CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 0CVE-2019-18982
https://notcve.org/view.php?id=CVE-2019-18982
bundles/AdminBundle/Controller/Admin/EmailController.php in Pimcore before 6.3.0 allows script execution in the Email Log preview window because of the lack of a Content-Security-Policy header. El archivo bundles/AdminBundle/Controller/Admin/EmailController.php en Pimcore versiones anteriores a la versión 6.3.0, permite la ejecución del script en la ventana de vista previa del Registro de Correo Electrónico debido a la falta de un encabezado Content-Security-Policy. • https://github.com/pimcore/pimcore/commit/e0b48faf7d29ce43a98825a0b230e88350ebcf78 https://github.com/pimcore/pimcore/compare/v6.2.3...v6.3.0 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 9.8EPSS: 0%CPEs: 1EXPL: 0CVE-2019-18985
https://notcve.org/view.php?id=CVE-2019-18985
Pimcore before 6.2.2 lacks brute force protection for the 2FA token. Pimcore versiones anteriores a la versión 6.2.2, carece de protección de fuerza bruta para el token 2FA. • https://github.com/pimcore/pimcore/commit/9f2d075243a8392c114d9a8028858b9faf041e2d https://github.com/pimcore/pimcore/compare/v6.2.1...v6.2.2 • CWE-307: Improper Restriction of Excessive Authentication Attempts •
CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 0CVE-2019-18986
https://notcve.org/view.php?id=CVE-2019-18986
Pimcore before 6.2.2 allow attackers to brute-force (guess) valid usernames by using the 'forgot password' functionality as it returns distinct messages for invalid password and non-existing users. Pimcore versiones anteriores a la versión 6.2.2, permite a atacantes forzar mediante fuerza bruta (por adivinación) nombres de usuario válidos mediante el uso de la funcionalidad de "forgot password", ya que devuelve mensajes distintos para la contraseña no válida y los usuarios no existentes. • https://github.com/pimcore/pimcore/commit/4a7bba5c3f818852cbbd29fa124f7fb09a207185 https://github.com/pimcore/pimcore/compare/v6.2.1...v6.2.2 • CWE-307: Improper Restriction of Excessive Authentication Attempts •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 0CVE-2019-18656
https://notcve.org/view.php?id=CVE-2019-18656
Pimcore 6.2.3 has XSS in the translations grid because bundles/AdminBundle/Resources/public/js/pimcore/settings/translations.js mishandles certain HTML elements. Pimcore versión 6.2.3, presenta una vulnerabilidad de tipo XSS en la cuadrícula de traducciones porque el archivo bundles/AdminBundle/Resources/public/js/pimcore/settings/translations.js maneja inapropiadamente ciertos elementos HTML. • https://github.com/pimcore/pimcore/commit/ca036e9f86bb5cdb3dac0930ec131e5f35e26c5f • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 0CVE-2019-16317
https://notcve.org/view.php?id=CVE-2019-16317
In Pimcore before 5.7.1, an attacker with limited privileges can trigger execution of a .phar file via a phar:// URL in a filename parameter, because PHAR uploads are not blocked and are reachable within the phar://../../../../../../../../var/www/html/web/var/assets/ directory, a different vulnerability than CVE-2019-10867 and CVE-2019-16318. En Pimcore versiones anteriores a 5.7.1, un atacante con privilegios limitados puede activar la ejecución de un archivo .phar por medio de una URL phar:// en un parámetro filename, porque las cargas de PHAR no están bloqueadas y son accesibles dentro del directorio phar://../ ../../../../../../../var/www/html/web/var/assets/, una vulnerabilidad diferente de CVE-2019-10867 y CVE-2019-16318 . • https://github.com/pimcore/pimcore/commit/6ee5d8536d0802e377594cbe39083e822710aab9 https://snyk.io/vuln/SNYK-PHP-PIMCOREPIMCORE-451599 • CWE-502: Deserialization of Untrusted Data •