CVSS: 8.8EPSS: 0%CPEs: 2EXPL: 0CVE-2021-28490
https://notcve.org/view.php?id=CVE-2021-28490
In OWASP CSRFGuard through 3.1.0, CSRF can occur because the CSRF cookie may be retrieved by using only a session token. En OWASP CSRFGuard versiones hasta 3.1.0, un ataque de tipo CSRF puede ocurrir porque la cookie CSRF puede ser recuperada usando sólo un token de sesión. • https://github.com/reidmefirst/vuln-disclosure/blob/main/2021-01.txt https://owasp.org/www-project-csrfguard • CWE-352: Cross-Site Request Forgery (CSRF) •
CVSS: 5.9EPSS: 0%CPEs: 3EXPL: 0CVE-2010-3300
https://notcve.org/view.php?id=CVE-2010-3300
It was found that all OWASP ESAPI for Java up to version 2.0 RC2 are vulnerable to padding oracle attacks. Se ha detectado que todos los OWASP ESAPI para Java hasta versión 2.0 RC2, son vulnerables a ataques de tipo padding oracle • https://seclists.org/oss-sec/2010/q3/357 https://www.usenix.org/legacy/events/woot10/tech/full_papers/Rizzo.pdf • CWE-649: Reliance on Obfuscation or Encryption of Security-Relevant Inputs without Integrity Checking •
CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 0CVE-2021-23900
https://notcve.org/view.php?id=CVE-2021-23900
OWASP json-sanitizer before 1.2.2 can output invalid JSON or throw an undeclared exception for crafted input. This may lead to denial of service if the application is not prepared to handle these situations. OWASP json-sanitizer versiones anteriores a 1.2.2, puede generar JSON no válido o lanzar una excepción no declarada para una entrada diseñada. Esto puede conllevar a una denegación del servicio si la aplicación no está preparada para manejar estas situaciones. • https://github.com/OWASP/json-sanitizer/commit/a37f594f7378a1c76b3283e0dab9e1ab1dc0247e https://github.com/OWASP/json-sanitizer/compare/v1.2.1...v1.2.2 https://groups.google.com/g/json-sanitizer-support/c/dAW1AeNMoA0 •
CVSS: 9.8EPSS: 0%CPEs: 1EXPL: 0CVE-2021-23899
https://notcve.org/view.php?id=CVE-2021-23899
OWASP json-sanitizer before 1.2.2 may emit closing SCRIPT tags and CDATA section delimiters for crafted input. This allows an attacker to inject arbitrary HTML or XML into embedding documents. OWASP json-sanitizer versiones anteriores a 1.2.2, puede emitir etiquetas SCRIPT de cierre y delimitadores de sección CDATA para una entrada diseñada. Esto permite a un atacante inyectar HTML o XML arbitrario en documentos insertados • https://github.com/OWASP/json-sanitizer/commit/a37f594f7378a1c76b3283e0dab9e1ab1dc0247e https://github.com/OWASP/json-sanitizer/compare/v1.2.1...v1.2.2 https://groups.google.com/g/json-sanitizer-support/c/dAW1AeNMoA0 • CWE-611: Improper Restriction of XML External Entity Reference •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 1CVE-2020-13973
https://notcve.org/view.php?id=CVE-2020-13973
OWASP json-sanitizer before 1.2.1 allows XSS. An attacker who controls a substring of the input JSON, and controls another substring adjacent to a SCRIPT element in which the output is embedded as JavaScript, may be able to confuse the HTML parser as to where the SCRIPT element ends, and cause non-script content to be interpreted as JavaScript. OWASP json-sanitizer versiones anteriores a 1.2.1, permite un ataque de tipo XSS. Un atacante que controla una subcadena de la entrada JSON y controla otra subcadena adyacente a un elemento SCRIPT en el que la salida es insertada como JavaScript, puede confundir el analizador HTML en cuanto a dónde termina el elemento SCRIPT y causar un contenido no script para ser interpretado como JavaScript • https://github.com/OWASP/json-sanitizer/pull/20 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •