Vulnerabilidades

Todas las versiones del paquete gitpython son vulnerables a la ejecución remota de código (RCE) debido a una validación incorrecta de la entrada del usuario, lo que hace posible inyectar una URL remota creada con fines malintencionados en el comando de clonación. Es posible explotar esta vulnerabilidad porque la…

Existe una posible escalada a la vulnerabilidad RCE cuando se utilizan columnas serializadas YAML en Active Record < 7.0.3.1, <6.1.6.1, <6.0.5.1 y <5.2.8.1, lo que podría permitir a un atacante, que puede manipular datos en la base de datos (a través de medios como la inyección SQL), la capacidad de escalar a un RCE.

Cacti es una plataforma de código abierto que proporciona un framework de gestión de fallos y supervisión operativa robusta y extensible para los usuarios. En las versiones afectadas, una vulnerabilidad de inyección de comandos permite a un usuario no autenticado ejecutar código arbitrario en un servidor que ejecuta…

NodeBB es un software de foro de código abierto basado en Node.js. Debido a que se utiliza un objeto simple con un prototipo en el manejo de mensajes de socket.io, se puede usar un payload especialmente manipulado para hacerse pasar por otros usuarios y tomar control de cuentas. Esta vulnerabilidad ha sido parcheada…

Un problema en el componente /api/audits de Pwndoc v0.5.3 permite a los atacantes escalar privilegios y ejecutar código arbitrario mediante la carga de un archivo de auditoría manipulado.

Phpgurukul User Registration & User Management System v3.0 contiene múltiples vulnerabilidades de cross site scripting (XSS) almacenado a través de los parámetros firstname y lastname del formulario de registro y de páginas de inicio de sesión.

Telepad permite a usuarios remotos no autenticados enviar instrucciones al servidor para ejecutar código arbitrario sin ninguna autorización o autenticación previa. CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Una vulnerabilidad de inyección CRLF de encabezado de respuesta en la interfaz web Proxmox Virtual Environment (PVE) y Proxmox Mail Gateway (PMG) permite a un atacante remoto configurar cookies para el navegador de una víctima que son más largas de lo que espera el servidor, lo que provoca un DoS del lado del cliente.…

Rejected reason: DO NOT USE THIS CANDIDATE NUMBER. ConsultIDs: CVE-2022-2841. Reason: This issue was MERGED into CVE-2022-2841 in accordance with CVE content decisions, because it is the same type of vulnerability and affects the same versions. Notes: All CVE users should reference CVE-2022-2841 instead of this…

La confusión de tipos en V8 en Google Chrome anterior a 108.0.5359.94 permitía a un atacante remoto explotar potencialmente la corrupción del heap a través de una página HTML manipulada. (Severidad de seguridad de Chrome: Alta)

Se descubrió que webtareas 2.4p5 contenía una vulnerabilidad de Cross-Site Scripting (XSS) en el componente /clients/listclients.php. Esta vulnerabilidad permite a los atacantes ejecutar scripts web o HTML arbitrarios a través de un payload manipulado inyectado en el campo Nombre.

Se descubrió que Rukovoditel v3.2.1 contenía una vulnerabilidad de Cross-Site Scripting (XSS) Almacenado en /index.php?module=configuration/application. Esta vulnerabilidad permite a los atacantes ejecutar scripts web o HTML arbitrarios a través de un payload manipulado inyectado en el campo Texto de copyright después…

Se descubrió que Rukovoditel v3.2.1 contiene una vulnerabilidad de Cross-Site Scripting (XSS) Almacenado en la función de la pestaña Agregar nuevo formulario en /index.php?module=entities/forms&entities_id=24. Esta vulnerabilidad permite a los atacantes ejecutar scripts web o HTML arbitrarios a través de un payload…

Se descubrió que Rukovoditel v3.2.1 contiene una vulnerabilidad de Cross-Site Scripting (XSS) Almacenado en la función Agregar nuevo campo en /index.php?module=entities/fields&entities_id=24. Esta vulnerabilidad permite a los atacantes ejecutar scripts web o HTML arbitrarios a través de un payload manipulado inyectado…

Se descubrió que Rukovoditel v3.2.1 contiene una vulnerabilidad de Cross-Site Scripting (XSS) Almacenado en la función Agregar nuevo campo en /index.php?module=entities/fields&entities_id=24. Esta vulnerabilidad permite a los atacantes ejecutar scripts web o HTML arbitrarios a través de un payload manipulado inyectado…

Se descubrió que Rukovoditel v3.2.1 contiene una vulnerabilidad de Cross-Site Scripting (XSS) Almacenado en la función Entities Group at/index.php?module=entities/entities_groups. Esta vulnerabilidad permite a los atacantes ejecutar scripts web o HTML arbitrarios a través de un payload manipulado inyectado en el campo…

Se descubrió que Rukovoditel v3.2.1 contenía una vulnerabilidad de Cross-Site Scripting (XSS) Almacenado en la función Resaltar fila en /index.php?module=entities/listing_types&entities_id=24. Esta vulnerabilidad permite a los atacantes ejecutar scripts web o HTML arbitrarios mediante un payload manipulado inyectado…

Se descubrió que Rukovoditel v3.2.1 contiene una vulnerabilidad de Cross-Site Scripting (XSS) Almacenado en la función Agregar página en /index.php?module=help_pages/pages&entities_id=24. Esta vulnerabilidad permite a los atacantes ejecutar scripts web o HTML arbitrarios a través de un payload manipulado inyectado en…

Se descubrió que Rukovoditel v3.2.1 contiene una vulnerabilidad de Cross-Site Scripting (XSS) Almacenado en la función Agregar anuncio en /index.php?module=help_pages/pages&entities_id=24. Esta vulnerabilidad permite a los atacantes ejecutar scripts web o HTML arbitrarios a través de un payload manipulado inyectado en…

Se descubrió que webTareas 2.4p5 contenía una vulnerabilidad de inyección SQL a través del parámetro id en Phasesets.php.

Se descubrió que webTareas 2.4p5 contenía una vulnerabilidad de inyección SQL a través del parámetro id en deleteapprovalstages.php.

El agente de Symantec Endpoint Protection (Windows), anterior a 14.3 RU6/14.3 RU5 parche 1, puede ser susceptible a una vulnerabilidad de omisión de control de seguridad, que es un tipo de problema que potencialmente puede permitir que un actor de amenazas eluda los controles de seguridad existentes. Este CVE se…

La clase Constructor() de SnakeYaml no restringe los tipos de los que se pueden crear instancias durante la deserialización. La deserialización del contenido yaml proporcionado por un atacante puede conducir a la ejecución remota de código. Recomendamos utilizar SafeConsturctor de SnakeYaml al analizar contenido que…

ff4j 1.8.1 es vulnerable a la ejecución remota de código (RCE).

Zenario CMS 9.3.57186 es vulnerable a la ejecución remota de código (RCE).