Vulnerabilidades

Ksenia Security Lares 4.0 Home Automation versión 1.6 contiene una vulnerabilidad de endpoint desprotegido que permite a atacantes autenticados cargar imágenes binarias del sistema de archivos MPFS. Los atacantes pueden explotar esta vulnerabilidad para sobrescribir la memoria de programa flash y potencialmente…

Ksenia Security Lares 4.0 versión 1.6 contiene una vulnerabilidad de redirección de URL en el script 'cmdOk.xml' que permite a los atacantes manipular el parámetro GET 'redirectPage'. Los atacantes pueden crear enlaces maliciosos que redirigen a usuarios autenticados a sitios web arbitrarios al hacer clic en un enlace…

Ksenia Security Lares 4.0 Home Automation versión 1.6 contiene una vulnerabilidad de credenciales por defecto que permite a atacantes no autorizados obtener acceso administrativo. Los atacantes pueden explotar las credenciales administrativas débiles por defecto para obtener control total del sistema de automatización…

MiniDVBLinux 5.4 contiene una vulnerabilidad de ejecución remota de comandos que permite a atacantes no autenticados ejecutar comandos arbitrarios como root a través del parámetro GET 'command'. Los atacantes pueden explotar el endpoint /tpl/commands.sh enviando valores de comando maliciosos para obtener acceso al…

NLB mKlik Macedonia 3.3.12 contiene una vulnerabilidad de inyección SQL en los parámetros de transferencia internacional que permite a los atacantes manipular consultas de base de datos. Los atacantes pueden inyectar código SQL arbitrario a través de entradas no saneadas para potencialmente divulgar información…

nixseparatedebuginfod anterior a la v0.4.1 es vulnerable a salto de directorio.

El plugin Strong Testimonials para WordPress es vulnerable a la modificación no autorizada de datos debido a una comprobación de capacidad faltante en la función 'edit_rating' en todas las versiones hasta la 3.2.18, inclusive. Esto hace posible que atacantes autenticados con acceso de nivel Colaborador o superior…

Vulnerabilidad de exposición de información sensible del sistema a una esfera de control no autorizada en Aethonic Poptics: Constructor de pop-ups impulsado por IA para generación de leads, conversiones, intención de salida, suscripciones por correo electrónico y ventas de WooCommerce poptics permite recuperar datos…

Neutralización Incorrecta de la Entrada Durante la Generación de Páginas Web ('cross-site scripting') vulnerabilidad en Magnigenie RestroPress restropress permite XSS Almacenado. Este problema afecta a RestroPress: desde n/a hasta menor o igual a 3.2.4.2.

Vulnerabilidad por ausencia de autorización en Stephen Harris Event Organiser event-organiser permite la explotación de niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a Event Organiser: hasta la versión menor igual que 3.12.8.

Neutralización Incorrecta de la Entrada Durante la Generación de Páginas Web ('cross-site scripting') vulnerabilidad en xenioushk BWL Knowledge Base Manager bwl-kb-manager permite XSS Almacenado. Este problema afecta a BWL Knowledge Base Manager: desde n/a hasta menor o igual que 1.6.3.

Neutralización Incorrecta de la Entrada Durante la Generación de Páginas Web ('cross-site scripting') vulnerabilidad en xenioushk BWL Pro Voting Manager bwl-pro-voting-manager permite XSS basado en DOM. Este problema afecta a BWL Pro Voting Manager: desde n/a hasta menor o igual que 1.4.9.

Vulnerabilidad de Neutralización Incorrecta de Elementos Especiales utilizados en un Comando SQL ('Inyección SQL') en xenioushk BWL Pro Voting Manager bwl-pro-voting-manager permite Inyección SQL Ciega. Este problema afecta a BWL Pro Voting Manager: desde n/a hasta menor igual que 1.4.9.

Control inadecuado del nombre de fichero para la declaración include/require en programa PHP ('Inclusión remota de ficheros PHP') vulnerabilidad en miniOrange WordPress Social Login and Register miniorange-login-openid permite la inclusión local de ficheros PHP. Este problema afecta a WordPress Social Login and…

Una vulnerabilidad de seguridad ha sido detectada en CloudPanel Community Edition hasta la versión 2.5.1. El elemento afectado es una función desconocida del archivo /admin/users del componente HTTP Header Handler. Dicha manipulación del argumento Referer conduce a una redirección abierta. Es posible lanzar el ataque…

Una falla de seguridad ha sido descubierta en code-projects/anirbandutta9 Content Management System y News-Buzz 1.0. Esta vulnerabilidad afecta código desconocido del archivo /admin/editposts.php. Realizar la manipulación del argumento image resulta en una carga sin restricciones. El ataque puede ser iniciado…

El plugin de WordPress Plugin Organizer anterior a la versión 10.2.4 no sanea ni escapa un parámetro antes de usarlo en una sentencia SQL, lo que permite a los suscriptores realizar ataques de inyección SQL.

Se ha encontrado una vulnerabilidad en prasathmani TinyFileManager hasta la versión 2.6. Afectada por este problema está alguna funcionalidad desconocida del archivo tinyfilemanager.php. Esta manipulación del argumento fullpath causa salto de ruta. La explotación remota del ataque es posible. El exploit ha sido…

Debido a la carga insegura de bibliotecas en el ejecutable del software Eaton UPS Companion, un atacante con acceso al paquete de software podría realizar ejecución de código arbitrario. Este problema de seguridad ha sido corregido en la última versión de EUC, que está disponible en el centro de descargas de Eaton.

Comillas incorrectas en las rutas de búsqueda en el instalador del software Eaton UPS Companion podrían llevar a la ejecución de código arbitrario de un atacante con acceso al sistema de archivos. Este problema de seguridad ha sido corregido en la última versión de EUC, la cual está disponible en el centro de…

Autenticación incorrecta de archivos de biblioteca en el instalador del software Eaton UPS Companion podría conducir a la ejecución de código arbitrario de un atacante con acceso al paquete de software. Este problema de seguridad ha sido solucionado en la última versión de EUC, que está disponible en el centro de…

Neutralización Inadecuada de Entrada Durante la Generación de Páginas Web (XSS o 'cross-site scripting') vulnerabilidad en Verisay Communication and Information Technology Industry and Trade Ltd. Co. Trizbi permite cross-site scripting (XSS). Este problema afecta a Trizbi: antes de 2.144.4.

Neutralización Inadecuada de Entrada Durante la Generación de Páginas Web (XSS o 'cross-site scripting') vulnerabilidad en Verisay Communication and Information Technology Industry and Trade Ltd. Co. Titarus permite cross-site scripting (XSS). Este problema afecta a Titarus: antes de 2.144.4.

Vulnerabilidad de Neutralización Inadecuada de Entrada Durante la Generación de Páginas Web (XSS o 'cross-site scripting') en Verisay Communication and Information Technology Industry and Trade Ltd. Co. Aidango permite cross-site scripting (XSS). Este problema afecta a Aidango: anterior a 2.144.4.

Pexip Infinity 35.0 hasta 38.1 antes de 39.0, en configuraciones no predeterminadas que usan Direct Media para WebRTC, tiene una validación de entrada incorrecta en la señalización que permite a un atacante activar una interrupción de software, lo que resulta en una denegación de servicio temporal.