Vulnerabilidades

El complemento Travelpayouts: All Travel Brands in One Place WordPress anterior a la versión 1.1.14 no depura ni escapa un parámetro antes de mostrarlo nuevamente en la página, lo que genera un Cross-Site Scripting reflejado que podría usarse contra usuarios con privilegios altos, como el administrador.

Se ha detectado una vulnerabilidad crítica en ScriptAndTools Online-Travling-System 1.0. Se ve afectada una función desconocida del archivo /admin/viewpackage.php. La manipulación genera controles de acceso inadecuados. Es posible ejecutar el ataque de forma remota. Se ha hecho público el exploit y puede que sea…

Se encontró una vulnerabilidad en ScriptAndTools Online-Travling-System 1.0. Se ha clasificado como crítica. Este problema afecta a un procesamiento desconocido del archivo /admin/addpackage.php. La manipulación genera controles de acceso inadecuados. El ataque podría iniciarse remotamente. Se ha hecho público el…

Se encontró una vulnerabilidad en ScriptAndTools Online-Travling-System 1.0. Se ha declarado crítica. Esta vulnerabilidad afecta al código desconocido del archivo /admin/addadvertisement.php. La manipulación genera controles de acceso inadecuados. El ataque puede iniciarse remotamente. Se ha hecho público el exploit y…

Se encontró una vulnerabilidad en ScriptAndTools Online-Travling-System 1.0. Se ha clasificado como crítica. Afecta una parte desconocida del archivo /admin/viewenquiry.php. La manipulación genera controles de acceso inadecuados. Es posible iniciar el ataque de forma remota. Se ha hecho público el exploit y puede que…

Laravel Starter 11.11.0 es vulnerable a ataques de Cross Site Scripting (XSS) en la función de etiquetas. Cualquier usuario con la capacidad de crear o modificar etiquetas puede inyectar código JavaScript malicioso en el campo de nombre.

Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en Themefic Travelfic Toolkit permite XSS almacenado. Este problema afecta a Travelfic Toolkit desde n/d hasta la versión 1.2.1.

En versiones anteriores a Aidex 1.7, un usuario malicioso autenticado, aprovechando un registro abierto, podía ejecutar comandos no autorizados dentro del sistema. Esto incluía ejecutar comandos del sistema operativo (Unix), interactuar con servicios internos como PHP o MySQL, e incluso invocar funciones nativas del…

DevDojo Voyager 1.4.0 a 1.8.0, cuando se utiliza Laravel 8 o posterior, permite a los administradores autenticados ejecutar comandos arbitrarios del sistema operativo a través de un comando php artisan específico.

Vulnerabilidad de neutralización incorrecta de entrada durante la generación de páginas web ('Cross-site Scripting') en noonnoo Gravel permite XSS reflejado. Este problema afecta a Gravel: desde n/a hasta 1.6.

HCL Traveler genera mensajes de error que proporcionan información detallada sobre errores y fallos, como rutas internas, nombres de archivo, tokens confidenciales, credenciales, códigos de error o seguimientos de pila. Los atacantes podrían explotar esta información para obtener información sobre la arquitectura del…

HCL Traveler se ve afectado por una divulgación de ruta interna en una aplicación de Windows cuando la aplicación revela inadvertidamente rutas de archivos internas, en mensajes de error, registros de depuración o respuestas a solicitudes de usuario.

La vulnerabilidad de deserialización de datos no confiables en magepeopleteam WpTravelly permite la inyección de objetos. Este problema afecta a WpTravelly desde n/d hasta la versión 1.8.7.

Raven es una plataforma de mensajería de código abierto. Una vulnerabilidad permitía a cualquier usuario conectado ejecutar código a través de un endpoint API. Esta vulnerabilidad se corrigió en la versión 2.1.10.

Vulnerabilidad de control incorrecto del nombre de archivo para la instrucción Include/Require en programas PHP ('Inclusión remota de archivos PHP') en WP Travel Engine. WP Travel Engine permite la inclusión local de archivos PHP. Este problema afecta a WP Travel Engine desde n/d hasta la versión 6.3.5.

Vulnerabilidad de Cross-Site Request Forgery (CSRF) en Aboobacker. AB Google Map Travel permite Cross-Site Request Forgery. Este problema afecta a AB Google Map Travel desde n/d hasta la versión 4.6.

Vulnerabilidad de autorización faltante en Shinetheme Traveler. Este problema afecta a Traveler: desde n/a hasta 3.1.8.

Vulnerabilidad de neutralización incorrecta de elementos especiales utilizados en un comando SQL ('Inyección SQL') en Shinetheme Traveler. Este problema afecta a Traveler: desde n/a hasta 3.1.8.

Vulnerabilidad de deserialización de datos no confiables en Shinetheme Traveler. Este problema afecta a Traveler: desde n/a hasta 3.1.8.

Vulnerabilidad de autorización faltante en Shinetheme Traveler. Este problema afecta a Traveler: desde n/a hasta 3.1.8.

Vulnerabilidad de control incorrecto del nombre de archivo para la instrucción Include/Require en un programa PHP ('Inclusión remota de archivos PHP') en magepeopleteam WpTravelly permite la inclusión local de archivos PHP. Este problema afecta a WpTravelly desde n/d hasta la versión 1.8.7.

Vulnerabilidad de control incorrecto del nombre de archivo para la instrucción Include/Require en programas PHP ('Inclusión remota de archivos PHP') en WP Travel Engine WP Travel Engine permite la inclusión local de archivos PHP. Este problema afecta a WP Travel Engine desde n/d hasta la versión 6.3.5.

El tema Traveler para WordPress es vulnerable a ataques Cross-Site Scripting Reflejado mediante múltiples parámetros en todas las versiones hasta la 3.1.8 incluida, debido a una depuración de entrada y al escape de salida insuficiente. Esto permite a atacantes no autenticados inyectar scripts web arbitrarios en las…

El tema Traveler para WordPress es vulnerable a la inclusión de archivos locales en todas las versiones hasta la 3.1.8 incluida, a través del parámetro 'style' de la función 'hotel_alone_load_more_post'. Esto permite a atacantes no autenticados incluir y ejecutar archivos arbitrarios en el servidor, permitiendo la…

Las versiones del framework Laravel entre 11.9.0 y 11.35.1 son susceptibles a cross-site scripting reflejado debido a una codificación incorrecta de los parámetros de ruta en la página de error del modo de depuración.