Vulnerabilidades

Control inadecuado del nombre de fichero para la declaración include/require en un programa PHP (vulnerabilidad de 'inclusión remota de ficheros PHP') en Elated-Themes Frappé permite la inclusión local de ficheros PHP. Este problema afecta a Frappé: desde n/a hasta 1.8.

Dell Unisphere para PowerMax, versión(es) 9.2.4.x, contiene una vulnerabilidad de restricción inadecuada de referencia a entidad externa XML. Un atacante con privilegios bajos con acceso remoto podría potencialmente explotar esta vulnerabilidad, lo que podría llevar a un acceso no autorizado a datos y recursos fuera…

El plugin 'Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin' para WordPress es vulnerable a la Exposición de Información Sensible en todas las versiones hasta la 1.6.9.5, inclusive, a través de la función hash() debido al uso de una 'salt' de respaldo codificada de forma rígida. Esto hace…

Frappe is a full-stack web application framework. Versions 14.99.5 and below and 15.0.0 through 15.80.1 include requests that are vulnerable to path traversal attacks. Arbitrary files from the server could be retrieved due to a lack of proper sanitization on some requests. This issue is fixed in versions 14.99.6 and…

Vulnerabilidad de carga irrestricta de archivo con tipo peligroso en Meow Apps Media File Renamer permite el uso de archivos maliciosos. Este problema afecta a Media File Renamer: desde n/a hasta 5.7.7.

Una vulnerabilidad fue encontrada en SourceCodester API Key Manager App 1.0. Afectada por esta vulnerabilidad es una funcionalidad desconocida del componente Import Key Handler. Realizar una manipulación resulta en cross-site scripting. El ataque puede ser iniciado remotamente.

An SQL injection vulnerability has been reported to affect MARS (Multi-Application Recovery Service). The remote attackers can then exploit the vulnerability to execute unauthorized code or commands. We have already fixed the vulnerability in the following version: MARS (Multi-Application Recovery Service) 1.2.1.1686…

Neutralización incorrecta de la entrada durante la generación de páginas web ('cross-site scripting') vulnerabilidad en el plugin de la aplicación móvil Blappsta de nebelhorn y su aplicación nativa móvil para iPhone y Android permite XSS reflejado. Este problema afecta al plugin de la aplicación móvil Blappsta - Su…

Vulnerabilidad de Autorización Faltante en merkulove Appender permite Explotar Niveles de Seguridad de Control de Acceso Incorrectamente Configurados. Este problema afecta a Appender: desde n/a hasta 1.1.1.

Vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) en Appointify permite la falsificación de petición en sitios cruzados. Este problema afecta a Appointify: desde n/a hasta 1.0.8.

El plugin de WordPress Knowband Mobile App Builder anterior a la versión 3.0.0 no tiene autorización al eliminar usuarios a través de su API REST, lo que permite a atacantes no autenticados eliminar usuarios arbitrarios.

Una vulnerabilidad de Neutralización Incorrecta de Elementos Especiales utilizados en un Comando SQL ('Inyección SQL') en Appointify permite Inyección SQL Ciega. Este problema afecta a Appointify: desde n/a hasta 1.0.8.

Vulnerabilidad de Exposición de Información Sensible del Sistema a una Esfera de Control No Autorizada en o2oe E-Invoice App Malaysia einvoiceapp-malaysia permite Recuperar Datos Sensibles Incrustados. Este problema afecta a E-Invoice App Malaysia: desde n/a hasta menor o igual que 1.1.0.

Frappe is a full-stack web application framework. Prior to versions 14.99.6 and 15.88.1, an authenticated user with specific permissions could be tricked into accessing a specially crafted link. This could lead to a malicious template being executed on the server, resulting in remote code execution. Versions 14.99.6…

Frappe CRM es una herramienta de gestión de relaciones con clientes de código abierto. Antes de la versión 1.56.2, los usuarios autenticados podían establecer URLs manipuladas en un campo de sitio web, las cuales no estaban saneadas, causando cross-site scripting. La versión 1.56.2 soluciona el problema. No se conocen…

La aplicación web Telenium Online es vulnerable debido a un script Perl que se invoca para cargar la página de inicio de sesión. Debido a una validación de entrada incorrecta, un atacante puede inyectar código Perl arbitrario a través de una solicitud HTTP manipulada, lo que lleva a la ejecución remota de código en el…

SmartHouse Webapp 6.5.33 contains multiple cross-site request forgery and cross-site scripting vulnerabilities that allow attackers to perform unauthorized actions. Attackers can exploit these vulnerabilities by tricking logged-in users into visiting malicious websites or injecting malicious scripts into various…

Missing Authorization vulnerability in Wappointment team Wappointment wappointment allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects Wappointment: from n/a through <= 2.7.6.

Vulnerabilidad de autorización faltante en Bit Apps Bit Assist bit-assist permite la explotación de niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a Bit Assist: desde n/a hasta menor o igual que 1.5.11.

Missing Authorization vulnerability in VillaTheme HAPPY happy-helpdesk-support-ticket-system allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects HAPPY: from n/a through <= 1.0.9.

The Happy Addons for Elementor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'ha_page_custom_js' parameter in all versions up to, and including, 3.20.3 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level…

An arbitrary file upload vulnerability in the Attachments module of Frappe Framework v15.89.0 allows attackers to execute arbitrary code via uploading a crafted XML file.

Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in HappyDevs TempTool [Show Current Template Info] current-template-name allows Stored XSS.This issue affects TempTool [Show Current Template Info]: from n/a through <= 1.3.1.

Exposure of Sensitive System Information to an Unauthorized Control Sphere vulnerability in HappyDevs TempTool [Show Current Template Info] current-template-name allows Retrieve Embedded Sensitive Data.This issue affects TempTool [Show Current Template Info]: from n/a through <= 1.3.1.

Missing Authorization vulnerability in HappyFiles HappyFiles Pro happyfiles-pro allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects HappyFiles Pro: from n/a through 1.8.1.