Vulnerabilidades

Una falla de seguridad ha sido descubierta en yourmaileyes MOOC hasta la versión 1.17. Esto afecta a la función subreview del archivo mooc/controller/MainController.java del componente Submission Handler. Realizar la manipulación del argumento review resulta en cross-site scripting. El ataque puede ser iniciado…

Se detecta un problema en Terra Informatica Software, Inc Sciter v.4.4.7.0 que permite a un atacante local obtener información sensible a través del componente adopt de la función de renderizado de vídeo de Sciter.

Se ha identificado una debilidad en sunkaifei FlyCMS hasta abbaa5a8daefb146ad4d61027035026b052cb414. El elemento afectado es la función userLogin del archivo src/main/java/com/flycms/web/front/UserController.java del componente User Login. La manipulación del argumento redirectUrl puede llevar a cross site scripting.…

Una falla de seguridad ha sido descubierta en sunkaifei FlyCMS hasta abbaa5a8daefb146ad4d61027035026b052cb414. El elemento afectado es una función desconocida del archivo src/main/java/com/flycms/web/system/IndexAdminController.java del componente Admin Login. La manipulación del argumento redirectUrl resulta en cross…

Una vulnerabilidad de seguridad ha sido detectada en youlaitech youlai-mall 1.0.0/2.0.0. Afectada es la función submitOrderPayment del archivo mall-oms/oms-boot/src/main/java/com/youlai/mall/oms/controller/app/OrderController.java. Tal manipulación del argumento orderSn conduce a una autorización indebida. El ataque…

Se ha identificado una debilidad en youlaitech youlai-mall 1.0.0/2.0.0. Esto afecta a la función getMemberByMobile del archivo mall-ums/ums-boot/src/main/java/com/youlai/mall/ums/controller/app/MemberController.java. Esta manipulación provoca controles de acceso inadecuados. El ataque puede iniciarse remotamente. El…

Se ha descubierto una falla de seguridad en youlaitech youlai-mall 1.0.0/2.0.0. Esto afecta la función deductBalance del archivo mall-ums/ums-boot/src/main/java/com/youlai/mall/ums/controller/app/MemberController.java del componente Balance Handler. La manipulación resulta en una autorización indebida. El ataque puede…

Se identificó una vulnerabilidad en youlaitech youlai-mall 1.0.0/2.0.0. El elemento afectado es la función orderService.payOrder del archivo mall-oms/oms-boot/src/main/java/com/youlai/mall/oms/controller/app/OrderController.java del componente Order Payment Handler. La manipulación conduce a controles de acceso…

Vulnerabilidad de Neutralización Inadecuada de Entrada Durante la Generación de Páginas Web (XSS o 'cross-site scripting') en Verisay Communication and Information Technology Industry and Trade Ltd. Co. Aidango permite cross-site scripting (XSS). Este problema afecta a Aidango: anterior a 2.144.4.

Anviz AIM CrossChex Standard 4.3.6.0 contiene una vulnerabilidad de inyección CSV que permite a los atacantes ejecutar comandos mediante la inserción de fórmulas maliciosas en los campos de importación de usuarios. Los atacantes pueden elaborar cargas útiles en campos como 'Name', 'Gender' o 'Position' para provocar…

Una vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) reflejada en MyNET hasta la versión v26.08 permite a los atacantes ejecutar código arbitrario en el contexto del navegador de un usuario mediante la inyección de una carga útil manipulada en el parámetro HTTP.

Se ha descubierto que MyNET hasta la versión v26.08.316 contiene una vulnerabilidad de inyección SQL no autenticada a través del parámetro intmenu.

Se ha descubierto que MyNET hasta la versión v26.08 contiene una vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) reflejada a través del parámetro ficheiro.

Vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) en Rhys Wynne WP Email Capture wp-email-capture permite la falsificación de petición en sitios cruzados. Este problema afecta a WP Email Capture: desde n/a hasta menor o igual que 3.12.5.

Neutralización Incorrecta de la Entrada Durante la Generación de Páginas Web ('cross-site scripting') vulnerabilidad en Brainstorm Force Astra Widgets astra-widgets permite XSS Almacenado. Este problema afecta a Astra Widgets: desde n/a hasta menor o igual que 1.2.16.

Neutralización Incorrecta de la Entrada Durante la Generación de Páginas Web ('cross-site scripting') vulnerabilidad en AMP-MODE Review Disclaimer review-disclaimer permite XSS Almacenado. Este problema afecta a Review Disclaimer: desde n/a hasta menor o igual que 2.0.3.

LangChain es un framework para crear aplicaciones basadas en LLM. Antes de las versiones 0.3.80 y 1.1.8 de @langchain/core, y antes de las versiones 0.3.37 y 1.2.3 de langchain, existe una vulnerabilidad de inyección de serialización en el método toJSON() de LangChain JS (y, posteriormente, al convertir objetos en…

LangChain es un marco para crear agentes y aplicaciones basadas en LLM. Antes de las versiones 0.3.81 y 1.2.5, existe una vulnerabilidad de inyección de serialización en las funciones dumps() y dumpd() de LangChain. Las funciones no escapan los diccionarios con claves 'lc' al serializar diccionarios de formato libre.…

Se descubrió un problema en las cámaras IP Xiongmai XM530 con el firmware V5.00.R02.000807D8.10010.346624.S.ONVIF 21.06. GetStreamUri expone URI RTSP que contienen credenciales codificadas de forma fija, lo que permite el acceso directo y no autorizado a los flujos de vídeo.

Vulnerabilidad de omisión de autenticación en las cámaras IP Xiongmai XM530 con firmware V5.00.R02.000807D8.10010.346624.S.ONVIF 21.06 que permite a atacantes remotos no autenticados acceder a información sensible del dispositivo y a flujos de vídeo en directo. La implementación de ONVIF no logra exigir autenticación…

youlai-boot V2.21.1 es vulnerable a un Control de Acceso Incorrecto. La función importUsers del archivo SysUserController.java no realiza una comprobación de permisos sobre la identidad del usuario actual, lo que puede permitir a usuarios normales importar datos de usuarios en la base de datos, dando lugar a una…

youlai-boot V2.21.1 es vulnerable a un control de acceso incorrecto. La función getRoleForm en SysRoleController.java no realiza comprobaciones de permisos, lo que puede permitir que usuarios no root accedan directamente a roles de root.

Se ha descubierto que MyNET hasta la versión v26.05 contiene una vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) reflejada a través del parámetro src.

Control de acceso incorrecto en la API /api/v1/conversations/*/messages de GT Edge AI Platform anterior a v2.0.10-dev permite a atacantes no autorizados acceder al historial de mensajes de otros usuarios con agentes de IA.

Control de acceso incorrecto en la API /api/v1/conversations/*/files de GT Edge AI Platform anterior a la versión v2.0.10, que permite a atacantes no autorizados acceder a los archivos subidos por otros usuarios.