Shoji Baba

Nome do Software Vulnerável e Versões Afetadas: Active! mail 6 versões 6.30.01004145 até 6.60.06008562 Descrição: Existe uma vulnerabilidade de cross-site scripting, permitindo que um script arbitrário seja executado no navegador web do usuário logado ao acessar uma URL especialmente criada. Recomendações: Para o Active! mail 6 versões 6.30.01004145 até 6.60.06008562, atualize para uma versão que inclua uma correção para este problema para prevenir sua exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Nome do Software Vulnerável e Versões Afetadas: Active! mail 6 versões 6.60.06008562 e anteriores Descrição: Existe uma vulnerabilidade de Falsificação de Solicitação Entre Sites (CSRF), potencialmente permitindo o envio de e-mails não intencionais quando um usuário logado acessa uma URL especialmente criada. Recomendações: Para o Active! mail 6 versões 6.60.06008562 e anteriores, considere implementar medidas para verificar a autenticidade das solicitações, como validar a origem das solicitações ou usar tokens anti-CSRF, até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

A vulnerabilidade permite que um invasor não autenticado, conectado à mesma rede, execute um comando arbitrário do sistema operacional no produto afetado.

Uma vulnerabilidade de cross-site scripting permite que um invasor não autenticado, conectado à mesma rede, execute um script arbitrário no navegador do usuário que acessa a página de gerenciamento do produto afetado.

A falha permite que um invasor não autenticado, conectado à mesma rede, acesse o produto afetado sem autenticação. Isso se deve a uma vulnerabilidade relacionada a autenticação inadequada.

A vulnerabilidade permite que um invasor não autenticado, conectado à mesma rede, obtenha um arquivo arbitrário no produto afetado devido a uma vulnerabilidade de traversal de caminho.

Uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) permite que um invasor remoto não autenticado altere as configurações do produto.

Uma vulnerabilidade do tipo “forja de solicitação do lado do servidor” permite que um invasor não autenticado, conectado à mesma rede, envie uma solicitação HTTP (GET) arbitrária a partir do produto afetado.

Existe uma falha no controle de acesso, que pode permitir que um invasor não autenticado na rede obtenha um `nome de usuário` e sua `senha` com hash exibidos na página de gerenciamento do produto afetado.

**Nome do software vulnerável e versões afetadas: RTX830 versões 15.02.17 e anteriores NVR510 versões 15.01.18 e anteriores NVR700W versões 15.00.19 e anteriores RTX1210 versões 14.01.38 e anteriores Descrição: O problema está relacionado à neutralização inadequada de cabeçalhos de solicitação HTTP para sintaxe de script, permitindo que um invasor remoto autenticado obtenha informações confidenciais por meio de uma página da Web especialmente criada. Isso afeta a interface gráfica da Web (Web GUI) dos dispositivos mencionados. Recomendações: Para as versões 15.02.17 e anteriores do RTX830, atualize para uma versão posterior à 15.02.17 para resolver o problema. Para as versões 15.01.18 e anteriores do NVR510, atualize para uma versão posterior à 15.01.18 para resolver o problema. Para as versões 15.00.19 e anteriores do NVR700W, atualize para uma versão posterior à 15.00.19 para resolver o problema. Para as versões 14.01.38 e anteriores do RTX1210, atualize para uma versão posterior à 14.01.38 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à GUI da Web para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas: RTX830 versões 15.02.17 e anteriores NVR510 versões 15.01.18 e anteriores NVR700W versões 15.00.19 e anteriores RTX1210 versões 14.01.38 e anteriores Descrição: O problema é uma vulnerabilidade de inclusão de script entre sites na interface gráfica da Web (Web GUI) dos produtos afetados. Isso permite que um invasor remoto autenticado altere as configurações do produto por meio de uma página da Web especialmente criada. Recomendações: Para as versões 15.02.17 e anteriores do RTX830, atualize para uma versão posterior à 15.02.17 para resolver o problema. Para as versões 15.01.18 e anteriores do NVR510, atualize para uma versão posterior à 15.01.18 para resolver o problema. Para as versões 15.00.19 e anteriores do NVR700W, atualize para uma versão posterior à 15.00.19 para resolver o problema. Para as versões 14.01.38 e anteriores do RTX1210, atualize para uma versão posterior à 14.01.38 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à GUI da Web para minimizar o risco de exploração.

A directory traversal issue allows remote authenticated attackers to modify arbitrary files using the `Customapp` function.

The issue allows remote authenticated attackers to execute arbitrary SQL commands.

The issue allows remote attackers to conduct Python code injection attacks.

A cross-site scripting issue allows remote attackers to inject arbitrary web script or HTML.

The issue allows remote attackers to execute arbitrary OS commands.

The issue allows remote attackers to conduct XML External Entity (XXE) attacks. This is achieved via unspecified vectors, which could potentially lead to unauthorized access to sensitive data.

The issue allows remote authenticated users to execute arbitrary PHP code.

The issue allows remote attackers to execute arbitrary SQL commands.

The issue allows remote attackers to delete arbitrary files via unspecified vectors when the `File` field is being used in the mail form.