CVE-2024-40318

CVE-2024-40318

Título es
CVE-2024-40318

Jue, 25/07/2024 – 19:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-40318

Descripción en
An arbitrary file upload vulnerability in Webkul Qloapps v1.6.0.0 allows attackers to execute arbitrary code via uploading a crafted file.

25/07/2024
25/07/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-40872

CVE-2024-40872

Título es
CVE-2024-40872

Jue, 25/07/2024 – 17:15

Tipo
CWE-822

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-40872

Descripción en
There is an elevation of privilege vulnerability in server
and client components of Absolute Secure Access prior to version 13.07.
Attackers with local access and valid desktop user credentials can elevate
their privilege to system level by passing invalid address data to the vulnerable
component. This could be used to
manipulate process tokens to elevate the privilege of a normal process to
System. The scope is changed, the impact to system confidentiality and
integrity is high, the impact to the availability of the effected component is
none.

25/07/2024
25/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
8.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-36542

CVE-2024-36542

Título es
CVE-2024-36542

Jue, 25/07/2024 – 17:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-36542

Descripción en
Insecure permissions in kuma v2.7.0 allows attackers to access sensitive data and escalate privileges by obtaining the service account's token.

25/07/2024
25/07/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-7007

CVE-2024-7007

Título es
CVE-2024-7007

Jue, 25/07/2024 – 17:15

Tipo
CWE-288

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-7007

Descripción en
Positron Broadcast Signal Processor TRA7005 v1.20 is vulnerable to an authentication bypass exploit that could allow an attacker to have unauthorized access to protected areas of the application.

25/07/2024
25/07/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-41801

CVE-2024-41801

Título es
CVE-2024-41801

Jue, 25/07/2024 – 17:15

Tipo
CWE-601

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-41801

Descripción en
OpenProject is open source project management software. Prior to version 14.3.0, using a forged HOST header in the default configuration of packaged installations and using the "Login required" setting, an attacker could redirect to a remote host to initiate a phishing attack against an OpenProject user's account. This vulnerability affects default packaged installation of OpenProject without any additional configuration or modules on Apache (such as mod_security, manually setting a host name, having a fallthrough VirtualHost). It might also affect other installations that did not take care to fix the HOST/X-Forwarded-Host headers. Version 14.3.0 includes stronger protections for the hostname from within the application using the HostAuthorization middleware of Rails to reject any requests with a host name that does not match the configured one. Also, all generated links by the application are now ensured to use the built-in hostname. Users who aren't able to upgrade immediately may use mod_security for Apache2 or manually fix the Host and X-Forwarded-Host headers in their proxying application before reaching the application server of OpenProject. Alternatively, they can manually apply the patch to opt-in to host header protections in previous versions of OpenProject.

25/07/2024
25/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
4.70

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-36111

CVE-2024-36111

Título es
CVE-2024-36111

Jue, 25/07/2024 – 14:15

Tipo
CWE-1259

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-36111

Descripción en
KubePi is a K8s panel. Starting in version 1.6.3 and prior to version 1.8.0, there is a defect in the KubePi JWT token verification. The JWT key in the default configuration file is empty. Although a random 32-bit string will be generated to overwrite the key in the configuration file when the key is detected to be empty in the configuration file reading logic, the key is empty during actual verification. Using an empty key to generate a JWT token can bypass the login verification and directly take over the back end. Version 1.8.0 contains a patch for this issue.

25/07/2024
25/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
6.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-41806

CVE-2024-41806

Título es
CVE-2024-41806

Jue, 25/07/2024 – 15:15

Tipo
CWE-284

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-41806

Descripción en
The Open edX Platform is a learning management platform. Instructors can upload csv files containing learner information to create cohorts in the instructor dashboard. These files are uploaded using the django default storage. With certain storage backends, uploads may become publicly available when the uploader uses versions master, palm, olive, nutmeg, maple, lilac, koa, or juniper. The patch in commit cb729a3ced0404736dfa0ae768526c82b608657b ensures that cohorts data uploaded to AWS S3 buckets is written with a private ACL. Beyond patching, deployers should also ensure that existing cohorts uploads have a private ACL, or that other precautions are taken to avoid public access.

25/07/2024
25/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
5.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-7101

CVE-2024-7101

Título es
CVE-2024-7101

Jue, 25/07/2024 – 16:15

Tipo
CWE-89

Gravedad v2.0
7.50

Gravedad 2.0 Txt
HIGH

Título en

CVE-2024-7101

Descripción en
A vulnerability, which was classified as critical, has been found in ForIP Tecnologia Administração PABX 1.x. This issue affects some unknown processing of the file /login of the component Authentication Form. The manipulation of the argument usuario leads to sql injection. The attack may be initiated remotely. The exploit has been disclosed to the public and may be used. The associated identifier of this vulnerability is VDB-272423. NOTE: The vendor was contacted early about this disclosure but did not respond in any way.

25/07/2024
25/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Vector CVSS:2.0
AV:N/AC:L/Au:N/C:P/I:P/A:P

Gravedad 3.1 (CVSS 3.1 Base Score)
7.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

Inteligencia artificial, la nueva policía de los Juegos Olímpicos de París 2024

“Lo que hacemos es transformar las cámaras de CCTV en una poderosa herramienta de vigilancia”, comenta Matthias Houllier, cofundador de Wintics, una de las cuatro compañías francesas que obtuvieron contratos para emplear sus algoritmos en los Juegos Olímpicos. “Con miles de cámaras, es imposible que los agentes de policía [reaccionen ante cada cámara]”.

Wintics consiguió su primer contrato público en París en 2020, recopilando datos sobre el número de ciclistas en distintas partes de la ciudad para ayudar a los funcionarios de transporte de la capital francesa a planificar la construcción de más carriles para bicicletas. Conectando sus algoritmos a 200 cámaras de tráfico existentes, el sistema de Wintics, que aún está en funcionamiento, es capaz de identificar primero y contar después a los ciclistas en medio de calles muy transitadas. Cuando Francia anunció que buscaba empresas que crearan algoritmos para ayudar a mejorar la seguridad en los Juegos Olímpicos de este verano, Houllier consideró que se trataba de una evolución natural. “La tecnología es la misma”, afirma. “Analiza siluetas anónimas en espacios públicos”.

Tras entrenar sus algoritmos con datos sintéticos y de código abierto, los sistemas de Wintics se han adaptado para, por ejemplo, contar el número de personas que hay en una multitud o la cantidad de gente que cae al suelo, alertando a los operadores cuando la cifra supera un determinado umbral.

“Eso es todo. No hay una decisión automática”, explica Houllier. Su equipo capacitó a funcionarios del Ministerio del Interior para utilizar el software de la empresa y ellos deciden cómo quieren aplicarlo, resalta. “La idea es llamar la atención del operador, para que compruebe y decida lo que debe hacerse”.

Houllier sostiene que sus algoritmos son una alternativa respetuosa con la privacidad a los controvertidos sistemas de reconocimiento facial utilizados en anteriores eventos deportivos internacionales, como el Mundial de Qatar 2022. “Intentamos encontrar otro camino”, destaca. Para él, dejar que los algoritmos revisen las grabaciones de los CCTV es una forma de garantizar la seguridad del acontecimiento sin poner en peligro las libertades personales. “No estamos examinando ningún dato personal. Solo observamos las siluetas, nada de rostros, ni reconocimiento de matrículas, ni análisis de comportamiento”.


Campo de futbol visto desde arriba
Juegos Olímpicos 2024: Dron canadiense espía el entrenamiento de la selección femenina de fútbol de Nueva Zelanda

Es un pequeño escándalo tecnológico a pocos días del estreno de los Juegos Olímpicos de París. Detienen a un miembro del personal canadiense.


Extrema vigilancia más allá de los Juegos Olímpicos de París 2024

Sin embargo, los activistas por la privacidad rechazan la idea de que esta tecnología proteja las libertades personales. En el distrito 20, Noémie Levain acaba de recibir una entrega de 6,000 carteles que el grupo tiene previsto distribuir, destinados a advertir a sus conciudadanos parisinos sobre la “vigilancia algorítmica” que se está apoderando de su ciudad e instándoles a rechazar la “captura autoritaria de los espacios públicos”. Rechaza la idea de que los algoritmos no procesen información personal. “Cuando dispones de imágenes de la gente, tienes que analizar todos los datos de la imagen, que es información personal, biométrica”, subraya. “Es exactamente la misma tecnología que el reconocimiento facial. Es precisamente el mismo principio”.

A Levain le preocupa que los sistemas de vigilancia por IA permanezcan en Francia mucho después de que se marchen los atletas. Para ella, estos algoritmos permiten a la policía y a los servicios de seguridad imponer la vigilancia en zonas más amplias de la ciudad. “Esta tecnología replicará los estereotipos de la policía”, afirma. “Sabemos que discriminan. Que siempre van a la misma zona. Siempre persiguen y acosan a las mismas personas. Y esta tecnología, como toda tecnología de vigilancia, les ayudará a hacerlo”.

Mientras los automovilistas se enfurecen en el centro de la ciudad ante los controles de seguridad que bloquean las calles, Levain es uno de los muchos parisinos que planean marcharse al sur de Francia mientras duran los Juegos Olímpicos. Sin embargo, le preocupa la ciudad que la recibirá a su regreso. “Las Olimpiadas son una excusa”, resalta. “Ellos, el gobierno, las empresas, la policía, ya están pensando en [lo que viene] después”.

Artículo publicado originalmente en WIRED. Adaptado por Andrei Osornio.


CVE-2024-6589

CVE-2024-6589

Título es
CVE-2024-6589

Jue, 25/07/2024 – 11:15

Tipo
CWE-98

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-6589

Descripción en
The LearnPress – WordPress LMS Plugin plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 4.2.6.8.2 via the 'render_content_block_template' function. This makes it possible for authenticated attackers, with Contributor-level access and above, to include and execute arbitrary files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where images and other “safe” file types can be uploaded and included.

25/07/2024
25/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
8.80

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off