Simone Paganessi

Um problema de Cross-Site Request Forgery (CSRF) existe no recurso de criação de snapshot do banco de dados. Isso permite que um invasor remoto engane um administrador autenticado para visitar uma página web especialmente criada para disparar a criação não autorizada de snapshots do banco de dados. O acionamento repetido desta operação pode levar ao esgotamento de recursos, à medida que os arquivos de snapshot se acumulam e consomem o espaço em disco disponível, resultando potencialmente em degradação de desempenho, instabilidade do sistema e uma condição de Negação de Serviço (DoS), onde o sistema se torna indisponível para os usuários.

Ocorre um server-side request forgery (SSRF) cego na configuração de Teste do Servidor de Banco de Dados. Isso permite que um invasor privilegiado e autenticado enumere serviços de rede expostos em sistemas de rede adjacentes. SSRF é uma falha onde um invasor pode induzir o servidor a fazer requisições para um local não pretendido.

O WatchGuard Dimension implementa um controle de interface de usuário (UI) de bloqueio/desbloqueio no lado do cliente para gerenciar alterações de configuração. No entanto, o endpoint de configuração no lado do servidor não impõe esse estado de fluxo de trabalho. Isso permite que um administrador autenticado com permissões de leitura e gravação envie alterações diretamente para o endpoint, ignorando a etapa de desbloqueio da interface e potencialmente sobrescrevendo alterações de configuração feitas por outra sessão de administrador simultânea.

Um problema de server-side request forgery (SSRF) existe na configuração de Teste de Servidor FTP. Isso permite que um invasor privilegiado e autenticado enumere serviços de rede expostos em sistemas de rede adjacentes. SSRF é uma falha que permite a um invasor induzir a aplicação do lado do servidor a fazer requisições para um local não pretendido.

Um problema de cross-site scripting (XSS) armazenado existe no recurso de agendamento de tarefas. Isso permite que um administrador autenticado com baixos privilégios injete HTML ou JavaScript arbitrário em campos específicos, que posteriormente são executados na sessão do navegador de qualquer outro usuário.

O endpoint de login web não impõe limitação de taxa (rate-limiting) ou bloqueio de conta eficaz por padrão. Isso permite que um invasor remoto realize tentativas automatizadas de adivinhação de senha contra contas de usuário. Embora exista uma configuração de bloqueio de conta para bloquear tentativas de força bruta após um número definido de falhas, essa configuração não vem habilitada por padrão.

Um problema de server-side request forgery (SSRF) existe na configuração de Remote Backup Connection Test. Isso permite que um invasor privilegiado e autenticado enumere serviços de rede expostos em sistemas de rede adjacentes. SSRF é uma falha que permite a um invasor induzir a aplicação do lado do servidor a fazer requisições para um local não pretendido.

Um problema no recurso Backup Historical Data permite que um administrador autenticado execute JavaScript arbitrário no navegador de outro usuário. Trata-se de uma falha de Cross-Site Scripting (XSS), que ocorre quando uma aplicação inclui dados não confiáveis em uma página web sem a devida validação ou escape, permitindo a execução de scripts maliciosos.

O WatchGuard Dimension registra identificadores de sessão não redigidos de usuários conectados em seu log de diagnóstico da interface web. Um Administrador do Dimension com baixos privilégios pode recuperar esse log e extrair o token de sessão de um Super Administrador enquanto este estiver conectado, permitindo a invasão de conta.

Um problema de server-side request forgery (SSRF) existe na configuração de Email Server Test. Isso permite que um invasor privilegiado e autenticado enumere serviços de rede expostos em sistemas de rede adjacentes. SSRF é uma falha que permite a um invasor induzir a aplicação do lado do servidor a fazer requisições para um local não pretendido.

A neutralização incorreta de entrada durante a geração de páginas web no módulo `spamBlocker` permite Cross-site Scripting (XSS) Armazenado, uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo.

Cross-site Scripting (XSS) Armazenado, que ocorre quando uma aplicação inclui dados não confiáveis em uma página web sem a devida validação ou codificação, existe no módulo Tigerpaw Technology Integration. Este problema fornece um caminho de ataque adicional não mitigado para uma falha de segurança relacionada.

Cross-site Scripting (XSS) Armazenado existe no módulo ConnectWise Technology Integration. Isso ocorre devido à neutralização inadequada de entrada durante a geração de páginas web, permitindo que um invasor injete scripts maliciosos que são armazenados no servidor e posteriormente executados no navegador de outros usuários.

Cross-site Scripting (XSS) Armazenado existe no módulo de Integração de Tecnologia Autotask. Isso ocorre devido à neutralização inadequada de entrada durante a geração de páginas web, permitindo que um invasor injete scripts maliciosos que são armazenados no servidor e posteriormente executados no navegador de outros usuários.

O módulo SIP Proxy contém uma falha envolvendo a neutralização inadequada de entrada durante a geração de páginas web, o que permite o Cross-site Scripting (XSS) Armazenado. XSS é um tipo de ataque onde scripts maliciosos são injetados em sites confiáveis. Este problema serve como um caminho de ataque adicional não mitigado para outra falha conhecida.

Uma falha de Falsificação de Solicitação Cross-Site (CSRF) na WebUI do Fireware OS permite que um atacante remoto cause uma condição de negação de serviço (DoS). Isso ocorre quando um administrador autenticado é enganado para visitar uma página web maliciosa, que então dispara a condição na WebUI. CSRF é uma técnica onde um atacante força o navegador de um usuário a realizar uma ação indesejada em um site diferente onde o usuário está autenticado no momento.

A flaw exists in the Autotask Technology Integration module of WatchGuard Fireware OS that allows for Stored Cross-site Scripting (XSS). This issue is due to improper neutralization of input during web page generation.

Existe uma falha no módulo de Integração de Tecnologia Tigerpaw do WatchGuard Fireware OS que permite Cross-site Scripting (XSS) Armazenado. Este problema ocorre devido à neutralização inadequada de entrada durante a geração de páginas web. A exploração bem-sucedida poderia permitir que um atacante injetasse scripts maliciosos em páginas web visualizadas por outros usuários.

Existe uma falha no módulo ConnectWise Technology Integration do WatchGuard Fireware OS que permite Cross-site Scripting (XSS) Armazenado. Este problema ocorre devido à neutralização inadequada de entrada durante a geração da página web. O XSS Armazenado ocorre quando um script malicioso é armazenado no servidor de destino e, em seguida, executado por outros usuários quando acessam a página web afetada.

Existe uma falha no módulo Gateway Wireless Controller do WatchGuard Fireware OS que permite Cross-site Scripting (XSS) Armazenado. Este problema ocorre devido à neutralização inadequada de entrada durante a geração de páginas web. A exploração bem-sucedida poderia permitir que um atacante injetasse scripts maliciosos em páginas web visualizadas por outros usuários.