Vulnerabilidades

Neutralización Incorrecta de la Entrada Durante la Generación de Páginas Web ('cross-site scripting') vulnerabilidad en Igor Benic Pets pets permite XSS Reflejado. Este problema afecta a Pets: desde n/a hasta menor o igual que 1.4.1.

Neutralización Incorrecta de la Entrada Durante la Generación de Páginas Web ('cross-site scripting') vulnerabilidad en growniche Simple Stripe Checkout simple-stripe-checkout permite XSS Reflejado. Este problema afecta a Simple Stripe Checkout: desde n/a hasta menor o igual a 1.1.28.

Neutralización Incorrecta de la Entrada Durante la Generación de Páginas Web ('cross-site scripting') vulnerabilidad en themeinity ShareBang, Ultimate Social Share Buttons para WordPress sharebang permite XSS Reflejado. Este problema afecta a ShareBang, Ultimate Social Share Buttons para WordPress: desde n/a hasta…

Vulnerabilidad de autorización faltante en el plugin wplms de VibeThemes WPLMS permite acceder a funcionalidades no restringidas adecuadamente por ACLs. Este problema afecta a WPLMS: desde n/a hasta menor o igual que 1.9.9.7.

Vulnerabilidad de control inadecuado del nombre de fichero para la declaración Include/Require en el programa PHP ('inclusión remota de ficheros PHP') en Kevon Adonis WP Abstracts wp-abstracts-manuscripts-manager permite la inclusión local de ficheros PHP. Este problema afecta a WP Abstracts: desde n/a hasta menor o…

Vulnerabilidad de control inadecuado del nombre de fichero para la declaración include/require en el programa PHP ('Inclusión Remota de Ficheros PHP') en RadiusTheme Testimonial Slider And Showcase Pro testimonial-slider-showcase-pro permite la inclusión local de ficheros PHP. Este problema afecta a Testimonial Slider…

En la versión 1.6.0 de langgenius/dify-web, el mecanismo de autenticación revela la existencia de cuentas de usuario al devolver mensajes de error diferentes para cuentas inexistentes y existentes. Específicamente, cuando se intenta iniciar sesión o registrarse con un nombre de usuario o correo electrónico…

El plugin Material Design Iconic Font Integration para WordPress es vulnerable a cross-site scripting almacenado a través del shortcode 'mdiconic' del plugin en todas las versiones hasta la 2, inclusive, debido a una sanitización de entrada insuficiente y un escape de salida en los atributos proporcionados por el…

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en el plugin GeniAI de Moodle (local_geniai) 2.3.6. Un usuario autenticado con el rol de Profesor puede subir un PDF que contiene JavaScript incrustado. El asistente muestra un enlace HTML directo al archivo subido sin sanitizar. Cuando otros usuarios…

Vulnerabilidad de falta de autenticación para una función crítica en ABB ALS-mini-s4 IP, ABB ALS-mini-s8 IP.Este problema afecta a . Todas las versiones de firmware con el número de serie comprendido entre 2000 y 5166

Existe una vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en TastyIgniter 3.7.7, que afecta al componente /admin/media_manager. Los atacantes pueden subir un archivo SVG malicioso que contiene código JavaScript. Cuando un administrador previsualiza el archivo, el código se ejecuta en el contexto de…

La falta de limitación de velocidad en el endpoint de verificación de contraseñas de un solo uso (OTP) de SigningHub v8.6.8 permite a los atacantes eludir la verificación mediante un ataque de fuerza bruta.

La falta de limitación de la frecuencia de peticiones en el componente /Home/UploadStreamDocument de SigningHub v8.6.8 permite a los atacantes provocar una denegación de servicio (DoS) mediante la subida de un número excesivo de archivos.

El control de acceso incorrecto en SigningHub v8.6.8 permite a los atacantes añadir cuentas de usuario de forma arbitraria sin ningún límite de frecuencia. Esto puede provocar un agotamiento de recursos y una denegación de servicio (DoS) cuando se crea un número excesivamente grande de cuentas de usuario.

Vulnerabilidad de elusión de autorización mediante clave controlada por el usuario en VHS Electronic Software Ltd. Co. ACE Center permite el abuso de privilegios, la explotación de identificadores de confianza. Este problema afecta a ACE Center: desde 3.10.100.1768 antes de 3.10.161.2255.

Se ha encontrado una vulnerabilidad en Nixdorf Wincor PORT IO Driver hasta la 1.0.0.1. Esto afecta a la función sub_11100 en la biblioteca wnport.sys del componente Gestor IOCTL. Dicha manipulación conduce a un desbordamiento de búfer basado en pila. Se requiere acceso local para llevar a cabo este ataque. El exploit…

El plugin FileBird - WordPress Media Library Folders & File Manager para WordPress es vulnerable a la modificación no autorizada de datos debido a una comprobación de capacidad faltante en la función /filebird/v1/fb-wipe-clear-all-data en todas las versiones hasta la 6.4.9, inclusive. Esto hace posible que atacantes…

La falta de limitación de velocidad en el mecanismo de inicio de sesión de SigningHub v8.6.8 permite a los atacantes eludir la autenticación mediante un ataque de fuerza bruta.

Una vulnerabilidad de carga de archivos arbitrarios en SigningHub v8.6.8 permite a los atacantes ejecutar código arbitrario mediante la carga de un archivo PDF manipulado.

XMLUnit para Java anterior a 2.10.0, en la configuración predeterminada, podría permitir la ejecución de código a través de una hoja de estilo no confiable (utilizada para una transformación XSLT), porque las funciones de extensión XSLT están habilitadas.

Dify es una plataforma de desarrollo de aplicaciones basadas en LLM. En las versiones de Dify hasta la 1.9.1 inclusive, el componente OAuth de MCP es vulnerable a secuencias de comandos en sitios cruzados (XSS) cuando una víctima se conecta a un servidor MCP remoto controlado por un atacante. La vulnerabilidad existe…

MinIO es un sistema de almacenamiento de objetos de alto rendimiento. En todas las versiones anteriores a RELEASE.2025-10-15T17-29-55Z, una vulnerabilidad de escalada de privilegios permite que las cuentas de servicio y las cuentas de STS (Security Token Service) con políticas de sesión restringidas eludan las…

Debido a una implementación insuficiente del control de acceso en múltiples productos de WSO2, las comprobaciones de autenticación y autorización de determinadas API REST pueden eludirse, lo que permite invocarlas sin la validación adecuada. La explotación satisfactoria de esta vulnerabilidad podría permitir a un…

Una vulnerabilidad de control de acceso inadecuado existe en múltiples productos WSO2 debido a una aplicación de permisos insuficiente en ciertos servicios SOAP Admin internos y API REST del sistema. Un usuario con bajos privilegios puede explotar esta falla para realizar operaciones no autorizadas, incluyendo el…

Una vulnerabilidad de validación de certificado incorrecta fue reportada en el Lenovo Universal Device Cliente (UDC) que podría permitir a un usuario capaz de interceptar el tráfico de red obtener metadatos de la aplicación, incluyendo información del dispositivo, geolocalización y datos de telemetría.