Vulnerabilidades

The Magic Tooltips For Contact Form 7 plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'author' parameter in all versions up to, and including, 1.0.34 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web…

Unauthenticated Broken Access Control in WP Express Checkout (Accept PayPal Payments) <= 2.4.9 versions.

The WP Express Checkout WordPress plugin before 2.5.0 does not verify server-side that a payment was actually completed before marking an order as paid, allowing unauthenticated users to forge a completed order without paying.

The WP Express Checkout WordPress plugin before 2.4.9 does not verify server-side that a payment was actually completed before marking an order as paid, allowing unauthenticated users to forge a completed order without paying.

Unauthenticated SQL Injection in WP eMember < v10.9.4 versions.

Inclusión local de ficheros no autenticada en versiones de Tipsy menor o igual a 1.1.

Vulnerabilidad de Exposición de Información Sensible del Sistema a una Esfera de Control No Autorizada en Tips and Tricks HQ WP eMember permite Recuperar Datos Sensibles Incrustados. Este problema afecta a WP eMember: desde n/a hasta la v10.2.2.

Vulnerabilidad de Neutralización Incorrecta de la Entrada Durante la Generación de Páginas Web ('cross-site scripting') en Tips and Tricks HQ WP eMember permite XSS Reflejado. Este problema afecta a WP eMember: desde n/d hasta v10.2.2.

Vulnerabilidad de autorización faltante en Tips and Tricks HQ WP eMember permite la explotación de niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a WP eMember: desde n/a hasta v10.2.2.

Neutralización Incorrecta de la Entrada Durante la Generación de Páginas Web ('cross-site scripting') vulnerabilidad en Tomas WordPress Tooltips permite XSS Almacenado. Este problema afecta a WordPress Tooltips: desde n/a hasta 10.7.9.

El plugin Tips Shortcode para WordPress es vulnerable a cross-site scripting almacenado a través del shortcode 'tip' en todas las versiones hasta la 0.2.1, inclusive. Esto se debe a una sanitización de entrada y un escape de salida insuficientes. Esto permite a atacantes autenticados, con acceso de nivel de…

El complemento MB Custom Post Types &amp; Custom Taxonomies para WordPress anterior a la versión 2.7.7 no depura ni escapa de algunas de sus configuraciones, lo que podría permitir a usuarios con privilegios elevados como el administrador realizar ataques de Cross-Site Scripting almacenado incluso cuando la capacidad…

El complemento Simple Shopping Cart para WordPress es vulnerable a Cross-Site Scripting Almacenado a través del shortcode 'wp_cart_button' en todas las versiones hasta la 5.1.3 incluida, debido a una depuración de entrada insuficiente y al escape de salida en los atributos proporcionados por el usuario. Esto permite a…

El complemento Simple Shopping Cart para WordPress es vulnerable a una Referencia Directa a Objetos Insegura en todas las versiones hasta la 5.1.3 incluida, a través de 'process_payment_data', debido a la falta de validación en una clave controlada por el usuario. Esto permite a atacantes no autenticados cambiar la…

El complemento Simple Shopping Cart para WordPress es vulnerable a una Referencia Directa a Objetos Insegura en todas las versiones hasta la 5.1.3 incluida, debido a la falta de aleatorización de una clave controlada por el usuario. Esto permite a atacantes no autenticados acceder a los carritos de compra de los…

La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web («Cross-site Scripting») en Novium WoWHead Tooltips permite XSS almacenado. Este problema afecta a las descripciones emergentes de WoWHead desde n/d hasta la versión 2.0.1.

Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en las descripciones emergentes de grimdonkey Magic the Gathering Card Tooltips que permite XSS almacenado. Este problema afecta a Magic the Gathering Card Tooltips: desde n/a hasta 3.5.0.

Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en Sebastian Zaha Magic the Gathering Card Tooltips que permite XSS almacenado. Este problema afecta a las descripciones emergentes de las cartas de Magic the Gathering: desde n/a hasta 3.4.0.

La vulnerabilidad de Server-Side Request Forgery (SSRF) en Tips and Tricks HQ Compact WP Audio Player permite Server Side Request Forgery. Este problema afecta a Compact WP Audio Player: desde n/a hasta 1.9.14.

El complemento Compact WP Audio Player para WordPress es vulnerable a cross-site scripting almacenado a través del código corto sc_embed_player del complemento en todas las versiones hasta la 1.9.13 incluida, debido a una desinfección de entrada insuficiente y al escape de salida en los atributos proporcionados por el…

El complemento wp-cart-for-digital-products de WordPress anterior a 8.5.6 no tiene comprobaciones CSRF en algunos lugares, lo que podría permitir a los atacantes hacer que los usuarios que han iniciado sesión realicen acciones no deseadas a través de ataques CSRF.

El complemento wp-cart-for-digital-products de WordPress anterior a 8.5.6 no desinfecta ni escapa un parámetro antes de devolverlo a la página, lo que genera Cross-Site Scripting Reflejado que podría usarse contra usuarios con privilegios elevados, como el administrador.

El complemento wp-cart-for-digital-products de WordPress anterior a 8.5.6 no desinfecta ni escapa un parámetro antes de devolverlo a la página, lo que genera Cross-Site Scripting Reflejado que podría usarse contra usuarios con privilegios elevados, como el administrador.

El complemento wp-eMember de WordPress anterior a v10.7.0 no tiene verificación CSRF en algunos lugares y le falta sanitización y escape, lo que podría permitir a los atacantes hacer que el administrador registrado agregue payloads XSS almacenado a través de un ataque CSRF.

El complemento de WordPress wp-affiliate-platform anterior a 6.5.2 no tiene activada la verificación CSRF al eliminar afiliados, lo que podría permitir a los atacantes realizar un cambio de usuario registrado y eliminarlos mediante un ataque CSRF.