Dylan Pindur

Um problema existe no componente Authentication Engine do Oracle Access Manager. Um invasor não autenticado com acesso à rede via HTTP pode comprometer o sistema, levando potencialmente ao acesso de leitura não autorizado ou à atualização, inserção e exclusão não autorizadas de um subconjunto de dados acessíveis.

Nome do Software Vulnerável e Versões Afetadas: Versões do Apache Jackrabbit anteriores à 2.23.2 Descrição: O software contém vulnerabilidades de XXE Cego em jackrabbit-spi-commons e jackrabbit-core devido ao uso de uma construção de documento não segura para carregar privilégios. Recomendações: Atualize para a versão 2.20.17 (Java 8). Atualize para a versão 2.22.1 (Java 11). Atualize para a versão 2.23.2 (Java 11, versões beta).

An issue in the MVC Device Simulator allows attackers to bypass authorization rules.

The issue is an authenticated remote code execution (RCE) vulnerability. It can be exploited via the component /sitecore/shell/Invoke.aspx.

The issue is related to an authenticated remote code execution via the /Applications/Content Manager/Execute.aspx component, specifically when the `cmd` parameter is set to `convert` and the `mode` parameter is set to `HTML`.

A vulnerabilidade está relacionada à verificação insuficiente de solicitações no lado do servidor, permitindo que um usuário remoto autenticado execute uma falsificação de solicitação de leitura completa no lado do servidor por meio de um endpoint de lote. Isso pode ser explorado para realizar ataques SSRF.