Vulnerabilidades

Neutralización Incorrecta de Elementos Especiales utilizados en un Comando SQL ('Inyección SQL') vulnerabilidad en LambertGroup LambertGroup - AllInOne - Banner with Thumbnails permite Inyección SQL Ciega. Este problema afecta a LambertGroup - AllInOne - Banner with Thumbnails: desde n/a hasta 3.8.

Vulnerabilidad por falta de autorización en Roxnor EmailKit permite la explotación de niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a EmailKit: desde n/a hasta 1.6.0.

Apache Airflow 3 introdujo un cambio en el manejo de información sensible en las Conexiones. La intención era restringir el acceso a los campos de conexión sensibles a los Usuarios de Edición de Conexiones, aplicando eficazmente un modelo de 'solo escritura' para valores sensibles. En Airflow 3.0.3, este modelo fue…

Kata Containers es un proyecto de código abierto centrado en una implementación estándar de máquinas virtuales (VM) ligeras que funcionan como contenedores. En las versiones de Kata Containers hasta la 3.20.0 inclusive, un host malicioso puede eludir la verificación de initdata. En sistemas TDX que ejecutan invitados…

Vulnerabilidad de neutralización inadecuada de elementos especiales utilizados en un comando del sistema operativo ('Inyección de comandos del sistema operativo') en Iron Mountain Archiving Services Inc. EnVision que permite la inyección de comandos. Este problema afecta a enVision: anteriores a 250563.

El plugin de WordPress SureForms antes de la versión 1.9.1 no sanitiza ni escapa algunos parámetros al mostrarlos en la página, lo que podría permitir a usuarios con rol de administrador o superior realizar ataques de cross-site scripting.

Flowise es una interfaz de usuario de arrastrar y soltar para crear un flujo personalizado de modelos de lenguaje de gran tamaño. En la versión 3.0.5, Flowise es vulnerable a ejecución remota de código. El nodo CustomMCP permite a los usuarios introducir valores de configuración para conectarse a un servidor MCP…

MagicProject AI versión 9.1 se ve afectado por una vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en la función de generación de chatbots disponible para usuarios administradores autenticados. La vulnerabilidad reside en el parámetro prompt enviado al endpoint…

Vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) en straightvisions GmbH SV Proven Expert sv-provenexpert que permite la falsificación de petición en sitios cruzados. Este problema afecta a SV Proven Expert: desde n/a hasta <= 2.0.06.

Codex CLI es un agente de codificación de OpenAI que se ejecuta localmente. En las versiones 0.2.0 a 0.38.0, debido a un error en la lógica de configuración del sandbox, Codex CLI podría tratar un cwd generado por el modelo como la raíz escribible del sandbox, incluyendo rutas fuera de la carpeta donde el usuario…

Vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) en InterServer Mail Baby SMTP mail-baby-smtp que permite la falsificación de petición en sitios cruzados.Este problema afecta a Mail Baby SMTP: desde n/a hasta <= 2.8.

Vulnerabilidad de falta de autorización en MantraBrain Ultimate Watermark ultimate-watermark que permite explotar niveles de seguridad de control de acceso configurados incorrectamente. Esta incidencia afecta a Ultimate Watermark: desde n/a hasta <= 1.1.

Vulnerabilidad de neutralización inadecuada de la entrada durante la generación de páginas web ('Cross-site Scripting') en Online Optimisation WP Mailto Links wp-mailto-links que permite XSS almacenado. Este problema afecta a WP Mailto Links: desde n/a hasta <= 3.1.4.

Vulnerabilidad de falsificación de petición del lado del servidor (SSRF) en image-compare-block de Binsaifullah Beaf, que permite la falsificación de petición del lado del servidor. Este problema afecta a Beaf: desde n/a hasta la versión <= 1.6.2.

Vulnerabilidad de neutralización inadecuada de la entrada durante la generación de páginas web ('Cross-site Scripting') en Rustaurius Ultimate WP Mail ultimate-wp-mail que permite XSS almacenado. Este problema afecta a Ultimate WP Mail: desde n/a hasta <= 1.3.8.

Flowise es una interfaz de usuario de arrastrar y soltar para construir un flujo de modelo de lenguaje grande personalizado. En la versión 3.0.5, fue descubierta una vulnerabilidad de falsificación de petición del lado del servidor (SSRF) en el endpoint /api/v1/fetch-links de la aplicación Flowise. Esta vulnerabilidad…

mailgen es un paquete de Node.js que genera correos electrónicos HTML responsivos para el envío de correo transaccional. Antes de la versión 2.0.30, existe una vulnerabilidad de inyección HTML en los correos electrónicos de texto plano generados por Mailgen. Los proyectos se ven afectados si se utiliza el método…

Flowise es una interfaz de usuario de arrastrar y soltar para construir un flujo de modelo de lenguaje grande personalizado. Antes de Flowise Alojado en la Nube de agosto de 2025, una vulnerabilidad autenticada en Flowise Cloud permite a cualquier usuario del nivel gratuito acceder a variables de entorno sensibles de…

Neutralización Incorrecta de Elementos Especiales utilizados en un Comando SQL ('Inyección SQL') vulnerabilidad en WPFunnels Mail Mint permite la inyección SQL. Este problema afecta a Mail Mint: desde n/a hasta 1.18.6.

Vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) en PressPage Entertainment Inc Mavis Redirección de HTTPS a HTTP permite XSS Almacenado. Este problema afecta a Mavis Redirección de HTTPS a HTTP: desde n/a hasta 1.4.3.

Neutralización Incorrecta de la Entrada Durante la Generación de Páginas Web ('cross-site scripting') vulnerabilidad en Vadim Bogaiskov Bg Church Memos permite XSS basado en DOM. Este problema afecta a Bg Church Memos: desde n/d hasta 1.1.

Vulnerabilidad de Neutralización Incorrecta de la Entrada Durante la Generación de Páginas Web ('cross-site scripting') en Aum Watcharapon Designil PDPA Thailand permite XSS Almacenado. Este problema afecta a Designil PDPA Thailand: desde n/a hasta 2.0.

Neutralización Incorrecta de la Entrada Durante la Generación de Páginas Web ('cross-site scripting') vulnerabilidad en Richard Leishman Mail Subscribe List permite XSS Almacenado. Este problema afecta a Mail Subscribe List: desde n/d hasta 2.1.10.

Refuerzo insuficiente de la cuenta proxyuser en la plataforma de gestión de IoT AiKaan, combinado con el uso de una clave privada SSH compartida y codificada de forma fija (hardcoded), permite a atacantes remotos autenticarse en el controlador en la nube, obtener acceso a una shell interactiva y pivotar hacia otros…

AiKaan Cloud Controller utiliza una única clave privada SSH codificada de forma fija (hardcoded) y el nombre de usuario `proxyuser` para el acceso remoto de terminal a todos los dispositivos IoT/de borde gestionados. Cuando un administrador inicia "Open Remote Terminal" desde el panel de AiKaan, el controlador envía…