Petrus Viet

Uma vulnerabilidade de injeção de modelo em versões mais antigas do Confluence Data Center e Server permite que um invasor não autenticado execute código remotamente (RCE) em uma instância afetada. A vulnerabilidade está sendo ativamente explorada por agentes maliciosos, com mais de 39.000 tentativas de exploração registradas em apenas três dias. A exploração dessa vulnerabilidade pode levar à execução não autorizada de código, permitindo que invasores instalem malware, roubem dados confidenciais ou interrompam operações.

The issue is related to insufficient access control in the Zoho ManageEngine ADManager Plus software for managing Active Directory services. It allows a remote attacker to execute arbitrary commands with superuser privileges. Admin users can execute commands on the host machine.

This issue allows remote attackers to execute arbitrary code on affected installations of Inductive Automation Ignition. The specific flaw exists within the `ResponseParser` method, resulting from the lack of proper validation of user-supplied data, which can result in deserialization of untrusted data. An attacker can leverage this vulnerability to execute code in the context of the current user. User interaction is required to exploit this vulnerability, as the target must connect to a malicious server.

The issue is related to the deserialization mechanism in the RunQuery class of Inductive Automation Ignition, allowing remote attackers to execute arbitrary code on affected installations. The problem stems from the lack of proper validation of user-supplied data, which can result in deserialization of untrusted data. An attacker can leverage this vulnerability to execute code in the context of SYSTEM. Authentication is required to exploit this vulnerability.

The issue is related to the Base64Element class in Inductive Automation Ignition, which has flaws in its deserialization mechanism. This allows remote attackers to execute arbitrary code on affected installations. The problem stems from the lack of proper validation of user-supplied data, leading to the deserialization of untrusted data. An attacker can exploit this to execute code in the context of SYSTEM. Authentication is required to exploit this vulnerability.

This issue allows remote attackers to execute arbitrary code on affected installations of Inductive Automation Ignition. The specific flaw exists within the ModuleInvoke class, resulting from the lack of proper validation of user-supplied data, which can result in deserialization of untrusted data. An attacker can leverage this vulnerability to execute code in the context of SYSTEM. Authentication is required to exploit this vulnerability.

A vulnerabilidade permite que um script acesse qualquer arquivo acessível ao usuário que estiver executando o servidor de aplicativos XWiki por meio de injeção de entidade externa XML (XML External Entity Injection) através do serviço de scripts XML. Isso pode ser feito explorando o serviço de scripts XML, por exemplo, usando um script `velocity` que defina uma variável `xxe payload` com uma carga XML maliciosa, que inclui uma entidade que faz referência a um arquivo local, como `file:///etc/passwd`. O script então analisa essa carga usando a função `xml.parse()` e serializa o resultado usando `xml.serialize()`. O número estimado de dispositivos potencialmente afetados não foi fornecido.