Vulnerabilidades

Se descubrió un problema en VirtoSoftware Virto Bulk File Download 5.5.44 para SharePoint 2019. El método Virto.SharePoint.FileDownloader/Api/Download.ashx isCompleted permite la descarga y eliminación de archivos arbitrarios mediante un path traversal absoluto en el parámetro de ruta.

Vulnerabilidad de autorización faltante en SoftLab Upload Fields for WPForms. Este problema afecta los campos de carga para WPForms: desde n/a hasta 1.0.2.

Control inadecuado del nombre de archivo para la declaración Incluir/Requerir en el programa PHP ('Inclusión remota de archivos PHP') vulnerabilidad en Wow-Company Easy Digital Downloads – Recent Purchases permite la inclusión remota de archivos PHP. Este problema afecta a Easy Digital Downloads – Recent Purchases:…

Un problema en coap_msg.c en FreeCoAP v.0.7 de Keith Cullen permite a atacantes remotos provocar una denegación de servicio o potencialmente revelar información a través de un paquete especialmente manipulado.

En el paquete mintupload hasta 4.2.0 para Linux Mint, el mal manejo del nombre del servicio conduce a la inyección de comandos a través de metacaracteres del shell en check_connection, drop_data_received_cb y Service.remove. Un usuario puede modificar el nombre de un servicio en un archivo…

Valtimo es una plataforma de gestión de casos y procesos empresariales de código abierto. Al abrir un formulario en Valtimo, el token de acceso (JWT) del usuario se expone a `api.form.io` a través del encabezado `x-jwt-token`. Un atacante puede recuperar información personal de este token o utilizarlo para ejecutar…

Carga sin restricciones de archivos con vulnerabilidad de tipo peligroso en URBAN BASE Z-Downloads. Este problema afecta a Z-Downloads: desde n/a hasta 1.11.3.

Se descubrió que los mensajes de error en RuvarOA v6.01 y v12.01 filtraban la ruta física del sitio web (/WorkFlow/OfficeFileUpdate.aspx). Esta vulnerabilidad puede permitir a los atacantes escribir archivos en el servidor o ejecutar comandos arbitrarios mediante declaraciones SQL manipuladas.

Se descubrió que RuvarOA v6.01 y v12.01 contenían una vulnerabilidad de inyección SQL a través del parámetro bt_id en /include/get_dict.aspx.

Se descubrió que RuvarOA v6.01 y v12.01 contenían una vulnerabilidad de inyección SQL a través del parámetro PageID en /WebUtility/SearchCondiction.aspx.

Se descubrió que RuvarOA v6.01 y v12.01 contenían una vulnerabilidad de inyección SQL a través del parámetro PageID en /WebUtility/get_find_condiction.aspx.

Se descubrió que RuvarOA v6.01 y v12.01 contenían una vulnerabilidad de inyección SQL a través del parámetro id en /WorkFlow/wf_office_file_history_show.aspx.

Se descubrió que RuvarOA v6.01 y v12.01 contenían una vulnerabilidad de inyección SQL a través del parámetro id en /PersonalAffair/worklog_template_show.aspx.

Se descubrió que RuvarOA v6.01 y v12.01 contenían una vulnerabilidad de inyección SQL a través del parámetro de nombre de archivo en /WorkFlow/OfficeFileDownload.aspx.

Se descubrió que RuvarOA v6.01 y v12.01 contenían una vulnerabilidad de inyección SQL a través del parámetro sys_file_storage_id en /WorkPlan/WorkPlanAttachDownLoad.aspx.

Se descubrió que RuvarOA v6.01 y v12.01 contenían una vulnerabilidad de inyección SQL a través del parámetro file_id en /filemanage/file_memo.aspx.

Se descubrió que RuvarOA v6.01 y v12.01 contenían una vulnerabilidad de inyección SQL a través del parámetro office_missive_id en /WorkFlow/wf_work_form_save.aspx.

Se descubrió que RuvarOA v6.01 y v12.01 contenían una vulnerabilidad de inyección SQL a través del parámetro txt_keyword en get_company.aspx.

Se descubrió que RuvarOA v6.01 y v12.01 contenían una vulnerabilidad de inyección SQL a través del parámetro id en /SysManage/sys_blogtemplate_new.aspx.

Se descubrió que RuvarOA v6.01 y v12.01 contenían una vulnerabilidad de inyección SQL a través del parámetro idlist en /WorkFlow/wf_work_print.aspx.

Se descubrió que RuvarOA v6.01 y v12.01 contenían una vulnerabilidad de inyección SQL a través del parámetro template_id en /WorkFlow/wf_get_fields_approve.aspx.

Se descubrió que RuvarOA v6.01 y v12.01 contenían una vulnerabilidad de inyección SQL a través del argumento tbTable en /WebUtility/MF.aspx.

Se descubrió que RuvarOA v6.01 y v12.01 contenían una vulnerabilidad de inyección SQL a través del parámetro template_id en /SysManage/wf_template_child_field_list.aspx.

Se descubrió que RuvarOA v6.01 y v12.01 contenían una vulnerabilidad de inyección SQL a través del parámetro id en /AddressBook/address_public_new.aspx.

Se descubrió que RuvarOA v6.01 y v12.01 contenían una vulnerabilidad de inyección SQL a través del parámetro id en /AddressBook/address_public_show.aspx.