CVSS: 5.4EPSS: 0%CPEs: 4EXPL: 0CVE-2019-4270
https://notcve.org/view.php?id=CVE-2019-4270
IBM WebSphere Application Server 7.0, 8.0, 8.5, and 9.0 Admin Console is vulnerable to cross-site scripting. This vulnerability allows users to embed arbitrary JavaScript code in the Web UI thus altering the intended functionality potentially leading to credentials disclosure within a trusted session. IBM X-Force ID: 160203. La Consola de administración de IBM WebSphere Application Server versiones 7.0, 8.0, 8.5 y 9.0, es vulnerable a cross-site scripting. Esta vulnerabilidad permite a usuarios insertar código JavaScript arbitrario en la interfaz de usuario web, alterando así la funcionalidad prevista conllevando potencialmente a la divulgación de credenciales dentro de una sesión confiable. • https://exchange.xforce.ibmcloud.com/vulnerabilities/160203 https://www.ibm.com/support/pages/node/884036 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 5.3EPSS: 0%CPEs: 4EXPL: 0CVE-2019-4268
https://notcve.org/view.php?id=CVE-2019-4268
IBM WebSphere Application Server 7.0, 8.0, 8.5, and 9.0 could allow a remote attacker to traverse directories on the system. An attacker could send a specially-crafted URL containing "dot dot" sequences (/../) to view arbitrary files on the system. IBM X-Force ID: 160201. IBM WebSphere Application Server versiones 7.0, 8.0, 8.5 y 9.0, podría permitir a un atacante remoto saltar directorios en el sistema. Un atacante podría enviar una URL especialmente diseñada que contenga secuencias (/../) "dot dot" para visualizar archivos arbitrarios sobre el sistema. • https://exchange.xforce.ibmcloud.com/vulnerabilities/160201 https://www.ibm.com/support/pages/node/884030 • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') •
CVSS: 7.8EPSS: 0%CPEs: 60EXPL: 0CVE-2019-3800 – CF CLI writes the client id and secret to config file
https://notcve.org/view.php?id=CVE-2019-3800
CF CLI version prior to v6.45.0 (bosh release version 1.16.0) writes the client id and secret to its config file when the user authenticates with --client-credentials flag. A local authenticated malicious user with access to the CF CLI config file can act as that client, who is the owner of the leaked credentials. La CLI de CF anterior a versión v6.45.0 (versión de lanzamiento bosh 1.16.0), escribe el id y el secreto del cliente hacia su archivo de configuración cuando el usuario se autentica con el flag --client-credentials. Un usuario malicioso autenticado local con acceso al archivo de configuración de la CLI de CF puede actuar como ese cliente, quien es el propietario de las credenciales filtradas. • https://pivotal.io/security/cve-2019-3800 https://www.cloudfoundry.org/blog/cve-2019-3800 • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor CWE-522: Insufficiently Protected Credentials •
CVSS: 6.5EPSS: 0%CPEs: 6EXPL: 0CVE-2019-4261
https://notcve.org/view.php?id=CVE-2019-4261
IBM WebSphere MQ V7.1, 7.5, IBM MQ V8, IBM MQ V9.0LTS, IBM MQ V9.1 LTS, and IBM MQ V9.1 CD are vulnerable to a denial of service attack caused by specially crafted messages. IBM X-Force ID: 160013. IBM WebSphere MQ versión V7.1, 7.5, IBM MQ versión V8, IBM MQ versión V9.0LTS, IBM MQ versión V9.1 LTS e IBM MQ versión V9.1 CD, son vulnerables a un ataque de denegación de servicio causado por mensajes especialmente diseñados. ID de IBM X-Force: 160013. • https://exchange.xforce.ibmcloud.com/vulnerabilities/160013 https://www.ibm.com/support/docview.wss?uid=ibm10886887 •
CVSS: 5.4EPSS: 0%CPEs: 1EXPL: 0CVE-2019-4285
https://notcve.org/view.php?id=CVE-2019-4285
IBM WebSphere Application Server - Liberty Admin Center could allow a remote attacker to hijack the clicking action of the victim. By persuading a victim to visit a malicious Web site, a remote attacker could send a specially-crafted HTTP request to hijack the victim's click actions or launch other client-side browser attacks. IBM X-Force ID: 160513. WebSphere Application Server de IBM con Liberty Admin Center, podría permitir a un atacante remoto secuestrar la acción de cliqueo de la víctima. Al persuadir a una víctima para que visite un sitio web malicioso, un atacante remoto podría enviar una petición HTTP especialmente diseñada para secuestrar las acciones de cliqueo de la víctima o iniciar otros ataques del navegador del lado del cliente. • https://exchange.xforce.ibmcloud.com/vulnerabilities/160513 https://www.ibm.com/support/docview.wss?uid=ibm10884064 • CWE-1021: Improper Restriction of Rendered UI Layers or Frames •