Vulnerabilidades

ext/libxml/libxml.c en PHP en versiones anteriores a 5.5.22 y 5.6.x en versiones anteriores a 5.6.6, cuando se utiliza PHP-FPM, no aisla cada hilo de cambios libxml_disable_entity_loader en otros hilos, lo que permite a atacantes remotos llevar a cabo ataques XML External Entity (XXE) y XML Entity Expansion (XEE) a…

Vulnerabilidad en HP CentralView Fraud Risk Management en las versiones 11.1, 11.2 y 11.3; en CentralView Revenue Leakage Control en las versiones 4.1, 4.2 y 4.3; en CentralView Dealer Performance Audit en las versiones 2.0 y 2.1; en CentralView Credit Risk Control en las versiones 2.1, 2.2 y 2.3; en CentralView…

Vulnerabilidad en HP CentralView Fraud Risk Management en las versiones 11.1, 11.2 y 11.3; en CentralView Revenue Leakage Control en las versiones 4.1, 4.2 y 4.3; en CentralView Dealer Performance Audit en las versiones 2.0 y 2.1; en CentralView Credit Risk Control en las versiones 2.1, 2.2 y 2.3; en CentralView…

Vulnerabilidad en HP CentralView Fraud Risk Management en las versiones 11.1, 11.2 y 11.3; en CentralView Revenue Leakage Control en las versiones 4.1, 4.2 y 4.3; en CentralView Dealer Performance Audit en las versiones 2.0 y 2.1; en CentralView Credit Risk Control en las versiones 2.1, 2.2 y 2.3; en CentralView…

Vulnerabilidad de XSS en el módulo Simple Subscription anterior a 6.x-1.1 y 7.x-1.x anterior a 7.x-1.1 para Drupal permite a usuarios remotos autenticados con el permiso 'bloques de administración' inyectar secuencias de comandos web arbitrarios o HTML a través de vectores relacionados con contenidos de bloques.

Vulnerabilidad de salto de directorio en actionpack/lib/abstract_controller/base.rb en la implementación implicit-render en Ruby on Rails anterior a 3.2.18, 4.0.x anterior a 4.0.5 y 4.1.x anterior a 4.1.1, cuando ciertas configuraciones de coincidencia de patrones en rutas basadas en caracteres comodín (globbing)…

Candlepin en Red Hat Subscription Asset Manager v1.0 hasta v1.3 utiliza un esquema de autenticación débil cuando el archivo de configuración no especifica un esquema, lo cual tiene un impacto no especificado y vectores de ataque.

Vulnerabilidad de ejecución de secuencias de comandos en sitios cruzados (XSS) en los Notifications de Red Hat Subscription Asset Manager antes de v1.2.1 que permite a atacantes remotos inyectar secuencias de comandos web o HTML a través del campo de nombre de usuario (Username)

Candlepin antes de v0.7.24, tal como se utiliza en el Administrador de Activos de Red Hat Suscripción antes de v1.2.1, no comprueba correctamente firmas de los manifest, que permite a usuarios locales modificarlos.

showImg.php en EPractize Labs Subscription Manager, posiblemente v1.0, permite a atacantes remotos sobreescribir ficheros arbitrarios a través del parámetro db.

La bilblioteca Anti-Cross Site Scripting (AntiXSS) de Microsoft v3.x y v4.0 no evalua correctamente los caracteres después de la detección de un caracter 'escapado' de una Hoja de Estilo en Cascada (CSS), lo cual permite a atacantes remotos realizar ataques de ejecución de comandos en sitios cruzados (XSS)…

Vulnerabilidad de inyección SQL en profil.php en Mafya Oyun Scrpti (también conocido como Mafia Game Script) permite a atacantes remotos ejecutar comandos SQL de su elección a través del parámetro "id".

YP Portal MS-Pro Surumu (también conocido como MS-Pro Portal Scripti) v1.0 y v1.2 almacena información sensible bajo la raíz web con insuficientes controles de acceso, lo que permite a atacantes remotos descargar la base de datos a través de una petición directa para galeri/database/db.mdb.

Vulnerabilidad de inyección SQL en news.php en DZ EROTIK Auktionshaus V4rgo permite a atacantes remotos ejecutar comandos SQL de su elección a través del parámetro "id".

Jevci Siparis Formu Scripti almacena información sensible bajo el root web con un control de acceso insuficiente, lo que permite a atacantes remotos descargar una base de datos a través de una petición directa para siparis.mdb.

Una vulnerabilidad de inyección SQL en la extensión 'Suscription' (mf_subscription) v0.2.2 de TYPO3 permite a atacantes remotos ejecutar comandos SQL a través de vectores desconocidos.

RADIO istek scripti v2.5, almacena información sensible bajo el directorio raíz web con un control de acceso inapropiado, lo que permite a atacantes remotos obtener las credenciales de usuario a través de una petición directa para estafresgaftesantusyan.inc.

Vulnerabilidad de inyección SQL en izle.asp para FoT Video scripti 1.1 beta que permite a loa atacantes remotos ejecutar arbitrariamente comandos SQL a través del parámetro oyun.

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en Makale Scripti permite a atacantes remotos inyectar secuencias de comandos web o HTML de su elección a través del parámetro ara del URI por defecto bajo Ara/ en una acción search.

Múltiples vulnerabilidades de inclusión remota de archivo en PHP en el componente JContentSubscription (com_jcs) 1.5.8 para Joomla! permite a atacantes remotos ejecutar código PHP de su elección mediante un URL en el parámetro mosConfig_absolute_path de (1) jcs.function.php; (2) add.php, (3) history.php, y (4)…

Una vulnerabilidad de inyección SQL en el archivo detay.asp en Netkamp Emlak Scripti, permite a atacantes remotos ejecutar comandos SQL arbitrarios por medio del parámetro ilan_id.

Una vulnerabilidad de tipo cross-site scripting (XSS) en el archivo mail.asp en Netkamp Emlak Scripti, permite a atacantes remotos inyectar script web o HTML arbitrario por medio del (1) parámetro Email, y posiblemente los parámetros (2) Ad, (3) Soyad, (4) Konu, y (5) Mesaj en el archivo iletisim.asp.

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en D22-Shoutbox para Invision Power Board (IPB o IP.Board) permite a atacantes remotos inyectar secuencias de comandos web o HTML de su elección mediante vectores no especificados.

Vulnerabilidad de inyección SQL en goster.asp de fystyq Duyuru Scripti permite a atacantes remotos ejecutar comandos SQL de su elección a través del parámetro id, un vector distinto de CVE-2007-0688.

Vulnerabilidad de inyección SQL en oku.asp en Hunkaray Duyuru Scripti permite a atacantes remotos ejecutar comandos SQL de su elección a través del parámetro id.