Pawel Gocyla

**Nome do software vulnerável e versões afetadas** Micro Focus Verastream Host Integrator versões 7.8 Update 1 e anteriores **Descrição** O problema está relacionado a uma vulnerabilidade de entidade externa XML, que poderia permitir o controle de um navegador da Web e o sequestro de sessões de usuário. **Recomendações** Para as versões 7.8 Update 1 e anteriores, atualize para uma versão posterior à 7.8 Update 1 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao navegador da web para minimizar o risco de sequestro de sessão.

**Nome do software vulnerável e versões afetadas** Micro Focus Verastream Host Integrator, versões 7.8 Update 1 e anteriores **Descrição** O problema é uma vulnerabilidade de Cross-Site Scripting refletido que pode permitir a divulgação de dados confidenciais. **Recomendações** Para as versões 7.8 Update 1 e anteriores, atualize para uma versão posterior à 7.8 Update 1 para resolver o problema.

**Nome do software vulnerável e versões afetadas** PeopleSoft Enterprise PeopleTools, versões 8.56 a 8.58 **Descrição** O problema está relacionado a um controle de acesso insuficiente no componente Portal do Oracle PeopleSoft Enterprise PeopleTools, permitindo que um invasor não autenticado, com acesso à infraestrutura, comprometa o PeopleSoft Enterprise PeopleTools, o que pode resultar na tomada de controle da aplicação. **Recomendações** Para as versões 8.56 a 8.58, atualize para uma versão que inclua a correção para este problema, a fim de evitar a exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Cisco Identity Services Engine (ISE) (versões afetadas não especificadas) **Descrição** Uma vulnerabilidade na interface de gerenciamento baseada na web do Cisco Identity Services Engine (ISE) poderia permitir que um invasor remoto não autenticado realizasse um ataque de script entre sites (XSS) contra um usuário da interface de um dispositivo afetado. A vulnerabilidade existe porque a interface de gerenciamento baseada na web não valida adequadamente as entradas fornecidas pelo usuário. Um invasor poderia explorar essa vulnerabilidade persuadindo um usuário de uma interface afetada a clicar em um link malicioso. Uma exploração bem-sucedida poderia permitir que o invasor executasse código de script arbitrário no contexto da interface afetada ou acessasse informações confidenciais baseadas no navegador. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do macOS Catalina anteriores à 10.15.1 **Descrição** Um problema de validação de entrada foi corrigido com uma validação de entrada aprimorada. Um invasor em uma posição privilegiada na rede pode conseguir vazar informações confidenciais do usuário. **Recomendações** Para versões do macOS Catalina anteriores à 10.15.1, atualize para o macOS Catalina 10.15.1 ou aplique a Atualização de Segurança 2019-001 ou a Atualização de Segurança 2019-006 para resolver o problema.

**Nome do software vulnerável e versões afetadas** Versões do macOS Catalina anteriores à 10.15.1 **Descrição** Foi corrigido um problema de negação de serviço por meio de uma validação aprimorada. Um invasor com privilégios pode ser capaz de realizar um ataque de negação de serviço. **Recomendações** Para versões do macOS Catalina anteriores à 10.15.1, atualize para o macOS Catalina 10.15.1 ou aplique a Atualização de Segurança 2019-001 ou a Atualização de Segurança 2019-006 para resolver o problema.

**Nome do software vulnerável e versões afetadas** IBM InfoSphere Information Server, versões 11.3 a 11.7 **Descrição** A vulnerabilidade permite que um invasor execute ações maliciosas e não autorizadas transmitidas por um usuário em quem o site confia, devido a uma falsificação de solicitação entre sites (CSRF). **Recomendações** Para as versões 11.3 a 11.7 do IBM InfoSphere Information Server, no momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** IBM InfoSphere Information Server versions 11.3, 11.5, and 11.7 **Description** The issue allows for a XML External Entity Injection (XXE) attack when processing XML data, potentially enabling a remote attacker to expose sensitive information or consume memory resources. **Recommendations** For IBM InfoSphere Information Server versions 11.3, 11.5, and 11.7, update to a version that includes a fix for this issue to prevent XXE attacks. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** IBM InfoSphere Information Server versions 11.3, 11.5, and 11.7 **Description** The issue allows users to embed arbitrary JavaScript code in the Web UI, altering the intended functionality and potentially leading to credentials disclosure within a trusted session. **Recommendations** For versions 11.3, 11.5, and 11.7, update to a version that includes a fix for this issue to prevent cross-site scripting attacks. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** IBM InfoSphere Information Server versions 11.5 through 11.7 **Description** The issue allows a remote attacker to send specially-crafted SQL statements, potentially enabling them to view, add, modify, or delete information in the back-end database. **Recommendations** For versions 11.5 through 11.7, update to a version that includes a fix for this issue to prevent SQL injection attacks.

**Name of the Vulnerable Software and Affected Versions** IBM Tivoli Integrated Portal versions 2.2.0.0 through 2.2.0.15 **Description** A cross-site scripting (XSS) issue allows remote attackers to inject arbitrary web script or HTML via unspecified vectors. **Recommendations** For versions 2.2.0.0 through 2.2.0.15, update to a version outside of this range to resolve the issue. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

Name of the Vulnerable Software and Affected Versions: OpenText Document Sciences xPression version 4.5SP1 Patch 13 Description: The issue is related to SQL Injection in xDashboard. Recommendations: For version 4.5SP1 Patch 13, at the moment, there is no information about a newer version that contains a fix for this issue.

**Name of the Vulnerable Software and Affected Versions** OpenText Documentum Webtop versions 6.8.0160.0073 **Description** The issue is related to an XML external entity (XXE) vulnerability in the web interface of OpenText Documentum Webtop. This vulnerability can be exploited by a remote attacker to read arbitrary files, cause a denial of service, or obtain user hashes on Windows systems. The exploitation involves crafted XML structures, such as a crafted DTD, in requests to specific API endpoints like `xda/com/documentum/ucf/server/transport/impl/GAIRConnector`, or through the import or check-in of crafted XML files in a MediaProfile file. **Recommendations** For OpenText Documentum Webtop version 6.8.0160.0073, consider disabling the `GAIRConnector` function until a patch is available to prevent exploitation through crafted XML structures. Restrict access to the MediaProfile file import and check-in features to minimize the risk of XXE attacks. Avoid using crafted DTDs in XML requests to prevent denial of service or arbitrary file reading. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** OpenText Documentum Administrator version 7.2.0180.0055 **Description** The issue is related to incorrect restriction of XML external entities (XXE) in the OpenText Documentum Administrator. This can be exploited by a remote attacker to read arbitrary files, cause a denial of service, or obtain user hashes on Windows systems. The exploitation involves crafted XML structures, such as a DTD, in requests to specific API endpoints like `xda/com/documentum/ucf/server/transport/impl/GAIRConnector`, or through the import or check-in of crafted XML files in a MediaProfile file. **Recommendations** For OpenText Documentum Administrator version 7.2.0180.0055, consider disabling the import and check-in functionality for XML files in MediaProfile until a patch is available. Restrict access to the `xda/com/documentum/ucf/server/transport/impl/GAIRConnector` endpoint to minimize the risk of exploitation. Avoid using crafted DTDs or XML structures in requests to prevent potential attacks. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Hitachi Device Manager versions prior to 8.5.2-01 Hitachi Replication Manager versions prior to 8.5.2-00 **Description** A cross-site scripting issue allows authenticated remote users to execute arbitrary JavaScript code. **Recommendations** For Hitachi Device Manager versions prior to 8.5.2-01, update to version 8.5.2-01 or later. For Hitachi Replication Manager versions prior to 8.5.2-00, update to version 8.5.2-00 or later.