Alertas de Seguridad de la Información

Se ha identificado una vulnerabilidad de Server-Side Request Forgery (SSRF) en ChatGPTNextWeb NextChat versiones hasta 2.16.1, ubicada en la función proxyHandler del componente Proxy Fallback Handler (app/api/proxy.ts). Un atacante remoto puede manipular el argumento x-base-url para ejecutar solicitudes HTTP arbitrarias desde el servidor afectado, potencialmente comprometiendo datos internos, accediendo a servicios de red privados o saltando controles de seguridad perimetral. La explotación es remota y código de prueba ya está disponible públicamente.

The alexpechkarev/google-maps Laravel package through 12.16 disables TLS certificate verification by default because the bundled config sets ssl_verify_peer to FALSE, which is passed to CURLOPT_SSL_VERIFYPEER. On-path attackers can present any certificate to intercept Google Maps web-service requests, steal the API key from the query string, and tamper with responses.

A vulnerability was identified in SciPhi-AI R2R up to 3.6.6. This vulnerability affects unknown code of the file py/shared/abstractions/llm.py of the component Retrieval Completion API Endpoint. Such manipulation of the argument generation_config.api_base leads to server-side request forgery. The attack can be launched remotely. The exploit is publicly available and might be used. The vendor was c…

OpenAM versiones anteriores a 16.1.3 contiene una vulnerabilidad que permite a atacantes remotos instanciar clases arbitrarias sin autenticación mediante la interfaz legacy JAX-RPC SOAP. Un atacante puede enviar solicitudes SOAP a /jaxrpc/* con un identificador de sesión no verificado para ejecutar código, causar negación de servicio o mapear el classpath del servidor. Esta vulnerabilidad afecta principalmente a empresas en LATAM que utilizan OpenAM para gestión de identidades en infraestructuras heredadas.