Claudia Bartolini

يُعتبر Eclipse GlassFish الإصدار 7.0.15 عرضة لهجمات البرمجة النصية عبر المواقع (Cross-site Scripting) المنعكسة في وحدة التحكم الإدارية.

Eclipse GlassFish الإصدار 7.0.15 معرض لهجمات البرمجة النصية عبر المواقع (Cross-site scripting) المخزنة في وحدة التحكم الإدارية.

يُعتبر Eclipse GlassFish الإصدار 7.0.15 عرضة لهجمات «التنفيذ البرمجي عبر المواقع المخزنة» (XSS). ويمكن تنفيذ هذه الهجمات عن طريق تعديل ملف التكوين في نظام التشغيل الأساسي.

يُعتبر Eclipse GlassFish الإصدار 7.0.15 عرضة لهجمات البرمجة النصية عبر المواقع (Cross-site scripting) المخزنة في وحدة التحكم الإدارية.

يُعتبر Eclipse GlassFish عرضة لهجمات القوة الغاشمة عند تسجيل الدخول بسبب عدم وجود قيود على عدد محاولات تسجيل الدخول الفاشلة.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات Puppet Enterprise من 2018.1.8 إلى 2023.8.3 إصدار Puppet Enterprise 2025.3 الوصف: يمكن للمستخدم الذي يمتلك أذونات محددة لتحرير مجموعة العقد و`معلمة فئة` مصممة خصيصًا لتنفيذ أوامر بصفته المستخدم الجذر (root) على المضيف الرئيسي. التوصيات: بالنسبة لإصدارات Puppet Enterprise من 2018.1.8 إلى 2023.8.3، قم بالتحديث إلى الإصدار 2023.8.4. بالنسبة لإصدار Puppet Enterprise 2025.3، قم بالتحديث إلى الإصدار 2025.4.0.

تؤثر هذه المشكلة على Payara Server، حيث تسمح بإدراج كود عن بُعد بسبب عدم معالجة المدخلات بشكل صحيح أثناء إنشاء صفحات الويب، وهو ما يُعرف أيضًا باسم «البرمجة النصية عبر المواقع» (cross-site scripting).

تم اكتشاف ثغرة في تكامل Wildfly Elytron، حيث لا يطبق المكون تدابير كافية لمنع المحاولات المتعددة الفاشلة للمصادقة خلال فترة زمنية قصيرة. وهذا يجعله أكثر عرضة لهجمات القوة الغاشمة عبر واجهة سطر الأوامر (CLI).

تم اكتشاف ثغرة أمنية في موفر التحكم في الوصول القائم على الأدوار (RBAC) لخادم WildFly. عندما يتم حماية التفويض للتحكم في عمليات الإدارة باستخدام موفر التحكم في الوصول القائم على الأدوار، يمكن لمستخدم لا يمتلك الامتيازات اللازمة تعليق الخادم أو استئنافه. يجب أن يتمتع المستخدم الذي يشغل دور «المراقب» أو «المراجع» بأذونات وصول للقراءة فقط، ولا ينبغي أن يكون قادرًا على تعليق الخادم. تنجم هذه الثغرة الأمنية عن عدم قيام معالجات «التعليق» و«الاستئناف» بإجراء عمليات التحقق من التفويض للتأكد مما إذا كان المستخدم الحالي يمتلك الأذونات اللازمة للمضي قدمًا في الإجراء.

تم اكتشاف ثغرة في وحدة التحكم HAL (HAL Console) في مكون Wildfly، حيث لا تقوم بتحييد المدخلات التي يمكن للمستخدم التحكم فيها أو تقوم بتحييدها بشكل غير صحيح قبل عرضها في المخرجات المستخدمة كصفحة ويب يتم تقديمها للمستخدمين الآخرين. يجب أن يتم مصادقة المهاجم كمستخدم ينتمي إلى مجموعات الإدارة «SuperUser» أو «Admin» أو «Maintainer». قد تؤدي هذه المشكلة إلى ثغرة أمنية في البرمجة النصية عبر المواقع (XSS) في وحدة التحكم الإدارية.

Name of the Vulnerable Software and Affected Versions: Payara Server versions 4.1.2.191.1 through 4.1.2.191.50 Payara Server versions 5.20.0 through 5.67.0 Payara Server versions 6.0.0 through 6.18.0 Payara Server versions 6.2022.1 through 6.2024.9 Description: The issue affects the Payara Server, specifically the Admin Console modules, due to an Improper Neutralization of Input During Web Page Generation, also known as Cross-site Scripting (XSS). This allows for Remote Code Inclusion. Recommendations: For Payara Server versions 4.1.2.191.1 through 4.1.2.191.50, update to version 4.1.2.191.51 or later. For Payara Server versions 5.20.0 through 5.67.0, update to version 5.68.0 or later. For Payara Server versions 6.0.0 through 6.18.0, update to version 6.19.0 or later. For Payara Server versions 6.2022.1 through 6.2024.9, update to version 6.2024.10 or later.

The Host HTTP parameter could cause the web application to redirect to the specified URL when the requested endpoint is "/management/domain". By modifying the URL value to a malicious site, an attacker may successfully launch a phishing scam and steal user credentials.

Name of the Vulnerable Software and Affected Versions: Payara Server versions 4.1.2.191.0 through 4.1.2.191.50 Payara Server versions 5.20.0 through 5.67.0 Payara Server versions 5.2020.2 through 5.2022.5 Payara Server versions 6.0.0 through 6.18.0 Payara Server versions 6.2022.1 through 6.2024.9 Description: The issue affects the Payara Platform Payara Server, specifically the logging modules, allowing sensitive credentials to be posted in plain text on the server log. This exposes sensitive information to unauthorized actors. Recommendations: For Payara Server versions 4.1.2.191.0 through 4.1.2.191.50, update to version 4.1.2.191.50 or later. For Payara Server versions 5.20.0 through 5.67.0, update to version 5.67.0 or later. For Payara Server versions 5.2020.2 through 5.2022.5, update to version 5.2022.5 or later. For Payara Server versions 6.0.0 through 6.18.0, update to version 6.18.0 or later. For Payara Server versions 6.2022.1 through 6.2024.9, update to version 6.2024.9 or later.

The issue affects the Payara Platform Payara Server, specifically the REST Management Interface modules, allowing session hijacking due to a URL Redirection to Untrusted Site ('Open Redirect') vulnerability.