Massimiliano Brolli

An unrestricted upload of files with dangerous type vulnerability in the Microchip TimePictra platform allows functionality not properly constrained by access control lists, potentially resulting in remote code execution.

A hard-coded root password in Microchip TimePictra platform installation files could allow an attacker with access to those files to obtain privileged credentials

A stored cross-site scripting vulnerability in Microchip the TimePictra platform could allow an authenticated, low-privileged attacker to store malicious script content that executes when another user views the affected page

Um problema existe no componente Console do WebLogic Server. Um invasor com baixos privilégios e acesso à rede via HTTPS pode comprometer o servidor, desde que haja interação humana de uma pessoa diferente do invasor. Isso pode resultar em acesso, criação, exclusão ou modificação não autorizada de dados críticos ou de todos os dados acessíveis pelo WebLogic Server. O impacto pode se estender além do WebLogic Server, afetando produtos adicionais.

O uso de credenciais codificadas permite a realização de uma atualização de software manual maliciosa.

Existe uma vulnerabilidade de neutralização inadequada de elementos especiais utilizados em um comando do SO no Microchip Time Provider 4100, permitindo a injeção de comandos do SO. Este problema está relacionado à execução remota de código por meio da senha de configuração de backup.

Existe uma vulnerabilidade de neutralização imprópria de elementos especiais usados em um comando do SO ('Injeção de Comando do SO') no Microchip Time Provider 4100. Isso permite a Injeção de Comando do SO. O problema está relacionado à restauração da senha de configuração.

Existe uma vulnerabilidade de neutralização imprópria de elementos especiais utilizados em um comando SQL ('SQL Injection') no Microchip Time Provider 4100. Isso permite a Injeção de SQL. A vulnerabilidade está presente no recurso web. O comando `SQL` não é devidamente sanitizado, potencialmente permitindo que um atacante injete código malicioso.

Existe uma falha no Microchip Time Provider 4100 que permite atualizações manuais de software maliciosas devido à falta de verificação de integridade durante o download do código.

O Eclipse GlassFish versão 7.0.15 está suscetível a ataques de Cross-site scripting armazenado no Console de Administração.

Eclipse GlassFish versão 7.0.15 está suscetível a ataques de Cross-site scripting armazenado no Console de Administração.

O Eclipse GlassFish versão 7.0.15 está suscetível a ataques de Cross-site Scripting refletido no Console de Administração.

O Eclipse GlassFish versão 7.0.15 é suscetível a ataques de Cross-site Scripting Armazenado. Os ataques podem ser realizados mediante a modificação do arquivo de configuração no sistema operacional subjacente.

O Eclipse GlassFish está suscetível a ataques de força bruta no login devido à ausência de restrições quanto ao número de tentativas de login falhas.

Nome do Software Vulnerável e Versões Afetadas: Versões do Puppet Enterprise de 2018.1.8 a 2023.8.3 Versão do Puppet Enterprise 2025.3 Descrição: Um usuário com permissões específicas de edição de grupo de nós e um `parâmetro de classe` especialmente construído poderia executar comandos como root no host primário. Recomendações: Para as versões do Puppet Enterprise de 2018.1.8 a 2023.8.3, atualize para a versão 2023.8.4. Para a versão do Puppet Enterprise 2025.3, atualize para a versão 2025.4.0.

O problema está relacionado ao componente XML Database, permitindo que um atacante com baixos privilégios e acesso à rede via HTTP comprometa o XML Database. Ataques bem-sucedidos requerem interação humana e podem resultar em acesso não autorizado para atualização, inserção ou exclusão de alguns dados acessíveis pelo XML Database, bem como acesso não autorizado de leitura a um subconjunto de dados acessíveis pelo XML Database.

O problema afeta o Payara Server, permitindo inclusão de código remoto devido à neutralização inadequada de entrada durante a geração de páginas web, também conhecido como cross-site scripting.

Nome do Software Vulnerável e Versões Afetadas: Italtel S.p.A. i-MCS NFV versão 12.1.0-20211215 Descrição: O problema consiste em uma vulnerabilidade de cross-site scripting (XSS) que permite a atacantes remotos não autenticados injetar script web arbitrário ou HTML em parâmetros HTTP/POST. Isso pode ser explorado por atacantes para executar scripts maliciosos no navegador da vítima. Recomendações: Para o Italtel S.p.A. i-MCS NFV versão 12.1.0-20211215, considere restringir o acesso aos parâmetros HTTP/POST para minimizar o risco de exploração até que um patch esteja disponível. Como solução alternativa temporária, evite utilizar parâmetros vulneráveis nos endpoints de API afetados até que o problema seja resolvido. Atualmente, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Nome do Software Vulnerável e Versões Afetadas: BMC Remedy Mid Tier versão 7.6.04 Descrição: A aplicação web do BMC Remedy Mid Tier permite Injeção de HTML Armazenada por atacantes remotos autenticados. Recomendações: Para o BMC Remedy Mid Tier versão 7.6.04, considere restringir o acesso à aplicação web até que um patch esteja disponível. Como solução temporária, limite a capacidade de atacantes remotos autenticados de injetar código HTML. Atualmente, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Foi encontrada uma falha na integração do Wildfly Elytron, na qual o componente não implementa medidas suficientes para impedir múltiplas tentativas de autenticação malsucedidas em um curto intervalo de tempo. Isso o torna mais suscetível a ataques de força bruta via Interface de Linha de Comando (CLI).