Vulnerabilidades

El complemento GetResponse Forms de Optin Cat para WordPress es vulnerable a ataques de Cross-Site Scripting reflejado debido al uso de add_query_arg sin el escape adecuado en la URL en todas las versiones hasta la 2.5.6 incluida. Esto permite que atacantes no autenticados inyecten secuencias de comandos web…

Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en BM Rafiul Alam Awesome Contact Form7 para Elementor permite XSS almacenado. Este problema afecta a Awesome Contact Form7 para Elementor: desde n/a hasta 3.0.

La vulnerabilidad de inserción de información confidencial en los datos enviados en VideoWhisper.Com Contact Forms, Live Support, CRM, Video Messages permite recuperar datos confidenciales integrados. Este problema afecta a los formularios de contacto, soporte en vivo, CRM y mensajes de video: desde n/a hasta 1.10.2.

En flairNLP flair 0.14.0 se ha detectado una vulnerabilidad clasificada como crítica. La función ClusteringModel del archivo flair\models\clustering.py del componente Mode File Loader está afectada. La manipulación provoca la inyección de código. Es posible lanzar el ataque de forma remota. La complejidad del ataque…

La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en Supsystic Contact Form de Supsystic permite XSS almacenado. Este problema afecta a Contact Form de Supsystic: desde n/a hasta 1.7.28.

La vulnerabilidad de Cross-Site Request Forgery (CSRF) en A WP Life Contact Form Widget permite Cross-Site Request Forgery. Este problema afecta al widget de formulario de contacto: desde n/a hasta 1.4.2.

La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en Scott Paterson Contact Form 7 – PayPal & Stripe Add-on permite XSS reflejado. Este problema afecta a Contact Form 7 – PayPal & Stripe Add-on: desde n/a hasta 2.3.

El complemento Forminator Forms – Contact Form, Payment Form & Custom Form Builder para WordPress es vulnerable a Cross-Site Request Forgery en todas las versiones hasta la 1.35.1 incluida. Esto se debe a la falta o la validación incorrecta de nonce en la función 'create_module' del formulario personalizado. Esto…

El complemento Forminator Forms – Contact Form, Payment Form & Custom Form Builder para WordPress es vulnerable a Cross-Site Request Forgery en todas las versiones hasta la 1.35.1 incluida. Esto se debe a la falta o la validación incorrecta de nonce en la función 'create_module' del cuestionario. Esto permite que…

El complemento Calculated Fields Form para WordPress es vulnerable a la inyección de HTML en todas las versiones hasta la 5.2.45 incluida. Esto se debe a que el complemento no neutraliza correctamente los elementos HTML de los formularios enviados. Esto permite que atacantes no autenticados inyecten HTML arbitrario…

Se encontró una vulnerabilidad en aap-gateway. Existe una vulnerabilidad de cross-site scripting (XSS) en el componente de puerta de enlace. Esta falla permite que un usuario malintencionado realice acciones que afectan a los usuarios mediante el uso del "?next=" en una URL, lo que puede provocar redireccionamientos,…

La vulnerabilidad de neutralización incorrecta de elementos especiales utilizados en un motor de plantillas en Supsystic Contact Form de Supsystic permite la inyección de comandos. Este problema afecta a Contact Form de Supsystic: desde n/a hasta 1.7.28.

La plataforma SolarWinds era susceptible a una vulnerabilidad de cross-site scripting al realizar una función de edición en elementos existentes.

La plataforma SolarWinds es susceptible a una vulnerabilidad de escalada de privilegios locales en elementos de ruta de búsqueda no controlados. Esto requiere una cuenta con privilegios bajos y acceso local a la máquina del nodo afectado.

El complemento Formidable Form Builder para WordPress es vulnerable a la exposición de datos confidenciales en versiones hasta la 2.05.03 incluida a través de la acción AJAX frm_forms_preview. Esto permite que atacantes no autenticados exporten todas las entradas de formulario de un formulario determinado.

Los complementos Frontend File Manager (versiones < 4.0) y N-Media Post Front-end Form (versiones < 1.1) para WordPress son vulnerables a la carga de archivos arbitrarios debido a la falta de validación del tipo de archivo a través de las acciones AJAX `nm_filemanager_upload_file` y `nm_postfront_upload_file`.…

El complemento Formidable Form Builder para WordPress es vulnerable a cross-site scripting almacenado a través de múltiples parámetros enviados durante las entradas de formularios, como 'after_html' en versiones anteriores a la 2.05.03, debido a una desinfección de entrada y un escape de salida insuficientes. Esto…

El complemento Multiline files upload for contact form 7 de WordPress es vulnerable a la desactivación no autorizada de complementos debido a una verificación de capacidad faltante en la función mfcf7_zl_custom_handle_deactivation_plugin_form_submission() en todas las versiones hasta la 2.8.1 incluida. Esto permite…

La falta de autorización en Power Platform permite que un atacante no autenticado vea información confidencial a través de un vector de ataque de red.

Se encontró una vulnerabilidad en Podman, Buildah y CRI-O. Una vulnerabilidad de cruce de enlaces simbólicos en la librería de contenedores/almacenamiento puede hacer que Podman, Buildah y CRI-O se bloqueen y generen una denegación de servicio mediante la eliminación de OOM al ejecutar una imagen maliciosa utilizando…

La plataforma de marketing AIM LINE de Esi Technology no valida correctamente un parámetro de consulta específico. Cuando el módulo de campaña LINE está habilitado, atacantes remotos no autenticados pueden inyectar comandos FetchXml arbitrarios para leer, modificar y eliminar contenido de la base de datos.

La clase ee de FormosaSoft no valida correctamente un parámetro de página específico, lo que permite a atacantes remotos con privilegios regulares cargar primero un archivo PHP malicioso y luego explotar esta vulnerabilidad para incluir el archivo, lo que resulta en la ejecución de código arbitrario en el servidor.

La clase ee de FormosaSoft no valida correctamente un parámetro de página específico, lo que permite a atacantes remotos con privilegios regulares inyectar comandos SQL arbitrarios para leer, modificar y eliminar contenidos de la base de datos.

Una búsqueda dinámica de una librería de requisitos previos podría permitir que un atacante reemplace el archivo correcto en algunas circunstancias.

En las versiones de Splunk Enterprise anteriores a 9.2.3 y 9.1.6 y en las versiones de Splunk Cloud Platform anteriores a 9.2.2403.108 y 9.1.2312.205, un usuario con pocos privilegios que no tenga los roles de "administrador" o "poder" de Splunk podría crear un payload malicioso a través de un archivo de configuración…