Vulnerabilidades

Se encontró una falla de inyección de HTML en Controller en la configuración de la interfaz de usuario. Esta falla permite a un atacante capturar credenciales creando una página de inicio de sesión personalizada mediante la inyección de HTML, lo que resulta en un compromiso total.

Atlassian ha sido informado de un problema informado por un puñado de clientes en el que atacantes externos pueden haber explotado una vulnerabilidad previamente desconocida en instancias de Confluence Data Center and Server de acceso público para crear cuentas de administrador de Confluence no autorizadas y acceder a…

Una divulgación de información en Milesight UR5X, UR32L, UR32, UR35, UR41 anterior a v35.3.0.7 permite a los atacantes acceder a componentes confidenciales del router.

Abrir redireccionamiento en el repositorio de GitHub mosparo/mosparo antes de 1.0.2.

Se descubrió un desbordamiento del búfer en el cargador dinámico ld.so de la librería GNU C mientras se procesaba la variable de entorno GLIBC_TUNABLES. Este problema podría permitir que un atacante local utilice variables de entorno GLIBC_TUNABLES manipuladas con fines malintencionados al iniciar archivos binarios…

Se ha encontrado una vulnerabilidad de problema criptográfico en IBERMATICA RPS que afecta a la versión 2019. Al descargar primero el archivo de registro, un atacante podría recuperar la consulta SQL enviada a la aplicación en texto plano. Este archivo de registro contiene los hash de la contraseña codificados con el…

Una vulnerabilidad de Cross-Site Scripting (XSS) en mojoPortal v.2.7.0.0 permite a un atacante remoto ejecutar código arbitrario a través del parámetro helpkey en el componente Help.aspx.

Una vulnerabilidad ha sido encontrada en eeroOS hasta 6.16.4-11 y clasificada como crítica. Esta vulnerabilidad afecta a código desconocido del componente Ethernet Interface. La manipulación conduce a la denegación del servicio. El ataque debe abordarse dentro de la red local. El exploit ha sido divulgado al público y…

TorchServe es una herramienta para servir y escalar modelos de PyTorch en producción. La configuración predeterminada de TorchServe carece de una validación de entrada adecuada, lo que permite a terceros invocar solicitudes de descarga HTTP remotas y escribir archivos en el disco. Se podría aprovechar este problema…

ShokoServer es un servidor de medios que se especializa en organizar anime. En las versiones afectadas, se puede acceder al endpoint `/api/Image/WithPath` sin autenticación y se supone que devuelve imágenes de servidor predeterminadas. El endpoint acepta el parámetro `serverImagePath`, que no se sanitiza de ninguna…

mooSocial 3.1.8 es vulnerable a la interacción de servicios externos en la función posterior. Cuando se ejecuta, el servidor envía una solicitud HTTP y DNS al servidor externo. Los parámetros afectados son múltiples: messageText, data[wall_photo], data[userShareVideo] and data[userShareLink].

El desbordamiento del búfer en la codificación vp8 en libvpx en Google Chrome anterior a 117.0.5938.132 y libvpx 1.13.1 permitía a un atacante remoto explotar potencialmente la corrupción del montón a través de una página HTML manipulada. (Severidad de seguridad de Chrome: alta)

Rite CMS 3.0 tiene una vulnerabilidad de Cross-Site Scripting (XSS) que permite a los atacantes ejecutar código arbitrario a través de un payload manipulado en los Bloques de Contenido Global en el Menú de Administración.

Rite CMS 3.0 tiene múltiples vulnerabilidades de Cross-Site Scripting (XSS) que permiten a los atacantes ejecutar código arbitrario a través de un payload manipulado en los Elementos del Menú Principal del Menú de Administración.

Vulnerabilidad de Cross-Site Scripting (XSS) en la instalación de October v.3.4.16 permite a un atacante ejecutar scripts web arbitrarios a través de un payload manipulado inyectado en el campo dbhost.

Vulnerabilidad de múltiples Cross Site Scripting (XSS) en e017 CMS v.2.3.2 permite a un atacante local ejecutar código arbitrario a través de un script manipulado a en los campos Copyright y Autor en el Menú Meta y Etiquetas Personalizadas.

Vulnerabilidad de Cross Site Scripting (XSS) en e017 CMS v.2.3.2 permite a un atacante local ejecutar código arbitrario a través de un script manipulado para el Nombre archivado en el Menú Administrar.

Vulnerabilidad de carga de archivos en CMSmadesimple v.2.2.18 permite a un atacante local cargar un archivo pdf con Cross Site Scripting (XSS) oculto.

Vulnerabilidad de carga de archivos en WBCE v.1.6.1 permite a un atacante local cargar un archivo pdf con Cross Site Scripting (XSS) oculto.

El commit 3730880 (abril de 2023) y v.0.9-beta1 de gugoan Economizzer es vulnerable al secuestro de clics. El secuestro de clics, también conocido como "UI redress attack", ocurre cuando un atacante usa múltiples capas transparentes u opacas para engañar a un usuario para que haga clic en un botón o enlace en otra…

WebCatalog anterior a 49.0 es vulnerable a un control de acceso incorrecto. WebCatalog llama a la función Electron shell.openExternal sin verificar que la URL sea para un recurso http o https, en algunas circunstancias.

Cross-site Scripting (XSS): reflejado en el repositorio de GitHub microweber/microweber anterior a 2.0.

Una vulnerabilidad fue encontrada en Viessmann Vitogate 300 hasta 2.1.3.0 y clasificada como crítica. Esta vulnerabilidad afecta la función isValidUser del archivo /cgi-bin/vitogate.cgi del componente Web Management Interface. La manipulación conduce al uso de una contraseña codificada. El exploit ha sido divulgado al…

get-func-name es un módulo para recuperar el nombre de una función de forma segura y consistente tanto en NodeJS como en el navegador. Las versiones anteriores a la 2.0.1 están sujetas a una vulnerabilidad de denegación de servicio de expresión regular (redos) que puede provocar una denegación de servicio al analizar…

Una vulnerabilidad de Cross-Site Scripting (XSS) en Froala Editor v.4.1.1 permite a atacantes ejecutar código arbitrario a través del componente Markdown.