CVSS: 5.0EPSS: 0%CPEs: 181EXPL: 0CVE-2012-4747
https://notcve.org/view.php?id=CVE-2012-4747
Bugzilla 2.x and 3.x through 3.6.11, 3.7.x and 4.0.x before 4.0.8, 4.1.x and 4.2.x before 4.2.3, and 4.3.x before 4.3.3 stores potentially sensitive information under the web root with insufficient access control, which allows remote attackers to read (1) template (aka .tmpl) files, (2) other custom extension files under extensions/, or (3) custom documentation files under docs/ via a direct request. Bugzilla 2.x y 3.x a través de 3.6.11, 3.7.x y 4.0.x anterior a 4.0.8, 4.1.x y 4.2.x anterior a 4.2.3, y 4.3.x anterior a 4.3.3 almacena la información potencialmente sensible en la raíz web con control de acceso insuficientes, lo que permite a atacantes remotos leer (1) plantilla (aka. tmpl) archivos, (2) otros archivos de extensión personalizados bajo extensions / o (3) archivos de documentación personalizados en docs/ a través de una petición directa . • http://www.bugzilla.org/security/3.6.10 https://bugzilla.mozilla.org/show_bug.cgi?id=785511 https://bugzilla.mozilla.org/show_bug.cgi?id=785522 • CWE-264: Permissions, Privileges, and Access Controls •
CVSS: 5.0EPSS: 1%CPEs: 168EXPL: 0CVE-2012-3981
https://notcve.org/view.php?id=CVE-2012-3981
Auth/Verify/LDAP.pm in Bugzilla 2.x and 3.x before 3.6.11, 3.7.x and 4.0.x before 4.0.8, 4.1.x and 4.2.x before 4.2.3, and 4.3.x before 4.3.3 does not restrict the characters in a username, which might allow remote attackers to inject data into an LDAP directory via a crafted login attempt. Auth/Verify/LDAP.pm en Bugzilla 2.x y 3.x anterio a 3.6.11, 3.7.x y 4.0.x anterior a 4.0.8, 4.1.x y 4.2.x anterior a 4.2.3 y 4.3.x anterior a 4.3.3 no restringe los caracteres de un nombre de usuario, lo que podría permitir a atacantes remotos inyectar datos en un directorio LDAP por medio de un intento de acceso diseñado. • http://osvdb.org/85072 http://www.bugzilla.org/security/3.6.10 http://www.mandriva.com/security/advisories?name=MDVSA-2013:066 https://bugzilla.mozilla.org/show_bug.cgi?id=785112 https://bugzilla.mozilla.org/show_bug.cgi?id=785470 https://exchange.xforce.ibmcloud.com/vulnerabilities/78193 • CWE-255: Credentials Management Errors •
CVSS: 4.3EPSS: 0%CPEs: 173EXPL: 0CVE-2012-1969
https://notcve.org/view.php?id=CVE-2012-1969
The get_attachment_link function in Template.pm in Bugzilla 2.x and 3.x before 3.6.10, 3.7.x and 4.0.x before 4.0.7, 4.1.x and 4.2.x before 4.2.2, and 4.3.x before 4.3.2 does not check whether an attachment is private before presenting the attachment description within a public comment, which allows remote attackers to obtain sensitive description information by reading a comment. La función get_attachment_link en Template.pm en Bugzilla v2.x y v3.x anterior a v3.6.10, v3.7.x y v4.0.x anterior a v4.0.7, v4.1.x y v4.2.x anterior a v4.2.2, y v4.3.x anterior v4.3.2 no comprueba si un archivo adjunto es privado antes de presentar la descripción del archivo adjunto en un comentario público, permitiendo a atacantes remotos obtener información sensible mediante la lectura de la descripción de un comentario. • http://secunia.com/advisories/50040 http://www.bugzilla.org/security/3.6.9 http://www.mandriva.com/security/advisories?name=MDVSA-2013:066 https://bugzilla.mozilla.org/show_bug.cgi?id=777586 • CWE-264: Permissions, Privileges, and Access Controls •
CVSS: 4.0EPSS: 0%CPEs: 164EXPL: 0CVE-2012-0466
https://notcve.org/view.php?id=CVE-2012-0466
template/en/default/list/list.js.tmpl in Bugzilla 2.x and 3.x before 3.6.9, 3.7.x and 4.0.x before 4.0.6, and 4.1.x and 4.2.x before 4.2.1 does not properly handle multiple logins, which allows remote attackers to conduct cross-site scripting (XSS) attacks and obtain sensitive bug information via a crafted web page. El fichero template/en/default/list/list.js.tmpl en Bugzilla v2.x y v3.x antes de v3.6.9, v3.7.x y v4.0.x antes de v4.0.6 y v4.1.x y v4.2.x antes de v4.2.1 no trata correctamente los inicios de sesión múltiples, lo que permite ataques de ejecución de comandos en sitios cruzados (XSS) a atacantes remotos y obtener importante información de vulnerabilidades a través de una página web especificamente diseñada para este fin. • http://archives.neohapsis.com/archives/bugtraq/2012-04/0135.html http://lists.fedoraproject.org/pipermail/package-announce/2012-May/079432.html http://lists.fedoraproject.org/pipermail/package-announce/2012-May/079481.html http://lists.fedoraproject.org/pipermail/package-announce/2012-May/079604.html https://bugzilla.mozilla.org/show_bug.cgi?id=745397 • CWE-264: Permissions, Privileges, and Access Controls •
CVSS: 4.0EPSS: 0%CPEs: 163EXPL: 1CVE-2012-0448
https://notcve.org/view.php?id=CVE-2012-0448
Bugzilla 2.x and 3.x before 3.4.14, 3.5.x and 3.6.x before 3.6.8, 3.7.x and 4.0.x before 4.0.4, and 4.1.x and 4.2.x before 4.2rc2 does not reject non-ASCII characters in e-mail addresses of new user accounts, which makes it easier for remote authenticated users to spoof other user accounts by choosing a similar e-mail address. Bugzilla v2.x y v3.x antes de v3.4.14, v3.5.x y v3.6.x antes de v3.6.8, v3.7.x y v4.0.x antes de v4.0.4 y v4.1.x y v4.2.x antes v4.2rc2 no rechazan los caracteres no ASCII en las direcciones de correo electrónico de las nuevas cuentas de usuario, lo que facilita a los usuarios remotos autenticados a la hora de suplantar otras cuentas de usuario al elegir una dirección de correo electrónico similar a la suya. • http://secunia.com/advisories/47814 http://www.bugzilla.org/security/3.4.13 http://www.securityfocus.com/bid/51784 http://www.securitytracker.com/id?1026623 https://bugzilla.mozilla.org/show_bug.cgi?id=714472 https://exchange.xforce.ibmcloud.com/vulnerabilities/72877 • CWE-20: Improper Input Validation •