CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 2CVE-2017-18179
https://notcve.org/view.php?id=CVE-2017-18179
12 Feb 2018 — Progress Sitefinity 9.1 uses wrap_access_token as a non-expiring authentication token that remains valid after a password change or a session termination. Also, it is transmitted as a GET parameter. This is fixed in 10.1. Progress Sitefinity 9.1 emplea wrap_access_token como token de autenticación sin caducidad que sigue siendo válido tras un cambio de contraseña o una finalización de sesión. Además, se transmite como parámetro GET. • https://packetstormsecurity.com/files/143894/Progress-Sitefinity-9.1-XSS-Session-Management-Open-Redirect.html • CWE-287: Improper Authentication •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 2CVE-2017-18178
https://notcve.org/view.php?id=CVE-2017-18178
12 Feb 2018 — Authenticate/SWT in Progress Sitefinity 9.1 has an open redirect issue in which an authentication token is sent to the redirection target, if the target is specified using a certain %40 syntax. This is fixed in 10.1. Authenticate/SWT en Progress Sitefinity 9.1 tiene un problema de redirección abierta en el que un token de autenticación se envía al destinatario de la redirección, siempre y cuando el objetivo se especifique empleando una sintaxis %40 en concreto. Esto se ha solucionado en la versión 10.1. • https://packetstormsecurity.com/files/143894/Progress-Sitefinity-9.1-XSS-Session-Management-Open-Redirect.html • CWE-601: URL Redirection to Untrusted Site ('Open Redirect') •
CVSS: 9.8EPSS: 0%CPEs: 20EXPL: 0CVE-2017-15883
https://notcve.org/view.php?id=CVE-2017-15883
08 Jan 2018 — Sitefinity 5.1, 5.2, 5.3, 5.4, 6.x, 7.x, 8.x, 9.x, and 10.x allow remote attackers to bypass authentication and consequently cause a denial of service on load balanced sites or gain privileges via vectors related to weak cryptography. Sitefinity 5.1, 5.2, 5.3, 5.4, 6.x, 7.x, 8.x, 9.x y 10.x permite que los atacantes remotos omitan la autenticación y que provoquen una denegación de servicio (DoS) en consecuencia en las páginas con carga balanceada o obtengan privilegios mediante vectores relacionados con una... • https://knowledgebase.progress.com/articles/Article/Sitefinity-Security-Advisory-for-cryptographic-vulnerability-CVE-2017-15883 • CWE-287: Improper Authentication •
CVSS: 9.8EPSS: 88%CPEs: 2EXPL: 8CVE-2017-9248 – Progress Telerik UI for ASP.NET AJAX and Sitefinity Cryptographic Weakness Vulnerability
https://notcve.org/view.php?id=CVE-2017-9248
03 Jul 2017 — Telerik.Web.UI.dll in Progress Telerik UI for ASP.NET AJAX before R2 2017 SP1 and Sitefinity before 10.0.6412.0 does not properly protect Telerik.Web.UI.DialogParametersEncryptionKey or the MachineKey, which makes it easier for remote attackers to defeat cryptographic protection mechanisms, leading to a MachineKey leak, arbitrary file uploads or downloads, XSS, or ASP.NET ViewState compromise. La biblioteca Telerik.Web.UI.dll en la Interfaz de Usuario de Progress Telerik para ASP.NET AJAX anterior a la vers... • https://www.exploit-db.com/exploits/43873 • CWE-522: Insufficiently Protected Credentials •
CVSS: 6.1EPSS: 5%CPEs: 2EXPL: 0CVE-2017-9140
https://notcve.org/view.php?id=CVE-2017-9140
22 May 2017 — Cross-site scripting (XSS) vulnerability in Telerik.ReportViewer.WebForms.dll in Telerik Reporting for ASP.NET WebForms Report Viewer control before R1 2017 SP2 (11.0.17.406) allows remote attackers to inject arbitrary web script or HTML via the bgColor parameter to Telerik.ReportViewer.axd. Fue encontrada una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el archivo Telerik.ReportViewer.WebForms.dll en Telerik Reporting para el control Report Viewer de ASP.NET WebForms anterior a R1 2017 SP2 versión ... • http://www.telerik.com/support/whats-new/reporting/release-history/telerik-reporting-r1-2017-sp2-%28version-11-0-17-406%29 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •