Vulnerabilidades

El complemento Forminator Forms – Contact Form, Payment Form & Custom Form Builder para WordPress es vulnerable a una referencia directa a objetos insegura en todas las versiones hasta la 1.36.0 incluida a través de la función submission_quizzes() debido a la falta de validación en la clave controlada por el…

La vulnerabilidad de autorización faltante en Mondula GmbH Multi Step Form permite explotar niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a Multi Step Form: desde n/a hasta 1.7.21.

La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en Ilias Gomatos Affiliate Platform permite XSS reflejado. Este problema afecta a Affiliate Platform: desde n/a hasta 1.4.8.

Vulnerabilidad de autorización faltante en GRÜN Software Group GmbH GRÜN spendino Spendenformular permite la escalada de privilegios. Este problema afecta a GRÜN spendino Spendenformular: desde n/a hasta 1.0.1.

La vulnerabilidad de carga sin restricciones de archivos con tipo peligroso en mahlamusa Multi Purpose Mail Form permite cargar un shell web a un servidor web. Este problema afecta al formulario de correo multipropósito: desde n/a hasta 1.0.2.

La vulnerabilidad de control inadecuado del nombre de archivo para la declaración Include/Require en el programa PHP ('Inclusión de archivo remoto PHP') en BuyNowDepot Advanced Online Ordering and Delivery Platform permite la inclusión de archivos locales PHP. Este problema afecta a la Plataforma avanzada de pedidos y…

El complemento Forminator Forms – Contact Form, Payment Form & Custom Form Builder para WordPress es vulnerable al acceso no autorizado debido a la falta de una comprobación de capacidad en una función en todas las versiones hasta la 1.35.1 incluida. Esto permite que atacantes autenticados, con acceso de nivel de…

El complemento Forms for Mailchimp by Optin Cat – Grow Your MailChimp List para WordPress es vulnerable a Cross-Site Scripting Reflejado debido al uso de add_query_arg sin el escape adecuado en la URL en todas las versiones hasta la 2.5.6 incluida. Esto permite que atacantes no autenticados inyecten secuencias de…

El complemento FormFacade de WordPress para Google Forms es vulnerable a ataques de Cross-Site Scripting Reflejado a través de los parámetros 'userId' y 'publishId' en todas las versiones hasta la 1.3.6 incluida, debido a una desinfección de entrada y un escape de salida insuficientes. Esto permite que atacantes no…

Una vulnerabilidad de carga de archivos arbitrarios en Huly Platform v0.6.295 permite a los atacantes ejecutar código arbitrario mediante la carga de un archivo HTML manipulado en un grupo de chat.

Una vulnerabilidad de carga de archivos arbitrarios en Huly Platform v0.6.295 permite a los atacantes ejecutar código arbitrario mediante la carga de un archivo HTML manipulado específicamente en la página de comentarios del rastreador.

El complemento File Upload Types de WPForms para WordPress es vulnerable a cross-site scripting almacenado a través de cargas de archivos SVG en todas las versiones hasta la 1.4.0 incluida, debido a una desinfección de entrada y un escape de salida insuficientes. Esto permite que atacantes autenticados, con acceso de…

Se descubrió que el enrutador CPE Tianyu CommonCPExCPETS_v3.2.468.11.04_P4 de Wuhan Tianyu Information Industry Co., Ltd contenía una vulnerabilidad de inyección de comandos a través del componente at_command.asp.

El complemento Contact Form 7 – Repeatable Fields para WordPress es vulnerable a cross-site scripting almacenado a través del shortcode field_group del complemento en todas las versiones hasta la 2.0.1 incluida, debido a una desinfección de entrada insuficiente y al escape de salida en los atributos proporcionados por…

La consola de scripts en Liferay Portal 7.0.0 a 7.4.3.101, y Liferay DXP 2023.Q3.1 a 2023.Q3.4, 7.4 GA a la actualización 92, 7.3 GA a la actualización 35, 7.2 GA a través del fixpack 20, 7.1 GA a través del fixpack 28, 7.0 GA a través del fixpack 102 y 6.2 GA a través del fixpack 173 no protege lo suficiente contra…

El componente workflow en Liferay Portal 7.3.2 a 7.4.3.111, y Liferay DXP 2023.Q4.0 a 2023.Q4.5, 2023.Q3.1 a 2023.Q3.8, 7.4 GA a la actualización 92 y 7.3 GA a la actualización 36 no verifica correctamente los permisos de usuario antes de actualizar una definición de workflow, lo que permite a los usuarios…

La vulnerabilidad de Cross-Site Request Forgery (CSRF) en el editor de páginas de contenido en Liferay Portal 7.4.0 a 7.4.3.103, y Liferay DXP 2023.Q4.0 a 2023.Q4.2, 2023.Q3.1 a 2023.Q3.5, 7.4 GA a la actualización 92 y 7.3 actualización 29 a la actualización 35 permite a atacantes remotos (1) cambiar las contraseñas…

La vulnerabilidad de Cross-Site Request Forgery (CSRF) en el editor de páginas de contenido en Liferay Portal 7.3.2 a 7.4.3.107, y Liferay DXP 2023.Q4.0 a 2023.Q4.2, 2023.Q3.1 a 2023.Q3.5, 7.4 GA a la actualización 92 y 7.3 GA a la actualización 35 permite a atacantes remotos (1) cambiar las contraseñas de los…

La vulnerabilidad de Cross-Site Request Forgery (CSRF) en el widget Mi cuenta en Liferay Portal 7.4.3.75 a 7.4.3.111, y Liferay DXP 2023.Q4.0 a 2023.Q4.2, 2023.Q3.1 a 2023.Q3.5, 7.4 actualización 75 a 92 y 7.3 actualización 32 a 36 permite a atacantes remotos (1) cambiar las contraseñas de los usuarios, (2) apagar el…

Se encontró una vulnerabilidad en GraphQL debido a controles de acceso inadecuados en la consulta de introspección de GraphQL. Este fallo permite que usuarios no autorizados recuperen una lista completa de consultas y mutaciones disponibles. La exposición a este fallo aumenta la superficie de ataque, ya que puede…

Se encontró una vulnerabilidad de denegación de servicio (DoS) en OpenShift. Este fallo permite a los atacantes explotar la funcionalidad de procesamiento por lotes de GraphQL. La vulnerabilidad surge cuando se pueden enviar múltiples consultas dentro de una sola solicitud, lo que permite a un atacante enviar una…

Se encontró una vulnerabilidad en Wildfly, donde un usuario puede ejecutar cross-site scripting en el sistema de implementación de Wildfly. Este fallo permite que un atacante o un usuario interno ejecute una implementación con un payload, que podría desencadenar un comportamiento no deseado contra el servidor.

La vulnerabilidad de Cross-Site Request Forgery (CSRF) en Henrique Rodrigues SafetyForms permite la inyección SQL ciega. Este problema afecta a SafetyForms: desde n/a hasta 1.0.0.

La vulnerabilidad de neutralización incorrecta de elementos especiales utilizados en un comando SQL ('Inyección SQL') en Infotuts SW Contact Form permite una inyección SQL ciega. Este problema afecta a SW Contact Form: desde n/a hasta 1.0.

La vulnerabilidad de Cross-Site Request Forgery (CSRF) en APA Register Newsletter Form permite la inyección de SQL. Este problema afecta a APA Register Newsletter Form: desde n/a hasta 1.0.0.