CVSS: 8.8EPSS: 0%CPEs: 4EXPL: 0CVE-2019-11292 – Pivotal Ops Manager logs query parameters in tomcat access file
https://notcve.org/view.php?id=CVE-2019-11292
Pivotal Ops Manager, versions 2.4.x prior to 2.4.27, 2.5.x prior to 2.5.24, 2.6.x prior to 2.6.16, and 2.7.x prior to 2.7.5, logs all query parameters to tomcat’s access file. If the query parameters are used to provide authentication, ie. credentials, then they will be logged as well. Pivotal Ops Manager, versiones 2.4.x anteriores a la versión 2.4.27, 2.5.x anteriores a la versión 2.5.24, 2.6.x anteriores a la versión 2.6.16 y 2.7.x anteriores a la versión 2.7.5, registra todos los parámetros de consulta en tomcatâ € ™ s archivo de acceso. Si los parámetros de consulta se utilizan para proporcionar autenticación, es decir. credenciales, luego se registrarán también. • https://pivotal.io/security/cve-2019-11292 • CWE-532: Insertion of Sensitive Information into Log File •
CVSS: 7.5EPSS: 0%CPEs: 9EXPL: 0CVE-2019-11270 – UAA clients.write vulnerability
https://notcve.org/view.php?id=CVE-2019-11270
Cloud Foundry UAA versions prior to v73.4.0 contain a vulnerability where a malicious client possessing the 'clients.write' authority or scope can bypass the restrictions imposed on clients created via 'clients.write' and create clients with arbitrary scopes that the creator does not possess. Cloud Foundry UAA versiones anteriores a v73.4.0, contienen una vulnerabilidad en la que un cliente malicioso bajo posesión de la autoridad o el alcance "clients.write" puede omitir las restricciones impuestas a los clientes creados por medio de "clients.write" y crear clientes con alcances arbitrarios que no poseen. • https://pivotal.io/security/cve-2019-11270 https://www.cloudfoundry.org/blog/cve-2019-11270 • CWE-269: Improper Privilege Management CWE-732: Incorrect Permission Assignment for Critical Resource •
CVSS: 6.1EPSS: 0%CPEs: 4EXPL: 0CVE-2019-3790 – Ops Manager uaa client issues tokens after refresh token expiration
https://notcve.org/view.php?id=CVE-2019-3790
The Pivotal Ops Manager, 2.2.x versions prior to 2.2.23, 2.3.x versions prior to 2.3.16, 2.4.x versions prior to 2.4.11, and 2.5.x versions prior to 2.5.3, contain configuration that circumvents refresh token expiration. A remote authenticated user can gain access to a browser session that was supposed to have expired, and access Ops Manager resources. El Pivotal Ops Manager, versiones 2.2.x anteriores a 2.2.23, 2.3.x versiones anteriores a 2.3.16, 2.4.x versiones anteriores a 2.4.11, y 2.5.x versiones anteriores a 2.5.3, contienen configuraciones que eluden actualizar el vencimiento del token. Un usuario identificado de forma remota puede obtener acceso a una sesión del navegador que supuestamente ha caducado y acceder a los recursos de Ops Manager. • http://www.securityfocus.com/bid/108512 https://pivotal.io/security/cve-2019-3790 • CWE-324: Use of a Key Past its Expiration Date CWE-613: Insufficient Session Expiration •
CVSS: 7.2EPSS: 0%CPEs: 4EXPL: 0CVE-2019-3776 – Reflected XSS in Pivotal Operations Manager
https://notcve.org/view.php?id=CVE-2019-3776
Pivotal Operations Manager, 2.1.x versions prior to 2.1.20, 2.2.x versions prior to 2.2.16, 2.3.x versions prior to 2.3.10, 2.4.x versions prior to 2.4.3, contains a reflected cross site scripting vulnerability. A remote user that is able to convince an Operations Manager user to interact with malicious content could execute arbitrary JavaScript in the user's browser. Pivotal Operations Manager, en las versiones 2.1.x anteriores a la 2.1.20, en las 2.2.x anteriores a la 2.2.16, en las 2.3.x anteriores a la 2.3.10 y en las 2.4.x anteriores a la 2.4.3, contiene una vulnerabilidad de Cross-Site Scripting (XSS) reflejado. Un usuario que fuera capaz de convencer a un usuario de Operations Manager para que interactuase con el contenido malicioso podría ejecutar código JavaScript arbitrario en el navegador del usuario. • http://www.securityfocus.com/bid/107344 https://pivotal.io/security/cve-2019-3776 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 5.4EPSS: 0%CPEs: 3EXPL: 0CVE-2016-4380
https://notcve.org/view.php?id=CVE-2016-4380
Cross-site scripting (XSS) vulnerability in the AdminUI in HPE Operations Manager 9.21.x before 9.21.130 allows remote authenticated users to inject arbitrary web script or HTML via unspecified vectors. Vulnerabilidad de XSS en el AdminUI en HPE Operations Manager 9.21.x en versiones anteriores a 9.21.130 permite a usuarios remotos autenticados inyectar secuencias de comandos web o HTML arbitrarios a través de vectores no especificados. • http://www.securityfocus.com/bid/92698 http://www.securitytracker.com/id/1036716 https://h20566.www2.hpe.com/portal/site/hpsc/public/kb/docDisplay?docId=emr_na-c05249833 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •