarios con acceso de lectura a cualquier función de Kibana.

Descripción en
An allocation of resources without limits or throttling in Kibana can lead to a crash caused by a specially crafted payload to a number of inputs in Kibana UI. This can be carried out by users with read access to any feature in Kibana.

23/01/2025
23/01/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
6.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Referencias

  • https://discuss.elastic.co/t/kibana-7-17-23-8-15-0-security-updates-esa-2024-32-esa-2024-33/373548

    • Enviar en el boletín
    Off

    CVE-2024-13234

    CVE-2024-13234

    Título es
    CVE-2024-13234

    Jue, 23/01/2025 – 11:15

    Tipo
    CWE-89

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2024-13234

    Descripción es
    El complemento Product Table de WBW para WordPress es vulnerable a la inyección SQL a través del parámetro 'additionalCondition' en todas las versiones hasta la 2.1.2 incluida, debido a un escape insuficiente en el parámetro proporcionado por el usuario y a la falta de preparación suficiente en la consulta SQL existente. Esto permite que atacantes no autenticados agreguen consultas SQL adicionales a consultas ya existentes que se pueden usar para extraer información confidencial de la base de datos.

    Descripción en
    The Product Table by WBW plugin for WordPress is vulnerable to SQL Injection via the 'additionalCondition' parameter in all versions up to, and including, 2.1.2 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.

    23/01/2025
    23/01/2025
    Vector CVSS:3.1
    CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

    Gravedad 3.1 (CVSS 3.1 Base Score)
    7.50

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    HIGH

    Referencias

  • https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3221872%40woo-product-tables&new=3221872%40woo-product-tables

  • https://www.wordfence.com/threat-intel/vulnerabilities/id/67db430e-d796-4ace-b5d1-de492edb8ea8?source=cve

    • Enviar en el boletín
    Off

    CVE-2025-0648

    CVE-2025-0648

    Título es
    CVE-2025-0648

    Jue, 23/01/2025 – 11:15

    Tipo
    CWE-248

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-0648

    Descripción es
    Una falla inesperada del servidor en el controlador de base de datos en M-Files Server anterior a 25.1.14445.5 permite que un atacante altamente privilegiado provoque una denegación de servicio a través de un cambio de configuración.

    Descripción en
    Unexpected server crash in database driver in M-Files Server before 25.1.14445.5 allows a highly privileged attacker to cause denial of service via configuration change.

    23/01/2025
    23/01/2025
    Vector CVSS:4.0
    CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

    Gravedad 4.0
    5.90

    Gravedad 4.0 txt
    MEDIUM

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    Pendiente de análisis

    Referencias

  • CVE-2025-0648


    • Enviar en el boletín
    Off

    CVE-2025-24530

    CVE-2025-24530

    Título es
    CVE-2025-24530

    Jue, 23/01/2025 – 06:15

    Tipo
    CWE-79

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-24530

    Descripción en
    An issue was discovered in phpMyAdmin 5.x before 5.2.2. An XSS vulnerability has been discovered for the check tables feature. A crafted table or database name could be used for XSS.

    23/01/2025
    23/01/2025
    Vector CVSS:3.1
    CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

    Gravedad 3.1 (CVSS 3.1 Base Score)
    6.40

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    MEDIUM

    Referencias

  • https://www.phpmyadmin.net/security/PMASA-2025-1/

    • Enviar en el boletín
    Off

    CVE-2025-24529

    CVE-2025-24529

    Título es
    CVE-2025-24529

    Jue, 23/01/2025 – 06:15

    Tipo
    CWE-79

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2025-24529

    Descripción en
    An issue was discovered in phpMyAdmin 5.x before 5.2.2. An XSS vulnerability has been discovered for the Insert tab.

    23/01/2025
    23/01/2025
    Vector CVSS:3.1
    CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

    Gravedad 3.1 (CVSS 3.1 Base Score)
    6.40

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    MEDIUM

    Referencias

  • https://www.phpmyadmin.net/security/PMASA-2025-2/

    • Enviar en el boletín
    Off

    CVE-2024-43710

    CVE-2024-43710

    Título es
    CVE-2024-43710

    Jue, 23/01/2025 – 06:15

    Tipo
    CWE-918

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2024-43710

    Descripción en
    A server side request forgery vulnerability was identified in Kibana where the /api/fleet/health_check API could be used to send requests to internal endpoints. Due to the nature of the underlying request, only endpoints available over https that return JSON could be accessed. This can be carried out by users with read access to Fleet.

    23/01/2025
    23/01/2025
    Vector CVSS:3.1
    CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

    Gravedad 3.1 (CVSS 3.1 Base Score)
    4.30

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    MEDIUM

    Referencias

  • https://discuss.elastic.co/t/kibana-8-15-0-security-update-esa-2024-29-esa-2024-30/373521

    • Enviar en el boletín
    Off

    CVE-2024-43707

    CVE-2024-43707

    Título es
    CVE-2024-43707

    Jue, 23/01/2025 – 06:15

    Tipo
    CWE-200

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2024-43707

    Descripción en
    An issue was identified in Kibana where a user without access to Fleet can view Elastic Agent policies that could contain sensitive information. The nature of the sensitive information depends on the integrations enabled for the Elastic Agent and their respective versions.

    23/01/2025
    23/01/2025
    Vector CVSS:3.1
    CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N

    Gravedad 3.1 (CVSS 3.1 Base Score)
    7.70

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    HIGH

    Referencias

  • https://discuss.elastic.co/t/kibana-8-15-0-security-update-esa-2024-29-esa-2024-30/373521

    • Enviar en el boletín
    Off

    CVE-2024-52972

    CVE-2024-52972

    Título es
    CVE-2024-52972

    Jue, 23/01/2025 – 07:15

    Tipo
    CWE-770

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2024-52972

    Descripción en
    An allocation of resources without limits or throttling in Kibana can lead to a crash caused by a specially crafted request to /api/metrics/snapshot. This can be carried out by users with read access to the Observability Metrics or Logs features in Kibana.

    23/01/2025
    23/01/2025
    Vector CVSS:3.1
    CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

    Gravedad 3.1 (CVSS 3.1 Base Score)
    6.50

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    MEDIUM

    Referencias

  • https://discuss.elastic.co/t/kibana-7-17-23-8-15-0-security-updates-esa-2024-32-esa-2024-33/373548

    • Enviar en el boletín
    Off

    CVE-2024-52975

    CVE-2024-52975

    Título es
    CVE-2024-52975

    Jue, 23/01/2025 – 08:15

    Tipo
    CWE-200

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2024-52975

    Descripción en
    An issue was identified in Fleet Server where Fleet policies that could contain sensitive information were logged on INFO and ERROR log levels. The nature of the sensitive information largely depends on the integrations enabled.

    23/01/2025
    23/01/2025
    Vector CVSS:3.1
    CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

    Gravedad 3.1 (CVSS 3.1 Base Score)
    9.00

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    CRITICAL

    Referencias

  • https://discuss.elastic.co/t/fleet-server-8-15-0-security-update-esa-2024-31/373522

    • Enviar en el boletín
    Off

    CVE-2024-42183

    CVE-2024-42183

    Título es
    CVE-2024-42183

    Jue, 23/01/2025 – 02:15

    Tipo
    CWE-494

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2024-42183

    Descripción en
    BigFix Patch Download Plug-ins are affected by an arbitrary file download vulnerability. It could allow a malicious operator to download files from arbitrary URLs without any proper validation or allowlist controls.

    23/01/2025
    23/01/2025
    Vector CVSS:3.1
    CVSS:3.1/AV:L/AC:H/PR:L/UI:R/S:C/C:L/I:N/A:N

    Gravedad 3.1 (CVSS 3.1 Base Score)
    2.50

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    LOW

    Referencias

  • https://support.hcl-software.com/csm?id=kb_article&sysparm_article=KB0118565

    • Enviar en el boletín
    Off