Spyridon Chatzimichail

**Name of the Vulnerable Software and Affected Versions** Oracle Communications Order and Service Management versions 7.4.0 through 7.4.1 **Description** The issue is related to insufficient input validation in the User Management component of Oracle Communications Order and Service Management, allowing a remote attacker with low privileges and network access via HTTP to compromise the system. Successful attacks can result in unauthorized read access to a subset of accessible data. **Recommendations** For versions 7.4.0 and 7.4.1, update to a version that includes the fix for this issue to prevent unauthorized access. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Nome do software vulnerável e versões afetadas** Oracle Hyperion Financial Management versão 11.1.2.4 **Descrição** A vulnerabilidade existe devido à validação insuficiente de entradas no componente Task Automation do Oracle Hyperion Financial Management. Isso permite que um invasor remoto leia dados, modifique dados, cause uma negação parcial de serviço ou obtenha acesso privilegiado por meio de solicitações HTTP. Ataques bem-sucedidos requerem interação humana de uma pessoa que não seja o invasor e podem resultar em acesso não autorizado a alguns dos dados do aplicativo. **Recomendações** Para a versão 11.1.2.4, considere restringir o acesso ao componente Task Automation até que um patch esteja disponível. Como solução alternativa temporária, limite o uso de solicitações HTTP para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Oracle Hyperion Planning versão 11.1.2.4 **Descrição** O problema está relacionado à validação insuficiente de entradas no componente Application Development Framework. Isso permite que um invasor com privilégios elevados e acesso à rede via HTTP comprometa o Hyperion Planning; no entanto, para que os ataques sejam bem-sucedidos, é necessária a interação humana de uma pessoa que não seja o próprio invasor. Isso pode resultar em acesso não autorizado para criação, exclusão ou modificação de dados críticos ou de todos os dados acessíveis no Hyperion Planning. **Recomendações** Para a versão 11.1.2.4, no momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do Moodle anteriores à 3.9.1 Versões do Moodle anteriores à 3.8.4 Versões do Moodle anteriores à 3.7.7 **Descrição** O problema está relacionado a um risco de XSS refletido no filtro de registro de tarefas do administrador. Isso indica a possibilidade de execução de scripts maliciosos devido à sanitização insuficiente das entradas do usuário. **Recomendações** Para versões anteriores à 3.9.1, atualize para a versão 3.9.1 ou posterior. Para versões anteriores à 3.8.4, atualize para a versão 3.8.4 ou posterior. Para versões anteriores à 3.7.7, atualize para a versão 3.7.7 ou posterior.

**Nome do software vulnerável e versões afetadas: Versões da Oracle Commerce Platform anteriores à 11.3.1 Descrição: O problema está relacionado à validação insuficiente de entradas no componente Dynamo Application Framework da Oracle Commerce Platform. Isso permite que um invasor não autenticado com acesso à rede via HTTP comprometa a plataforma. Ataques bem-sucedidos exigem interação humana de uma pessoa que não seja o invasor e podem impactar significativamente outros produtos. A exploração pode resultar em acesso não autorizado para atualizar, inserir ou excluir alguns dos dados acessíveis da Oracle Commerce Platform. Recomendações: Para versões anteriores à 11.3.1, atualize para a versão 11.3.1 ou posterior para resolver o problema. No momento, não há informações sobre medidas de mitigação adicionais para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas: Versões da Oracle Commerce Platform anteriores à 11.3.1 Oracle Commerce Platform versão 11.1 Oracle Commerce Platform versão 11.2 Descrição: O problema está relacionado à validação insuficiente de entradas no componente Dynamo Application Framework da Oracle Commerce Platform. Isso permite que um invasor remoto com privilégios elevados e acesso à rede via HTTP comprometa a plataforma. Ataques bem-sucedidos exigem interação humana de uma pessoa que não seja o invasor e podem resultar em acesso não autorizado para atualização, inserção ou exclusão de alguns dos dados acessíveis da plataforma, bem como acesso de leitura não autorizado a um subconjunto dos dados acessíveis da plataforma. Recomendações: Para versões da Oracle Commerce Platform anteriores à 11.3.1, atualize para a versão 11.3.1 ou posterior para resolver o problema. Para a versão 11.1 da Oracle Commerce Platform, atualize para a versão 11.3.1 ou posterior para resolver o problema. Para a versão 11.2 da Oracle Commerce Platform, atualize para a versão 11.3.1 ou posterior para resolver o problema.

**Nome do software vulnerável e versões afetadas** Oracle MySQL Server versões 8.0.20 e anteriores **Descrição** O problema está relacionado a um controle de acesso inadequado no componente Server: Options do Oracle MySQL Server. Isso permite que um invasor com privilégios elevados e acesso à rede por meio de vários protocolos comprometa o MySQL Server. Ataques bem-sucedidos podem resultar na capacidade não autorizada de causar um travamento ou falha repetitiva (Negação de Serviço completa) do MySQL Server. **Recomendações** Para as versões 8.0.20 e anteriores, atualize para uma versão posterior à 8.0.20 para resolver o problema. No momento, não há informações sobre medidas de mitigação adicionais para esta vulnerabilidade específica.

**Nome do software vulnerável e versões afetadas** Oracle MySQL Server versões 8.0.20 e anteriores **Descrição** O problema está relacionado ao componente InnoDB do Oracle MySQL Server e está associado a um controle de acesso inadequado. Ele permite que um invasor com privilégios elevados e acesso à rede por meio de vários protocolos comprometa o MySQL Server. Ataques bem-sucedidos podem resultar em acesso não autorizado para atualizar, inserir ou excluir alguns dos dados acessíveis do MySQL Server. A vulnerabilidade também pode causar um travamento ou falhas repetidas do MySQL Server. **Recomendações** Para as versões 8.0.20 e anteriores, atualize para uma versão posterior à 8.0.20 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao componente InnoDB para minimizar o risco de exploração. Restrinja o acesso de rede ao MySQL Server para reduzir a superfície de ataque.

Name of the Vulnerable Software and Affected Versions: IBM MobileFirst Platform Foundation versions 6.3 through 8.0 Description: The issue allows users to embed arbitrary JavaScript code in the Web UI, altering the intended functionality and potentially leading to credentials disclosure within a trusted session due to cross-site scripting. Recommendations: For versions 6.3 through 8.0, update to a version that includes the fix for this issue to prevent cross-site scripting attacks.

**Name of the Vulnerable Software and Affected Versions** IBM Tealeaf Customer Experience versions 8.0 through 9.0.2 **Description** The issue allows remote attackers to bypass authentication via unspecified vectors in the search and replay servers. **Recommendations** For versions 8.0 through 9.0.2, update to a version that contains a fix for this issue to prevent authentication bypass.

**Name of the Vulnerable Software and Affected Versions** OpenJPEG version 2.1.1 **Description** A buffer overflow in the jpeg2000 image file format parser as implemented in the OpenJpeg library causes arbitrary code execution when parsing a crafted image. A specially crafted jpeg2000 file can cause an out of bound heap write resulting in heap corruption leading to arbitrary code execution. The attack requires the target user to open a malicious jpeg2000 file. The jpeg2000 image file format is mostly used for embedding images inside PDF documents, and the OpenJpeg library is used by a number of popular PDF renderers, making PDF documents a likely attack vector. **Recommendations** For OpenJPEG version 2.1.1, consider avoiding the use of the jpeg2000 image file format until a patch is available, and restrict access to PDF documents that may contain malicious jpeg2000 files to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** IBM Tealeaf Customer Experience versions prior to 8.7.1.8818 IBM Tealeaf Customer Experience versions prior to 8.8.0.9026 IBM Tealeaf Customer Experience version 9.0.0 IBM Tealeaf Customer Experience version 9.0.0A IBM Tealeaf Customer Experience versions prior to 9.0.1.1083 IBM Tealeaf Customer Experience versions prior to 9.0.1.5073 IBM Tealeaf Customer Experience versions prior to 9.0.2.1095 IBM Tealeaf Customer Experience versions prior to 9.0.2.5144 **Description** A directory traversal issue in the replay server of IBM Tealeaf Customer Experience allows remote attackers to read arbitrary files. The attack vector is not specified. **Recommendations** For versions prior to 8.7.1.8818, update to version 8.7.1.8818 or later. For versions prior to 8.8.0.9026, update to version 8.8.0.9026 or later. For version 9.0.0, update to a later version. For version 9.0.0A, update to a later version. For versions prior to 9.0.1.1083, update to version 9.0.1.1083 or later. For versions prior to 9.0.1.5073, update to version 9.0.1.5073 or later. For versions prior to 9.0.2.1095, update to version 9.0.2.1095 or later. For versions prior to 9.0.2.5144, update to version 9.0.2.5144 or later.

**Name of the Vulnerable Software and Affected Versions** IBM Tealeaf Customer Experience versions prior to 8.7.1.8818 IBM Tealeaf Customer Experience versions 8.8 prior to 8.8.0.9026 IBM Tealeaf Customer Experience version 9.0.0 IBM Tealeaf Customer Experience version 9.0.0A IBM Tealeaf Customer Experience versions 9.0.1 prior to 9.0.1.1083 IBM Tealeaf Customer Experience versions 9.0.1A prior to 9.0.1.5073 IBM Tealeaf Customer Experience versions 9.0.2 prior to 9.0.2.1095 IBM Tealeaf Customer Experience versions 9.0.2A prior to 9.0.2.5144 **Description** The issue allows local users to discover credentials by leveraging privileges during an unspecified connection type. **Recommendations** For versions prior to 8.7.1.8818, update to version 8.7.1.8818 or later. For versions 8.8 prior to 8.8.0.9026, update to version 8.8.0.9026 or later. For version 9.0.0, update to a newer version. For version 9.0.0A, update to a newer version. For versions 9.0.1 prior to 9.0.1.1083, update to version 9.0.1.1083 or later. For versions 9.0.1A prior to 9.0.1.5073, update to version 9.0.1.5073 or later. For versions 9.0.2 prior to 9.0.2.1095, update to version 9.0.2.1095 or later. For versions 9.0.2A prior to 9.0.2.5144, update to version 9.0.2.5144 or later.

**Name of the Vulnerable Software and Affected Versions** IBM Tealeaf Customer Experience versions prior to 8.7.1.8814 IBM Tealeaf Customer Experience versions prior to 8.8.0.9026 IBM Tealeaf Customer Experience version 9.0.0 IBM Tealeaf Customer Experience version 9.0.0A IBM Tealeaf Customer Experience versions prior to 9.0.1.1083 IBM Tealeaf Customer Experience versions prior to 9.0.1.5073 IBM Tealeaf Customer Experience versions prior to 9.0.2.1095 IBM Tealeaf Customer Experience versions prior to 9.0.2.5144 **Description** The issue allows remote attackers to read arbitrary charts by specifying an internal chart name. **Recommendations** For versions prior to 8.7.1.8814, update to version 8.7.1.8814 or later. For versions prior to 8.8.0.9026, update to version 8.8.0.9026 or later. For version 9.0.0, update to a later version. For version 9.0.0A, update to a later version. For versions prior to 9.0.1.1083, update to version 9.0.1.1083 or later. For versions prior to 9.0.1.5073, update to version 9.0.1.5073 or later. For versions prior to 9.0.2.1095, update to version 9.0.2.1095 or later. For versions prior to 9.0.2.5144, update to version 9.0.2.5144 or later.