CVSS: 5.3EPSS: 0%CPEs: 2EXPL: 1CVE-2022-23342
https://notcve.org/view.php?id=CVE-2022-23342
The Hyland Onbase Application Server releases prior to 20.3.58.1000 and OnBase releases 21.1.1.1000 through 21.1.15.1000 are vulnerable to a username enumeration vulnerability. An attacker can obtain valid users based on the response returned for invalid and valid users by sending a POST login request to the /mobilebroker/ServiceToBroker.svc/Json/Connect endpoint. This can lead to user enumeration against the underlying Active Directory integrated systems. Hyland Onbase Application Server versiones anteriores a 20.3.58.1000 y OnBase versiones 21.1.1.1000 hasta 21.1.15.1000, son susceptibles a una vulnerabilidad de enumeración de nombres de usuario. Un atacante puede obtener usuarios válidos basándose en la respuesta devuelta para usuarios no válidos y válidos mediante el envío de una petición POST de inicio de sesión al endpoint /mobilebroker/ServiceToBroker.svc/Json/Connect. • https://github.com/InitRoot/CVE-2022-23342 https://community.hyland.com/login?returnUrl=/connect/hyland-research-and-development/security-advisories/username-enumeration-in-onbase •
CVSS: 7.5EPSS: 0%CPEs: 5EXPL: 0CVE-2020-25248
https://notcve.org/view.php?id=CVE-2020-25248
An issue was discovered in Hyland OnBase through 16.0.2.83 and below, 17.0.2.109 and below, 18.0.0.37 and below, 19.8.16.1000 and below and 20.3.10.1000 and below. Directory traversal exists for reading files, as demonstrated by the FileName parameter. Se detectó un problema en Hyland OnBase hasta la versión 16.0.2.83 e inferior, versión 17.0.2.109 e inferior, versión 18.0.0.37 e inferior, versión 19.8.16.1000 e inferior y versión 20.3.10.1000 e inferior. Existe un recorrido de directorios para la lectura de archivos, como lo demuestra el parámetro FileName • http://seclists.org/fulldisclosure/2020/Oct/9 https://seclists.org/fulldisclosure/2020/Oct/9 https://seclists.org/fulldisclosure/2020/Sep/21 • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') •
CVSS: 5.3EPSS: 0%CPEs: 5EXPL: 0CVE-2020-25249
https://notcve.org/view.php?id=CVE-2020-25249
An issue was discovered in Hyland OnBase 16.0.2.83 and below, 17.0.2.109 and below, 18.0.0.37 and below, 19.8.16.1000 and below and 20.3.10.1000 and below. The server typically logs activity only when a client application specifies that logging is desired. This can be problematic for use cases in a regulated industry, where server-side logging is required in additional situations. Se detectó un problema en Hyland OnBase versión 16.0.2.83 e inferior, versión 17.0.2.109 e inferior, versión 18.0.0.37 e inferior, versión 19.8.16.1000 e inferior y versión 20.3.10.1000 e inferior. El servidor normalmente registra la actividad sólo cuando una aplicación cliente especifica que se desea registrar. • https://seclists.org/fulldisclosure/2020/Sep/8 •
CVSS: 7.5EPSS: 0%CPEs: 5EXPL: 0CVE-2020-25250
https://notcve.org/view.php?id=CVE-2020-25250
An issue was discovered in Hyland OnBase 16.0.2.83 and below, 17.0.2.109 and below, 18.0.0.37 and below, 19.8.16.1000 and below and 20.3.10.1000 and below. Client applications can write arbitrary data to the server logs. Se detectó un problema en Hyland OnBase versión 16.0.2.83 e inferior, versión 17.0.2.109 e inferior, versión 18.0.0.37 e inferior, versión 19.8.16.1000 e inferior y versión 20.3.10.1000 e inferior. Las aplicaciones cliente pueden escribir datos arbitrarios en los registros del servidor • https://seclists.org/fulldisclosure/2020/Sep/8 •
CVSS: 9.1EPSS: 0%CPEs: 5EXPL: 0CVE-2020-25251
https://notcve.org/view.php?id=CVE-2020-25251
An issue was discovered in Hyland OnBase 16.0.2.83 and below, 17.0.2.109 and below, 18.0.0.37 and below, 19.8.16.1000 and below and 20.3.10.1000 and below. Client-side authentication is used for critical functions such as adding users or retrieving sensitive information. Se detectó un problema en Hyland OnBase versión 16.0.2.83 e inferior, versión 17.0.2.109 e inferior, versión 18.0.0.37 e inferior, versión 19.8.16.1000 e inferior y versión 20.3.10.1000 e inferior. La autenticación del lado del cliente se utiliza para funciones críticas como la adición de usuarios o la recuperación de información sensible • https://seclists.org/fulldisclosure/2020/Sep/16 • CWE-287: Improper Authentication •