Múltiples vulnerabilidades en Ocsreports de OCS Inventory NG

Se ha coor­di­na­do la di­vul­ga­ción de cinco fa­llos de se­gu­ri­dad que im­pac­tan a Ocs­re­ports, una pla­ta­for­ma de có­di­go abier­to orien­ta­da a la ad­mi­nis­tra­ción e in­ven­to­ría de ele­men­tos de hard­wa­re y soft­wa­re en en­tor­nos in­for­má­ti­cos. Del total de los fa­llos en­con­tra­dos, uno posee un nivel crí­ti­co y los cua­tro res­tan­tes se ca­ta­lo­gan con una se­ve­ri­dad alta, ha­bien­do sido lo­ca­li­za­dos por un in­ves­ti­ga­dor es­pe­cí­fi­co.

Las fa­llas com­pren­den un pro­ble­ma de su­bi­da de ar­chi­vos sin res­tric­cio­nes en la he­rra­mien­ta CSV para ad­mi­nis­tra­do­res, un fallo de Cross-Site Scrip­ting (XSS) al­ma­ce­na­do en la sec­ción de plan­ti­llas de avi­sos, dos vul­ne­ra­bi­li­da­des dis­tin­tas de in­yec­ción SQL vin­cu­la­das a pri­vi­le­gios de ope­ra­dor en di­fe­ren­tes pun­tos de ac­ce­so, y un pro­ble­ma de fal­si­fi­ca­ción de pe­ti­cio­nes en el ser­vi­dor (SSRF) re­la­cio­na­do con la ac­ti­va­ción de fun­cio­nes de des­plie­gue.

Para so­lu­cio­nar estos pro­ble­mas de se­gu­ri­dad, los de­sa­rro­lla­do­res de la he­rra­mien­ta han lan­za­do una nueva ver­sión que co­rri­ge todos los fa­llos re­por­ta­dos.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre las con­se­cuen­cias adi­cio­na­les de estas vul­ne­ra­bi­li­da­des ni sobre otros com­po­nen­tes afec­ta­dos más allá de lo men­cio­na­do.