CVSS: 6.5EPSS: 0%CPEs: 45EXPL: 0CVE-2019-6187
https://notcve.org/view.php?id=CVE-2019-6187
A stored CSV Injection vulnerability was reported in Lenovo XClarity Controller (XCC) that could allow an administrative or other appropriately permissioned user to store malformed data in certain XCC server informational fields, that could result in crafted formulas being stored in an exported CSV file. The crafted formula is not executed on XCC itself and has no effect on the server. Se reportó una vulnerabilidad de inyección CSV almacenada en Lenovo XClarity Controller (XCC) lo que podría permitir a un usuario administrativo u otro usuario con permiso apropiado almacenar datos malformados en determinados campos informativos del servidor de XCC, que podría resultar en que las fórmulas especialmente diseñadas sean almacenadas en un archivo CSV exportado. La fórmula especialmente diseñada no es ejecutada en XCC y no tiene ningún efecto en el servidor. • https://support.lenovo.com/solutions/LEN-29118 • CWE-1236: Improper Neutralization of Formula Elements in a CSV File •
CVSS: 6.5EPSS: 0%CPEs: 8EXPL: 0CVE-2018-9084 – System Management Module Vulnerabilities
https://notcve.org/view.php?id=CVE-2018-9084
In System Management Module (SMM) versions prior to 1.06, if an attacker manages to log in to the device OS, the validation of software updates can be circumvented. En System Management Module (SMM), en versiones anteriores a la 1.06, si un atacante consigue iniciar sesión en el sistema operativo del dispositivo, la validación de las actualizaciones de software puede omitirse. • https://support.lenovo.com/us/en/solutions/LEN-24374 •
CVSS: 8.5EPSS: 0%CPEs: 8EXPL: 0CVE-2018-16089 – System Management Module Vulnerabilities
https://notcve.org/view.php?id=CVE-2018-16089
In System Management Module (SMM) versions prior to 1.06, a field in the header of SMM firmware update images is insufficiently sanitized, allowing post-authentication command injection on the SMM as the root user. En System Management Module (SMM), en versiones anteriores a la 1.06, un campo en la cabecera de las imágenes de actualización del firmware de SMM no está lo suficientemente saneado, lo que permite una inyección de comandos tras la autenticación en el SMM como el usuario root. • https://support.lenovo.com/us/en/solutions/LEN-24374 • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') •
CVSS: 6.1EPSS: 0%CPEs: 8EXPL: 0CVE-2018-16096 – System Management Module Vulnerabilities
https://notcve.org/view.php?id=CVE-2018-16096
In System Management Module (SMM) versions prior to 1.06, the SMM web interface for changing Enclosure VPD fails to sufficiently sanitize all input for HTML tags, possibly opening a path for cross-site scripting. En System Management Module (SMM), en versiones anteriores a la 1.06, la interfaz web de SMM para cambiar Enclosure VPD falla a la hora de sanear suficientemente todas las entradas para las etiquetas HTML, lo que podría abrir una ruta para Cross-Site Scripting (XSS). • https://support.lenovo.com/us/en/solutions/LEN-24374 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 5.9EPSS: 0%CPEs: 8EXPL: 0CVE-2018-16095 – System Management Module Vulnerabilities
https://notcve.org/view.php?id=CVE-2018-16095
In System Management Module (SMM) versions prior to 1.06, the SMM records hashed passwords to a debug log when user authentication fails. En System Management Module (SMM), en versiones anteriores a la 1.06, los registros de SMM hasheaban contraseñas a un registro de depuración cuando la autenticación de usuario fracasa. • https://support.lenovo.com/us/en/solutions/LEN-24374 • CWE-532: Insertion of Sensitive Information into Log File •