Vulnerabilidades

El plugin WPC Product Options for WooCommerce para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas a través de la clave de array wpcpo-* mediante el nombre de campo multipart en todas las versiones hasta la 4.0.5 incluida, debido a una sanitización de la entrada y un escape de la…

El plugin WPC Estimated Delivery Date for WooCommerce para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) reflejadas a través del parámetro 'rule_data' en todas las versiones hasta la 4.0.1 incluida, debido a una sanitización de la entrada y un escape de la salida insuficientes. Esto permite…

El plugin WPC Smart Quick View for WooCommerce para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) reflejadas a través del parámetro 'woosq-redirect' en todas las versiones hasta la 4.4.0 incluida, debido a una sanitización de la entrada y un escape de la salida insuficientes. Esto permite a…

El plugin WPC Shop as a Customer for WooCommerce para WordPress es vulnerable a la escalada de privilegios mediante la toma de control de cuentas en todas las versiones hasta la 2.0.0 incluida. Esto se debe a que el plugin no valida correctamente el rol del usuario de destino antes de emitir una nueva sesión de…

Klever-Go es la implementación en Go del protocolo blockchain de Klever. Antes de la 1.7.20, el endpoint GET /subscribe, abierto de forma predeterminada, en network/api/websocket/routes.go acepta clientes WebSocket no autenticados con una gestión permisiva del origen, no llama a SetReadLimit para limitar el tamaño de…

Klever-Go es la implementación en Go del protocolo blockchain de Klever. Antes de la 1.7.20, la ruta WebSocket GET /log, abierta de forma predeterminada, configurada en config/node/api.yaml y registrada por network/api/api.go no requiere autenticación. El primer mensaje del cliente se analiza como un Profile de logger…

Klever-Go es la implementación en Go del protocolo blockchain de Klever. Antes de la 1.7.20, serializedDataForUpdateAccounts de indexer/common.go coloca el valor acc.Name controlado por el atacante en una solicitud _bulk JSON y NDJSON de Elasticsearch sin escaparlo. La transacción SetAccountName acepta nombres de…

Klever-Go es la implementación en Go del protocolo blockchain de Klever. Antes de la 1.7.20, Register de core/kapp/validators/validators.go y la ruta de actualización de validadores en tiempo de ejecución aceptan una BLSPublicKey enviada sin validación de curva, de subgrupo de orden primo ni de valor distinto de cero.…

Klever-Go es la implementación en Go del protocolo blockchain de Klever. Antes de la 1.7.20, la función nativa del marketplace Buy de core/kapp/market/market.go no comprueba IsClaimed antes de aceptar una puja. Un vendedor puede usar la rama de aceptación del vendedor de Claim para liquidar una subasta con puja…

Klever-Go es la implementación en Go del protocolo blockchain de Klever. Antes de la 1.7.20, la función integrada KleverUpdateAccountPermission autoriza la sustitución de los permisos de una cuenta de destino comprobando vmInput.RecipientAddr, controlado por el atacante, en lugar de vmInput.CallerAddr, autenticado. Un…

El plugin WPC Smart Compare for WooCommerce de WordPress antes de la 6.6.1 no aplica la protección por contraseña de entradas de WordPress al devolver contenido de productos a través de su manejador de comparación, lo que permite a usuarios no autenticados leer la descripción de productos protegidos con contraseña.

El plugin WPC Product Bundles for WooCommerce para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas mediante el parámetro 'qty' en todas las versiones hasta la 8.6.6 incluida debido a un saneamiento de entrada y un escape de salida insuficientes. Esto permite a atacantes no…

Un problema en cleverange_auth v.0.1.10 permite a un atacante remoto provocar una denegación de servicio a través de la función account_verification y el componente accounts/models.py

Klever-Go es la implementación en Go del protocolo de blockchain Klever. En las versiones anteriores a la 1.7.19, Klever-Go permite a un titular del rol de acuñación eludir un MaxSupply finito por nonce en la ruta de adición de cantidad de tokens semifungibles. En core/kapp/systemAccount/systemAcount.go,…

Klever-Go es la implementación en Go del protocolo de blockchain Klever. En las versiones anteriores a la 1.7.19, processPercentageRoyaltiesTransfer en core/kapp/accounts/accounts.go llama a SubFromBalance después del bucle de reparto y después del retorno anticipado royaltiesToPay <= 0. computeSplitRoyalties solo…

Klever-Go es la implementación en Go del protocolo de la cadena de bloques Klever. En versiones anteriores a la 1.7.19, los campos de reparto de regalías decodificados en core/kapp/builtInFunctions/utils.go pueden contener valores superiores a core.HundredPercent, y core/kapp/kda/create.go y core/kapp/kda/trigger.go…

Klever-Go es la implementación en Go del protocolo de la cadena de bloques Klever. En versiones anteriores a la 1.7.19, la liquidación del marketplace en core/kapp/market/market.go lee MarketOrderData.ReferralPercentage del anuncio, mientras que lee asset.Royalties.MarketPercentage en vivo en el momento de la compra.…

Una vulnerabilidad ha sido encontrada en el framework cleverbrush y deep hasta la versión 4.4.0. Esto afecta a la función deepExtend del archivo libs/deep/src/deepExtend.ts. La manipulación conduce a una modificación de atributos de prototipo de objeto controlada de forma inadecuada. La explotación remota del ataque…

El plugin de WordPress Social Login & Sharing buttons with Analytics By SoClever hasta la versión 1.2.0 no realiza ninguna autenticación, autorización o comprobación de nonce en uno de sus manejadores de inicio de sesión de acceso público, permitiendo a atacantes no autenticados obtener una sesión válida como…

El plugin de WordPress WPC Admin Columns anterior a la 2.3.4 no tiene comprobaciones de autorización en una de sus acciones AJAX, lo que permite a usuarios con un rol tan bajo como suscriptor leer metadatos arbitrarios de usuarios, entradas y términos, incluidos datos pertenecientes a administradores.

El plugin de WordPress WPC Order Tip for WooCommerce anterior a 3.3.1 no realiza comprobaciones de autorización ni de nonce en una de sus funciones de informes, lo que permite a atacantes no autenticados obtener datos confidenciales de pedidos de cualquier cliente de la tienda, como nombres de facturación, ID y…

Klever-Go es la implementación en Go del protocolo de blockchain Klever. Las versiones de la 1.7.14 a la 1.7.17 son vulnerables a una denegación de servicio que puede provocarse de forma remota. Ambas API REST se inician con el método de conveniencia Engine.Run de Gin, que atiende las solicitudes a través del servidor…

Klever-Go es la implementación en Go del protocolo de blockchain Klever. En las versiones de la 1.7.14 a la 1.7.17, el manejador de entrada de mensajes directos lanza una nueva goroutine por cada mensaje directo entrante antes de que la capa antiflood del procesador tome ninguna decisión de admisión, sin semáforo,…

Klever-Go es la implementación en Go del protocolo de blockchain Klever. Las versiones de la 1.7.14 a la 1.7.17 son vulnerables a un pánico por puntero nil provocado por una Transaction protobuf cuyo submensaje incrustado RawData se omite. Esta omisión hace que RawData se decodifique como nil. Cada transacción…

Klever-Go es la implementación en Go del protocolo de blockchain Klever. En las versiones anteriores a la 1.7.18, los sincronizadores del trie de datos de cuentas son vulnerables a un fallo de agotamiento de recursos que filtra ranuras acotadas del limitador en las rutas de error. En syncDataTrie() (tanto en…