Dylan Pindur

توجد مشكلة في مكون محرك المصادقة (Authentication Engine) في Oracle Access Manager. يمكن لمهاجم غير مصدق عليه ولديه وصول إلى الشبكة عبر HTTP اختراق النظام، مما قد يؤدي إلى وصول غير مصرح به للقراءة أو التحديث والإدراج والحذف غير المصرح به لمجموعة فرعية من البيانات التي يمكن الوصول إليها.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات Apache Jackrabbit الأقدم من 2.23.2 الوصف: يحتوي البرنامج على ثغرات أمنية من نوع XXE الأعمى في jackrabbit-spi-commons و jackrabbit-core بسبب استخدام بنية مستند غير آمنة لتصعيد الامتيازات. التوصيات: قم بالتحديث إلى الإصدار 2.20.17 (Java 8). قم بالتحديث إلى الإصدار 2.22.1 (Java 11). قم بالتحديث إلى الإصدار 2.23.2 (Java 11، الإصدارات التجريبية).

An issue in the MVC Device Simulator allows attackers to bypass authorization rules.

The issue is an authenticated remote code execution (RCE) vulnerability. It can be exploited via the component /sitecore/shell/Invoke.aspx.

The issue is related to an authenticated remote code execution via the /Applications/Content Manager/Execute.aspx component, specifically when the `cmd` parameter is set to `convert` and the `mode` parameter is set to `HTML`.

The issue is related to insufficient request checking on the server side, allowing a remote, authenticated user to perform a full read server-side request forgery via a batch endpoint. This can be exploited to conduct SSRF attacks.