Claudia Bartolini

O Eclipse GlassFish versão 7.0.15 está suscetível a ataques de Cross-site Scripting refletido no Console de Administração.

Eclipse GlassFish versão 7.0.15 está suscetível a ataques de Cross-site scripting armazenado no Console de Administração.

O Eclipse GlassFish versão 7.0.15 é suscetível a ataques de Cross-site Scripting Armazenado. Os ataques podem ser realizados mediante a modificação do arquivo de configuração no sistema operacional subjacente.

O Eclipse GlassFish versão 7.0.15 está suscetível a ataques de Cross-site scripting armazenado no Console de Administração.

O Eclipse GlassFish está suscetível a ataques de força bruta no login devido à ausência de restrições quanto ao número de tentativas de login falhas.

Nome do Software Vulnerável e Versões Afetadas: Versões do Puppet Enterprise de 2018.1.8 a 2023.8.3 Versão do Puppet Enterprise 2025.3 Descrição: Um usuário com permissões específicas de edição de grupo de nós e um `parâmetro de classe` especialmente construído poderia executar comandos como root no host primário. Recomendações: Para as versões do Puppet Enterprise de 2018.1.8 a 2023.8.3, atualize para a versão 2023.8.4. Para a versão do Puppet Enterprise 2025.3, atualize para a versão 2025.4.0.

O problema afeta o Payara Server, permitindo inclusão de código remoto devido à neutralização inadequada de entrada durante a geração de páginas web, também conhecido como cross-site scripting.

Foi encontrada uma falha na integração do Wildfly Elytron, na qual o componente não implementa medidas suficientes para impedir múltiplas tentativas de autenticação malsucedidas em um curto intervalo de tempo. Isso o torna mais suscetível a ataques de força bruta via Interface de Linha de Comando (CLI).

Foi encontrada uma falha no provedor de Controle de Acesso Baseado em Funções (RBAC) do Servidor WildFly. Quando a autorização para controlar operações de gerenciamento é protegida usando o provedor de Controle de Acesso Baseado em Funções, um usuário sem os privilégios necessários pode suspender ou retomar o servidor. Um usuário com a função de Monitor ou Auditor deveria ter apenas permissões de acesso somente leitura e não deveria ser capaz de suspender o servidor. A vulnerabilidade é causada pelo fato de os manipuladores de Suspensão e Retomada não realizarem verificações de autorização para validar se o usuário atual possui as permissões necessárias para prosseguir com a ação.

A flaw was found in the HAL Console in the Wildfly component, which does not neutralize or incorrectly neutralizes user-controllable input before it is placed in output used as a web page that is served to other users. The attacker must be authenticated as a user that belongs to management groups “SuperUser”, “Admin”, or “Maintainer”. This issue can lead to a cross-site scripting (XSS) vulnerability in the management console.

Nome do software vulnerável e versões afetadas: Payara Server, versões 4.1.2.191.1 a 4.1.2.191.50 Payara Server, versões 5.20.0 a 5.67.0 Payara Server, versões 6.0.0 a 6.18.0 Versões do Payara Server 6.2022.1 a 6.2024.9 Descrição: A vulnerabilidade afeta o Payara Server, especificamente os módulos do Console de Administração, devido a uma neutralização inadequada de entradas durante a geração de páginas da Web, também conhecida como Cross-site Scripting (XSS). Isso permite a inclusão remota de código. Recomendações: Para as versões do Payara Server 4.1.2.191.1 a 4.1.2.191.50, atualize para a versão 4.1.2.191.51 ou posterior. Para as versões do Payara Server 5.20.0 a 5.67.0, atualize para a versão 5.68.0 ou posterior. Para as versões 6.0.0 a 6.18.0 do Payara Server, atualize para a versão 6.19.0 ou posterior. Para as versões 6.2022.1 a 6.2024.9 do Payara Server, atualize para a versão 6.2024.10 ou posterior.

O parâmetro Host HTTP pode fazer com que a aplicação web redirecione para a URL especificada quando o endpoint solicitado for “/management/domain”. Ao alterar o valor da URL para um site malicioso, um invasor pode lançar com sucesso um esquema de phishing e roubar as credenciais do usuário.

Nome do software vulnerável e versões afetadas: Versões do Payara Server de 4.1.2.191.0 a 4.1.2.191.50 Versões do Payara Server de 5.20.0 a 5.67.0 Versões do Payara Server de 5.2020.2 a 5.2022.5 Versões do Payara Server de 6.0.0 a 6.18.0 Versões do Payara Server de 6.2022.1 a 6.2024.9 Descrição: A vulnerabilidade afeta o Payara Server da Payara Platform, especificamente os módulos de registro, permitindo que credenciais confidenciais sejam postadas em texto simples no log do servidor. Isso expõe informações confidenciais a agentes não autorizados. Recomendações: Para as versões do Payara Server 4.1.2.191.0 a 4.1.2.191.50, atualize para a versão 4.1.2.191.50 ou posterior. Para as versões do Payara Server 5.20.0 a 5.67.0, atualize para a versão 5.67.0 ou posterior. Para as versões do Payara Server 5.2020.2 a 5.2022.5, atualize para a versão 5.2022.5 ou posterior. Para as versões do Payara Server 6.0.0 a 6.18.0, atualize para a versão 6.18.0 ou posterior. Para as versões do Payara Server 6.2022.1 a 6.2024.9, atualize para a versão 6.2024.9 ou posterior.

A vulnerabilidade afeta o Payara Server da Payara Platform, especificamente os módulos da Interface de Gerenciamento REST, permitindo o sequestro de sessão devido a uma vulnerabilidade de redirecionamento de URL para um site não confiável (“Open Redirect”).