CVSS: 9.8EPSS: 0%CPEs: 1EXPL: 0CVE-2019-18981
https://notcve.org/view.php?id=CVE-2019-18981
Pimcore before 6.2.2 lacks an Access Denied outcome for a certain scenario of an incorrect recipient ID of a notification. Pimcore versiones anteriores a la versión 6.2.2, carece de un resultado de Acceso Denegado para un determinado escenario de un ID de destinatario incorrecto de una notificación. • https://github.com/pimcore/pimcore/commit/0a5d80b2593b2ebe35d19756b730ba33aa049106 https://github.com/pimcore/pimcore/compare/v6.2.1...v6.2.2 • CWE-838: Inappropriate Encoding for Output Context •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 0CVE-2019-18982
https://notcve.org/view.php?id=CVE-2019-18982
bundles/AdminBundle/Controller/Admin/EmailController.php in Pimcore before 6.3.0 allows script execution in the Email Log preview window because of the lack of a Content-Security-Policy header. El archivo bundles/AdminBundle/Controller/Admin/EmailController.php en Pimcore versiones anteriores a la versión 6.3.0, permite la ejecución del script en la ventana de vista previa del Registro de Correo Electrónico debido a la falta de un encabezado Content-Security-Policy. • https://github.com/pimcore/pimcore/commit/e0b48faf7d29ce43a98825a0b230e88350ebcf78 https://github.com/pimcore/pimcore/compare/v6.2.3...v6.3.0 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 9.8EPSS: 0%CPEs: 1EXPL: 0CVE-2019-18985
https://notcve.org/view.php?id=CVE-2019-18985
Pimcore before 6.2.2 lacks brute force protection for the 2FA token. Pimcore versiones anteriores a la versión 6.2.2, carece de protección de fuerza bruta para el token 2FA. • https://github.com/pimcore/pimcore/commit/9f2d075243a8392c114d9a8028858b9faf041e2d https://github.com/pimcore/pimcore/compare/v6.2.1...v6.2.2 • CWE-307: Improper Restriction of Excessive Authentication Attempts •
CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 0CVE-2019-18986
https://notcve.org/view.php?id=CVE-2019-18986
Pimcore before 6.2.2 allow attackers to brute-force (guess) valid usernames by using the 'forgot password' functionality as it returns distinct messages for invalid password and non-existing users. Pimcore versiones anteriores a la versión 6.2.2, permite a atacantes forzar mediante fuerza bruta (por adivinación) nombres de usuario válidos mediante el uso de la funcionalidad de "forgot password", ya que devuelve mensajes distintos para la contraseña no válida y los usuarios no existentes. • https://github.com/pimcore/pimcore/commit/4a7bba5c3f818852cbbd29fa124f7fb09a207185 https://github.com/pimcore/pimcore/compare/v6.2.1...v6.2.2 • CWE-307: Improper Restriction of Excessive Authentication Attempts •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 0CVE-2019-18656
https://notcve.org/view.php?id=CVE-2019-18656
Pimcore 6.2.3 has XSS in the translations grid because bundles/AdminBundle/Resources/public/js/pimcore/settings/translations.js mishandles certain HTML elements. Pimcore versión 6.2.3, presenta una vulnerabilidad de tipo XSS en la cuadrícula de traducciones porque el archivo bundles/AdminBundle/Resources/public/js/pimcore/settings/translations.js maneja inapropiadamente ciertos elementos HTML. • https://github.com/pimcore/pimcore/commit/ca036e9f86bb5cdb3dac0930ec131e5f35e26c5f • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •