Vulnerabilidades

El plugin Smart App Banners para WordPress es vulnerable a cross-site scripting almacenado a través de los parámetros 'size' y 'verticalalign' del shortcode 'app-store-download' en todas las versiones hasta la 1.2, inclusive, debido a una sanitización de entrada y un escape de salida insuficientes en atributos…

El plugin Bit Form - Contact Form Plugin para WordPress es vulnerable a la ejecución no autorizada de flujos de trabajo debido a la falta de autorización en la función triggerWorkFlow en todas las versiones hasta la 2.21.6, inclusive. Esto se debe a un fallo lógico en la verificación del nonce, donde la comprobación…

Vulnerabilidad de Autorización faltante en CoolHappy The Events Calendar Countdown Addon countdown-for-the-events-calendar permite Explotar Niveles de Seguridad de Control de Acceso Configurados Incorrectamente. Este problema afecta a The Events Calendar Countdown Addon: desde n/a hasta menor o igual a 1.4.15.

Control inadecuado del nombre de fichero para la declaración include/require en un programa PHP (vulnerabilidad de 'inclusión remota de ficheros PHP') en Elated-Themes Frappé permite la inclusión local de ficheros PHP. Este problema afecta a Frappé: desde n/a hasta 1.8.

Dell Unisphere para PowerMax, versión(es) 9.2.4.x, contiene una vulnerabilidad de restricción inadecuada de referencia a entidad externa XML. Un atacante con privilegios bajos con acceso remoto podría potencialmente explotar esta vulnerabilidad, lo que podría llevar a un acceso no autorizado a datos y recursos fuera…

El plugin 'Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin' para WordPress es vulnerable a la Exposición de Información Sensible en todas las versiones hasta la 1.6.9.5, inclusive, a través de la función hash() debido al uso de una 'salt' de respaldo codificada de forma rígida. Esto hace…

Frappe is a full-stack web application framework. Versions 14.99.5 and below and 15.0.0 through 15.80.1 include requests that are vulnerable to path traversal attacks. Arbitrary files from the server could be retrieved due to a lack of proper sanitization on some requests. This issue is fixed in versions 14.99.6 and…

Vulnerabilidad de carga irrestricta de archivo con tipo peligroso en Meow Apps Media File Renamer permite el uso de archivos maliciosos. Este problema afecta a Media File Renamer: desde n/a hasta 5.7.7.

Una vulnerabilidad fue encontrada en SourceCodester API Key Manager App 1.0. Afectada por esta vulnerabilidad es una funcionalidad desconocida del componente Import Key Handler. Realizar una manipulación resulta en cross-site scripting. El ataque puede ser iniciado remotamente.

An SQL injection vulnerability has been reported to affect MARS (Multi-Application Recovery Service). The remote attackers can then exploit the vulnerability to execute unauthorized code or commands. We have already fixed the vulnerability in the following version: MARS (Multi-Application Recovery Service) 1.2.1.1686…

Neutralización incorrecta de la entrada durante la generación de páginas web ('cross-site scripting') vulnerabilidad en el plugin de la aplicación móvil Blappsta de nebelhorn y su aplicación nativa móvil para iPhone y Android permite XSS reflejado. Este problema afecta al plugin de la aplicación móvil Blappsta - Su…

Vulnerabilidad de Autorización Faltante en merkulove Appender permite Explotar Niveles de Seguridad de Control de Acceso Incorrectamente Configurados. Este problema afecta a Appender: desde n/a hasta 1.1.1.

Vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) en Appointify permite la falsificación de petición en sitios cruzados. Este problema afecta a Appointify: desde n/a hasta 1.0.8.

El plugin de WordPress Knowband Mobile App Builder anterior a la versión 3.0.0 no tiene autorización al eliminar usuarios a través de su API REST, lo que permite a atacantes no autenticados eliminar usuarios arbitrarios.

Una vulnerabilidad de Neutralización Incorrecta de Elementos Especiales utilizados en un Comando SQL ('Inyección SQL') en Appointify permite Inyección SQL Ciega. Este problema afecta a Appointify: desde n/a hasta 1.0.8.

Vulnerabilidad de Exposición de Información Sensible del Sistema a una Esfera de Control No Autorizada en o2oe E-Invoice App Malaysia einvoiceapp-malaysia permite Recuperar Datos Sensibles Incrustados. Este problema afecta a E-Invoice App Malaysia: desde n/a hasta menor o igual que 1.1.0.

Frappe is a full-stack web application framework. Prior to versions 14.99.6 and 15.88.1, an authenticated user with specific permissions could be tricked into accessing a specially crafted link. This could lead to a malicious template being executed on the server, resulting in remote code execution. Versions 14.99.6…

Frappe CRM es una herramienta de gestión de relaciones con clientes de código abierto. Antes de la versión 1.56.2, los usuarios autenticados podían establecer URLs manipuladas en un campo de sitio web, las cuales no estaban saneadas, causando cross-site scripting. La versión 1.56.2 soluciona el problema. No se conocen…

La aplicación web Telenium Online es vulnerable debido a un script Perl que se invoca para cargar la página de inicio de sesión. Debido a una validación de entrada incorrecta, un atacante puede inyectar código Perl arbitrario a través de una solicitud HTTP manipulada, lo que lleva a la ejecución remota de código en el…

SmartHouse Webapp 6.5.33 contains multiple cross-site request forgery and cross-site scripting vulnerabilities that allow attackers to perform unauthorized actions. Attackers can exploit these vulnerabilities by tricking logged-in users into visiting malicious websites or injecting malicious scripts into various…

Missing Authorization vulnerability in Wappointment team Wappointment wappointment allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects Wappointment: from n/a through <= 2.7.6.

Vulnerabilidad de autorización faltante en Bit Apps Bit Assist bit-assist permite la explotación de niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a Bit Assist: desde n/a hasta menor o igual que 1.5.11.

Missing Authorization vulnerability in VillaTheme HAPPY happy-helpdesk-support-ticket-system allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects HAPPY: from n/a through <= 1.0.9.

The Happy Addons for Elementor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'ha_page_custom_js' parameter in all versions up to, and including, 3.20.3 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level…

An arbitrary file upload vulnerability in the Attachments module of Frappe Framework v15.89.0 allows attackers to execute arbitrary code via uploading a crafted XML file.