Paolo Cavaglià

Imagens de VM criadas com Kubernetes Image Builder Nutanix ou provedores OVA podem utilizar credenciais padrão para imagens do Windows caso o usuário não as sobrescreva.

A vulnerabilidade está relacionada a Stored Cross-Site Scripting (XSS) por meio das configurações de administração, devido à sanitização insuficiente de entradas e à falta de escapamento de saídas. Isso permite que invasores autenticados com permissões de nível de administrador ou superiores injetem scripts web arbitrários em páginas, os quais serão executados sempre que um usuário acessar uma página infectada. A vulnerabilidade afeta apenas instalações multisite e instalações nas quais a opção `unfiltered html` foi desativada.

A vulnerabilidade permite que um invasor não autenticado execute comandos remotamente no sistema PAM afetado. Isso é feito através do envio de um arquivo de atualização do PAM especialmente criado para esse fim.

A vulnerabilidade permite que um invasor contorne os requisitos de autenticação de um endpoint PAM específico.

A vulnerabilidade permite que um usuário PAM mal-intencionado com privilégios limitados execute ações relacionadas à atualização do servidor. Não há informações sobre o número estimado de dispositivos potencialmente afetados ou incidentes reais em que essa vulnerabilidade tenha sido explorada.

A vulnerabilidade permite que um invasor não autenticado execute comandos remotamente no sistema PAM afetado, enviando um arquivo de atualização do PAM especialmente criado para esse fim.

Existe uma vulnerabilidade de cross-site scripting (XSS) refletido na interface web do PAM UI, permitindo que um invasor remoto possa executar código arbitrário no lado do cliente caso um usuário do PAM clique em um link especialmente criado. Isso poderia levar à execução de código no contexto do PAM UI.

A vulnerabilidade permite que um usuário PAM autenticado com privilégios elevados execute comandos remotamente no sistema PAM afetado, enviando uma solicitação HTTP especialmente criada para esse fim.

Uma estratégia específica de autenticação no PAM permite que um invasor mal-intencionado obtenha os IDs de todos os usuários PAM definidos em seu banco de dados.

A vulnerabilidade permite que um usuário mal-intencionado do PAM com privilégios limitados acesse informações sobre outros usuários do PAM e suas afiliações a grupos.

A vulnerabilidade permite que um invasor não autenticado leia informações arbitrárias do banco de dados. Não há informações disponíveis sobre o número estimado de dispositivos potencialmente afetados em todo o mundo, nem detalhes sobre incidentes reais em que essa vulnerabilidade tenha sido explorada.

Uma validação inadequada de entradas no sistema PAM permite que um invasor não autenticado execute comandos remotamente ao enviar uma solicitação HTTP especialmente criada para esse fim.

A vulnerabilidade está relacionada a Cross-Site Scripting refletido (XSS) por meio do parâmetro `target id`, devido à sanitização insuficiente de entradas e à falta de escapamento de saídas. Isso permite que invasores não autenticados injetem scripts web arbitrários em páginas, os quais serão executados caso consigam induzir um usuário a realizar uma ação, como clicar em um link.