CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 2CVE-2019-17633
https://notcve.org/view.php?id=CVE-2019-17633
For Eclipse Che versions 6.16 to 7.3.0, with both authentication and TLS disabled, visiting a malicious web site could trigger the start of an arbitrary Che workspace. Che with no authentication and no TLS is not usually deployed on a public network but is often used for local installations (e.g. on personal laptops). In that case, even if the Che API is not exposed externally, some javascript running in the local browser is able to send requests to it. Para Eclipse Che versiones 6.16 hasta 7.3.0, con la autenticación y TLS deshabilitadas, visitar un sitio web malicioso podría activar el inicio de un espacio de trabajo Che arbitrario. El Che sin autenticación y sin TLS generalmente no se implementa en una red pública, pero a menudo es usado para instalaciones locales (por ejemplo, en computadoras portátiles personales). • https://github.com/mgrube/CVE-2019-17633 https://bugs.eclipse.org/bugs/show_bug.cgi?id=551596 • CWE-352: Cross-Site Request Forgery (CSRF) •
CVSS: 6.1EPSS: 0%CPEs: 3EXPL: 0CVE-2019-17632
https://notcve.org/view.php?id=CVE-2019-17632
In Eclipse Jetty versions 9.4.21.v20190926, 9.4.22.v20191022, and 9.4.23.v20191118, the generation of default unhandled Error response content (in text/html and text/json Content-Type) does not escape Exception messages in stacktraces included in error output. En Eclipse Jetty versiones 9.4.21.v20190926, 9.4.22.v20191022 y 9.4.23.v20191118, la generación de contenido de respuesta de Error no controlado predeterminado (en Content-Type text/html y text/json ) no escapa a los mensajes Exception en stacktraces incluidos en la salida de error. • https://bugs.eclipse.org/bugs/show_bug.cgi?id=553443 https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/SAITZ27GKPD2CCNHGT2VBT4VWIBUJJNS https://www.oracle.com/security-alerts/cpuApr2021.html https://www.oracle.com/security-alerts/cpuoct2020.html • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 6.1EPSS: 0%CPEs: 2EXPL: 0CVE-2009-5046
https://notcve.org/view.php?id=CVE-2009-5046
JSP Dump and Session Dump Servlet XSS in jetty before 6.1.22. Una vulnerabilidad de tipo XSS de JSP Dump y Session Dump Servlet en jetty versiones anteriores a la versión 6.1.22. • http://www.ush.it/team/ush/hack-jetty6x7x/jetty-adv.txt https://security-tracker.debian.org/tracker/CVE-2009-5046 https://www.openwall.com/lists/oss-security/2011/01/14/2 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 7.5EPSS: 0%CPEs: 2EXPL: 0CVE-2009-5045
https://notcve.org/view.php?id=CVE-2009-5045
Dump Servlet information leak in jetty before 6.1.22. Un volcado de información del servlet en jetty versiones anteriores a la versión 6.1.22. • http://www.ush.it/team/ush/hack-jetty6x7x/jetty-adv.txt https://security-tracker.debian.org/tracker/CVE-2009-5045 https://www.openwall.com/lists/oss-security/2011/01/14/2 • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor •
CVSS: 8.8EPSS: 0%CPEs: 3EXPL: 1CVE-2019-18213
https://notcve.org/view.php?id=CVE-2019-18213
XML Language Server (aka lsp4xml) before 0.9.1, as used in Red Hat XML Language Support (aka vscode-xml) before 0.9.1 for Visual Studio and other products, allows XXE via a crafted XML document, with resultant SSRF (as well as SMB connection initiation that can lead to NetNTLM challenge/response capture for password cracking). This occurs in extensions/contentmodel/participants/diagnostics/LSPXMLParserConfiguration.java. XML Language Server (también se conoce como lsp4xml) versiones anteriores a 0.9.1, como es usado en Red Hat XML Language Support (también se conoce como vscode-xml) versiones anteriores a 0.9.1, para Visual Studio y otros productos, permite un ataque de tipo XXE por medio de un documento XML diseñado, con un SSRF resultante (así como con el inicio de la conexión SMB lo que puede conllevar a la captura de desafío y respuesta de NetNTLM para descifrar contraseñas). Esto ocurre en el archivo extensions/contentmodel/participants/diagnostics/LSPXMLParserConfiguration.java. • https://github.com/angelozerr/lsp4xml https://github.com/angelozerr/lsp4xml/blob/master/CHANGELOG.md#others https://github.com/angelozerr/lsp4xml/pull/566 https://github.com/redhat-developer/vscode-xml https://marketplace.visualstudio.com/items?itemName=redhat.vscode-xml https://www.shielder.it/blog/dont-open-that-xml-xxe-to-rce-in-xml-plugins-for-vs-code-eclipse-theia • CWE-611: Improper Restriction of XML External Entity Reference •