Vulnerabilidades

Vulnerabilidad de ejecución remota de código por inyección de comandos del sistema operativo en la API en Productos Progress ADC permite a un atacante no autenticado ejecutar comandos arbitrarios en el dispositivo LoadMaster explotando la entrada no saneada en múltiples puntos finales de comando.

Una vulnerabilidad en Cisco Unified Communications Manager (Unified CM) y Cisco Unified Communications Manager Session Management Edition (Unified CM SME) podría permitir a un atacante remoto no autenticado realizar ataques de falsificación de petición del lado del servidor (SSRF) a través de un dispositivo afectado.…

Se ha encontrado una vulnerabilidad en el Sistema de Gestión de Visitantes 1.0 de code-projects. Afectada por este problema es alguna funcionalidad desconocida del archivo /vms/PHP/phone_0.php. Esta manipulación del argumento phone causa inyección SQL. El ataque puede ser iniciado remotamente. El exploit ha sido…

Se detectó una vulnerabilidad en code-projects Student Details Management System 1.0. Esto afecta una función desconocida del archivo /index.php. Realizar una manipulación del argumento roll resulta en inyección SQL. El ataque es posible de llevar a cabo de forma remota. El exploit ahora es público y puede ser…

NGINX Plus y NGINX Open Source tienen una vulnerabilidad en el módulo ngx_http_rewrite_module. Esta vulnerabilidad existe cuando una directiva de reescritura utiliza un patrón de expresión regular (regex) con capturas de expresiones regulares compatibles con Perl (PCRE) distintas y superpuestas (por ejemplo,…

Una vulnerabilidad en la interfaz web de Cisco Catalyst SD-WAN Manager, anteriormente denominado SD-WAN vManage, podría permitir que un atacante remoto no autenticado lea archivos arbitrarios almacenados en un sistema afectado. El atacante no necesita disponer de credenciales de usuario válidas. Esta vulnerabilidad se…

Mayo de 2026: Este aviso de seguridad proporciona los detalles e información de corrección de una vulnerabilidad que fue descubierta y corregida después de que se hiciera pública la de febrero de 2026. Este nuevo aviso corresponde a una nueva vulnerabilidad en el protocolo de enlace (handshake) de la conexión de…

NGINX Plus y NGINX Open Source presentan una vulnerabilidad en el módulo ngx_http_rewrite_module. Esta vulnerabilidad se produce cuando la directiva rewrite va seguida de una directiva rewrite, if o set y de una captura de expresión regular compatible con Perl (PCRE) sin nombre (por ejemplo, $1, $2) con una cadena de…

Cuando NGINX Open Source está configurado para actuar como proxy de tráfico HTTP/2 estableciendo proxy_http_version en 2, y además utiliza proxy_set_body, un atacante podría ser capaz de inyectar cabeceras de trama y bytes de carga útil en el par ascendente (upstream). Nota: las versiones de software que han alcanzado…

NGINX Plus y NGINX Open Source presentan una vulnerabilidad en el módulo ngx_http_ssl_module cuando la directiva ssl_verify_client está configurada como "on" u "optional" y la directiva ssl_ocsp está configurada como "on", o bien los parámetros leaf están configurados con un resolver. Con esta configuración, un…

El 11 de mayo de 2026, entre aproximadamente las 19:20 y las 19:26 UTC, se publicaron en el registro de npm 84 versiones maliciosas de 42 paquetes @tanstack/*. Las publicaciones se autenticaron mediante la vinculación OIDC de editor de confianza de GitHub Actions, legítima para TanStack/router, pero el propio flujo de…

Se ha descubierto que Prison Management System Using PHP v1.0 contiene una vulnerabilidad de inyección SQL a través del nombre de usuario en la página de inicio de sesión del administrador.

OpenSTAManager en la versión 2.10 y anteriores contiene una vulnerabilidad de carga arbitraria de archivos en la funcionalidad de actualización de módulos (modules/aggiornamenti/upload_modules.php)

Una vulnerabilidad de cross-site scripting (XSS) reflejada en School Management System de mahmoudai1 permite a atacantes remotos no autenticados ejecutar JavaScript arbitrario en los navegadores de la víctima a través del parámetro 'type' no sanitizado en register.PHP.

Se ha detectado una vulnerabilidad en code-projects Coaching Management System 1.0. Afecta a una función desconocida del archivo /cims/modules/admin/reply.php del componente POST Handler. La manipulación del argumento complaintreply provoca una inyección SQL. Es posible iniciar el ataque de forma remota. El exploit se…

Se determinó una vulnerabilidad en code-projects Coaching Management System 1.0. Afectada por esta vulnerabilidad es una funcionalidad desconocida del archivo /cims/modules/student/complaint.PHP del componente Complaint Form Page. Esta manipulación del argumento Complaint causa cross site scripting. El ataque puede…

Se ha identificado una debilidad en code-projects Inventory Management System 1.0. Afecta a una función no identificada del componente Login. La ejecución de una manipulación del argumento Username puede conducir a una inyección SQL. El ataque puede lanzarse de forma remota. El exploit se ha hecho público y podría…

STIG Manager es una API y un cliente web para gestionar evaluaciones de Guías Técnicas de Implementación de Seguridad (STIG) de sistemas de información. Las versiones 1.5.10 a 1.6.7 presentan una vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) reflejada en el código de gestión de errores de…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: crypto: algif_aead - Revert to operating out-of-place Esto revierte en gran medida el commit 72548b093ee3, excepto por la copia de los datos asociados. No hay ningún beneficio en operar in situ en algif_aead, ya que el origen y el destino proceden de…

Vulnerabilidad en el producto Oracle User Management de Oracle E-Business Suite (componente: Workflow and Business Events). Las versiones compatibles afectadas son 12.2.7-12.2.15. Una vulnerabilidad fácilmente explotable permite a un atacante con privilegios altos y acceso a la red mediante HTTP comprometer Oracle…

Visitor Management System 1.0 de sanjay1313 es vulnerable a una carga de archivos sin restricciones en vms/php/admin_user_insert.php y vms/php/update_1.php. La función move_uploaded_file() se invoca sin ninguna validación del tipo MIME, de la extensión ni del contenido, lo que permite a un administrador autenticado…

Una vulnerabilidad de inyección SQL en CodeAstro Simple Attendance Management System v1.0 permite a atacantes remotos no autenticados eludir la autenticación mediante el parámetro username en index.php.

Se ha identificado una debilidad en code-projects Simple Content Management System 1.0. Esto afecta a una parte desconocida del archivo /web/admin/welcome.php. La ejecución de una manipulación del argumento News Title puede dar lugar a una secuencia de comandos en sitios cruzados (XSS). El ataque puede ejecutarse de…

Se ha descubierto un fallo de seguridad en code-projects Simple Content Management System 1.0. Este problema afecta a una funcionalidad no identificada del archivo /web/index.php. La manipulación del argumento ID da lugar a una inyección SQL. Es posible la explotación remota del ataque. El exploit se ha hecho público…

Se ha identificado una vulnerabilidad en code-projects Simple Content Management System 1.0. Afecta a esta vulnerabilidad una funcionalidad desconocida del archivo /web/admin/login.php. Esta manipulación del argumento User conduce a una inyección SQL. El ataque puede lanzarse de forma remota. El exploit está…