Maxim Suslov

Uma vulnerabilidade na interface de gerenciamento baseada na web do Cisco Unity Connection poderia permitir que um invasor remoto não autenticado enviasse arquivos arbitrários para um sistema afetado e executasse comandos no sistema operacional subjacente. Essa vulnerabilidade se deve à falta de autenticação em uma API específica e à validação inadequada dos dados fornecidos pelo usuário. Um invasor poderia explorar essa vulnerabilidade enviando arquivos arbitrários para um sistema afetado. Uma exploração bem-sucedida poderia permitir que o invasor armazenasse arquivos maliciosos no sistema, executasse comandos arbitrários no sistema operacional e elevasse privilégios para root.

A command injection issue exists in the `show zysync server contents` function, allowing an unauthenticated attacker to execute some operating system commands by sending a crafted HTTP POST request. This is due to the lack of neutralization of special elements used in the operating system command. The exploitation of this issue may allow a remote attacker to execute arbitrary code.

A command injection issue exists in the web server of the Zyxel NAS326 and NAS542 firmware due to the lack of neutralization of special elements used in operating system commands. This could allow a remote attacker to execute arbitrary operating system commands by sending a specially crafted URL to a vulnerable device.

The issue is related to an improper authentication vulnerability in the authentication module of the Zyxel NAS326 and NAS542 firmware. This vulnerability could allow an unauthenticated attacker to obtain system information by sending a crafted URL to a vulnerable device. The vulnerability is associated with deficiencies in the authentication procedure, which can be exploited to gain unauthorized access to the device.

The pre-authentication command injection issue in Zyxel NAS devices could allow an unauthenticated attacker to execute some operating system (OS) commands remotely by sending a crafted HTTP request. This could enable an attacker to run arbitrary commands on affected systems.

Uma vulnerabilidade na interface de gerenciamento web do software Cisco Firepower Management Center (FMC) poderia permitir que um invasor remoto autenticado contornasse as proteções de segurança e enviasse arquivos maliciosos para o sistema afetado. Isso se deve à validação inadequada dos arquivos enviados para a interface de gerenciamento web. Um invasor poderia explorar essa vulnerabilidade enviando um arquivo criado com intenção maliciosa, o que lhe permitiria armazenar arquivos maliciosos no dispositivo e, potencialmente, executar código arbitrário no dispositivo afetado com privilégios de root.

Uma vulnerabilidade na interface de serviços web poderia permitir que um invasor remoto não autenticado realizasse ataques de cross-site scripting (XSS) contra um usuário da interface. Esse problema se deve à validação insuficiente das entradas fornecidas pelo usuário pela interface de serviços web de um dispositivo afetado. Um invasor poderia explorar essa vulnerabilidade persuadindo um usuário da interface a clicar em um link malicioso, o que poderia permitir que o invasor executasse código de script arbitrário no contexto da interface ou acessasse informações confidenciais baseadas no navegador.