Vulnerabilidades

La autenticación insuficiente en la gestión de cuentas de usuario en la plataforma Yugabyte permite a los atacantes de la red local con una sesión de usuario comprometida cambiar información de seguridad crítica sin volver a autenticarse. Un atacante con sesión de usuario y acceso a la aplicación puede modificar…

La exposición de información en el sistema de registro de Yugabyte Platform permite a atacantes locales con acceso a los registros de aplicaciones obtener credenciales de usuario de la base de datos en archivos de registro, lo que podría conducir a un acceso no autorizado a la base de datos.

La restricción inadecuada de la vulnerabilidad de referencia de entidades externas XML en PruvaSoft Informatics Apinizer Management Console permite la explosión de entidades externas de serialización de datos. Este problema afecta a Apinizer Management Console: antes de 2024.05.1.

Omisión de autenticación mediante una vulnerabilidad de canal o ruta alternativa en PruvaSoft Informatics Apinizer Management Console permite la omisión de autenticación. Este problema afecta a Apinizer Management Console: antes de 2024.05.1.

Vulnerabilidad de omisión de autorización a través de clave controlada por el usuario en PruvaSoft Informatics Apinizer Management Console permite explotar niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a Apinizer Management Console: antes de 2024.05.1.

Asignación de permisos incorrecta para una vulnerabilidad de recursos críticos en PruvaSoft Informatics Apinizer Management Console permite acceder a funciones no restringidas adecuadamente por las ACL. Este problema afecta a Apinizer Management Console: antes de 2024.05.1.

El complemento AForms - Form Builder for Price Calculator & Cost Estimation para WordPress es vulnerable a la divulgación de ruta completa en todas las versiones hasta la 2.2.6 incluida. Esto se debe a que el complemento utiliza la librería aura y permite el acceso directo a los archivos de prueba de phpunit. Esto…

El complemento wp-affiliate-platform de WordPress anterior a 6.5.1 no tiene activada la verificación CSRF al actualizar su configuración, lo que podría permitir a los atacantes hacer que un usuario que haya iniciado sesión los cambie mediante un ataque CSRF.

El complemento wp-affiliate-platform de WordPress anterior a 6.5.1 no sanitiza ni escapa un parámetro antes de devolverlo a la página, lo que genera Cross-Site Scripting Reflejado que podría usarse contra usuarios con altos privilegios, como el administrador.

El complemento wp-affiliate-platform de WordPress anterior a 6.5.1 no tiene verificación CSRF en algunos lugares y le falta sanitización y escape, lo que podría permitir a los atacantes hacer que el administrador que haya iniciado sesión agregue payloads XSS Almacenado a través de un ataque CSRF.

El complemento wp-affiliate-platform de WordPress anterior a 6.5.1 no sanitiza ni escapa un parámetro antes de devolverlo a la página, lo que genera Cross-Site Scripting Reflejado que podría usarse contra usuarios con altos privilegios, como el administrador.

El complemento wp-affiliate-platform de WordPress anterior a 6.5.1 no sanitiza ni escapa un parámetro antes de devolverlo a la página, lo que genera Cross-Site Scripting Reflejado que podría usarse contra usuarios con altos privilegios, como el administrador.

El complemento wp-affiliate-platform de WordPress anterior a 6.5.1 no sanitiza ni escapa un parámetro antes de devolverlo a la página, lo que genera Cross-Site Scripting Reflejado que podría usarse contra usuarios con altos privilegios, como el administrador.

El complemento wp-affiliate-platform de WordPress anterior a 6.5.1 no tiene verificación CSRF en algunos lugares y le falta sanitización y escape, lo que podría permitir a los atacantes hacer que los usuarios que no han iniciado sesión ejecuten un payload XSS a través de un ataque CSRF.

El complemento OpenPGP Form Encryption para WordPress anterior a 1.5.1 no valida ni escapa algunos de sus atributos de shortcode antes de devolverlos a una página/publicación donde está incrustado el shortcode, lo que podría permitir a los usuarios con el rol de colaborador y superiores realizar ataques de Cross-Site…

IBM InfoSphere Server 11.7 es vulnerable a cross-site scripting. Esta vulnerabilidad permite a un usuario autenticado incrustar código JavaScript arbitrario en la interfaz de usuario web, alterando así la funcionalidad prevista, lo que podría conducir a la divulgación de credenciales dentro de una sesión confiable. ID…

El complemento Form Vibes para WordPress es vulnerable a la inyección SQL a través del parámetro 'fv_export_data' en todas las versiones hasta la 1.4.10 incluida debido a un escape insuficiente en el parámetro proporcionado por el usuario y a la falta de preparación suficiente en la consulta SQL existente. Esto hace…

Exposición de información confidencial a una vulnerabilidad de actor no autorizado en la base de datos Pauple Table & Contact Form 7 – Tablesome. Este problema afecta la base de datos Table & Contact Form 7 – Tablesome: desde n/a hasta 1.0.33.

ServiceNow ha abordado una vulnerabilidad de lectura de archivos confidenciales que se identificó en las versiones de las plataformas Now de Washington DC, Vancouver y Utah. Esta vulnerabilidad podría permitir que un usuario administrativo obtenga acceso no autorizado a archivos confidenciales en el servidor de…

El complemento Gravity Forms: Multiple Form Instances para WordPress es vulnerable a la divulgación de ruta completa en todas las versiones hasta la 1.1.1 incluida. Esto se debe a que el complemento deja archivos de prueba con display_errors activado. Esto hace posible que atacantes no autenticados recuperen la ruta…

La vulnerabilidad de control inadecuado de la generación de código ("inyección de código") en Saturday Drive Ninja Forms permite la inyección de código. Este problema afecta a Ninja Forms: desde n/a hasta 3.8.4.

El complemento Registration Forms – User Registration Forms, Invitation-Based Registrations, Front-end User Profile, Login Form & Content Restriction para WordPress son vulnerables a la instalación y activación/desactivación arbitraria no autorizada de complementos debido a la falta de comprobaciones de capacidad…

El complemento Generate PDF using Contact Form 7 para WordPress es vulnerable a Cross-Site Request Forgery para la carga arbitraria de archivos en versiones hasta la 4.0.6 incluida. Esto se debe a que falta la validación nonce y que el complemento no valida correctamente un archivo o su ruta antes de eliminarlo en la…

El complemento Generate PDF using Contact Form 7 para WordPress es vulnerable a Cross-Site Request Forgery para la carga arbitraria de archivos en versiones hasta la 4.0.6 incluida. Esto se debe a que falta la validación nonce y la validación del tipo de archivo en la función 'wp_cf7_pdf_dashboard_html_page'. Esto…

El complemento Gutenberg Forms para WordPress es vulnerable a cargas de archivos arbitrarias debido a que los usuarios pueden especificar los tipos de archivos permitidos en la función 'upload' en versiones hasta la 2.2.9 incluida. Esto hace posible que atacantes no autenticados carguen archivos arbitrarios en el…