Luca Di Giuseppe

An issue exists in the Network Element Manager, specifically a Reflected XSS. This issue can be exploited via several API endpoints, including "/oms1350/pages/otn/cpbLogDisplay" via the `filename` parameter, under "/oms1350/pages/otn/connection/E2ERoutingDisplayWithOverLay" via the `id` parameter, and under "/oms1350/pages/otn/mainOtn" via all parameters.

A SQL Injection issue occurs in the /cgi-bin/R19.9/easy1350.pl endpoint of the VM Manager WebUI, specifically via the `id` or `host` HTTP GET parameters. This issue requires an authenticated attacker for exploitation.

An Unprotected Storage of Credentials issue occurs in the Network Element Manager under `/root/RestUploadManager.xml.DRC` and `/DEPOT/KECustom 199/OTNE DRC/RestUploadManager.xml`. A remote user, authenticated to the operating system with access privileges to the directory `/root` or `/DEPOT`, can read cleartext credentials to access the web portal NFM-T and control all the PPS Network elements.

An issue affects the setup panel under setup/manageheader.php, allowing authenticated remote attackers with administrator credentials to read a cleartext database password due to improper password storage. This issue does not specify the estimated number of potentially affected devices worldwide or details about real-world incidents where this issue was exploited.

Em determinadas circunstâncias, um usuário não autenticado poderia acessar a API da web e enumerar usuários.

O problema está relacionado a um controle de acesso inadequado no componente BI Platform Security do Oracle Business Intelligence Enterprise Edition. Essa vulnerabilidade, facilmente explorável, permite que um invasor não autenticado com acesso à rede via HTTP comprometa o sistema. Ataques bem-sucedidos exigem interação humana de uma pessoa que não seja o invasor e podem impactar significativamente outros produtos. A vulnerabilidade pode resultar em acesso de leitura não autorizado a um subconjunto de dados acessíveis do Oracle Business Intelligence Enterprise Edition.

O problema está relacionado à validação insuficiente de entradas no componente de segurança do BI Publisher. Isso permite que um invasor não autenticado com acesso à rede via HTTP comprometa o BI Publisher, levando potencialmente ao acesso não autorizado a dados críticos ou ao acesso completo a todos os dados acessíveis pelo BI Publisher. Ataques bem-sucedidos também podem resultar em acesso não autorizado para atualizar, inserir ou excluir alguns dos dados acessíveis pelo BI Publisher. O ataque requer interação humana de uma pessoa que não seja o invasor e pode impactar significativamente outros produtos.

O problema está relacionado à validação insuficiente de entradas no componente Analytics Actions do Oracle Business Intelligence Enterprise Edition. Isso pode ser explorado por um invasor remoto para obter acesso não autorizado a informações protegidas ou causar uma negação de serviço parcial usando o protocolo HTTP. Ataques bem-sucedidos podem exigir interação humana e afetar outros produtos, resultando em acesso não autorizado a dados e possível negação de serviço parcial.

O problema está relacionado ao controle de acesso insuficiente no componente Analytics Actions do Oracle Business Intelligence Enterprise Edition. Isso pode ser explorado por um invasor remoto para obter acesso de leitura, modificação, adição ou exclusão de dados usando o protocolo HTTP. Ataques bem-sucedidos podem exigir interação humana e podem impactar significativamente outros produtos, resultando em acesso não autorizado a dados críticos ou acesso completo a todos os dados acessíveis, bem como acesso não autorizado para atualização, inserção ou exclusão de alguns dados acessíveis.