Vulnerabilidades

Se ha detectado una vulnerabilidad clasificada como problemática en gradio-app gradio (hasta la versión 5.29.1). Esta vulnerabilidad afecta a la función "is_valid_origin" del componente CORS Handler. La manipulación del argumento "localhost_aliases" provoca un error de validación de origen. Es posible iniciar el…

wire-webapp es la aplicación web para el servicio de mensajería de código abierto Wire. Una corrección de error provocó una regresión que causaba un problema con la función de eliminación de datos locales. Indicar al cliente que elimine su base de datos local al cerrar sesión no implica la eliminación. Esto ocurre…

wire-webapp es la aplicación web para el servicio de mensajería de código abierto Wire. Un cambio provocó una regresión que impidió que las sesiones se invalidaran correctamente. Un usuario que cerraba sesión en la aplicación web de Wire podría haber vuelto a iniciar sesión automáticamente al reabrirla. Esto no ocurre…

Los permisos inseguros en fc-stable-diffusion-plus v1.0.18 permiten a los atacantes escalar privilegios y comprometer la cuenta en la nube del cliente.

Las ediciones de Rapid7 AppSpider Pro anteriores a la versión 7.5.018 son afectados por una vulnerabilidad de cross-site scripting almacenado en el campo "ScanName". Aunque la aplicación impide la inclusión de caracteres especiales en el campo "ScanName", esto se puede evitar modificando directamente el archivo de…

Vulnerabilidad de asignación incorrecta de privilegios en Rocket Apps wProject. Este problema afecta a wProject: desde n/a antes de 5.8.0.

Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en Rocket Apps wProject permite XSS reflejado. Este problema afecta a wProject: desde n/a antes de 5.8.0.

Vulnerabilidad de autorización faltante en Rocket Apps wProject. Este problema afecta a wProject: desde n/a antes de 5.8.0.

Vulnerabilidad de control inadecuado del nombre de archivo para la declaración Include/Require en el programa PHP ('Inclusión de archivo remoto PHP') en Indie_Plugins WhatsApp Click to Chat Plugin para WordPress. Este problema afecta al complemento Indie_Plugins WhatsApp Click to Chat para WordPress: desde n/a hasta…

Se encontró una vulnerabilidad clasificada como crítica en PHPGurukul Credit Card Application Management System 1.0. La vulnerabilidad afecta a una función desconocida del archivo /admin/index.php. La manipulación del argumento "Username" provoca una inyección SQL. El ataque puede ejecutarse en remoto. Se ha hecho…

Se encontró una vulnerabilidad clasificada como problemática en PHPGurukul Credit Card Application Management System 1.0. Esta vulnerabilidad afecta al código desconocido del archivo /admin/new-ccapplication.php. La manipulación provoca Cross-Site Scripting. El ataque puede ejecutarse en remoto. Se ha hecho público el…

Se solucionó un problema de permisos con restricciones adicionales. Este problema está corregido en visionOS 2.3, iOS 18.3 y iPadOS 18.3, macOS Sequoia 15.3, watchOS 11.3 y tvOS 18.3. Una aplicación podría modificar partes protegidas del sistema de archivos.

Se solucionó un problema lógico mejorando las comprobaciones. Este problema se solucionó en iOS 18.3 y iPadOS 18.3. Las fotos del Álbum de Fotos Ocultas se pueden ver sin autenticación.

El problema se solucionó mejorando las comprobaciones. Este problema está corregido en Safari 18.3, visionOS 2.3, iOS 18.3 y iPadOS 18.3, macOS Sequoia 15.3, watchOS 11.3 y tvOS 18.3. El procesamiento de contenido web malintencionado puede provocar daños en la memoria.

El problema se solucionó mejorando la gestión de la memoria. Este problema está corregido en visionOS 2.3, iOS 18.3 y iPadOS 18.3, iPadOS 17.7.4, macOS Sequoia 15.3, watchOS 11.3 y tvOS 18.3. Una aplicación podría provocar el cierre inesperado del sistema.

El problema se solucionó mejorando las comprobaciones. Este problema está corregido en macOS Ventura 13.7.3, macOS Sequoia 15.3 y macOS Sonoma 14.7.3. Un usuario local puede modificar partes protegidas del sistema de archivos.

Varias versiones de a-blog cms neutralizan los registros incorrectamente. Si se explota esta vulnerabilidad con CVE-2025-36560, un atacante remoto no autenticado podría secuestrar la sesión de un usuario legítimo.

Existe una vulnerabilidad de server-side request forgery en varias versiones de a-blog cms. Si se explota, un atacante remoto no autenticado podría acceder a información confidencial mediante el envío de una solicitud especialmente manipulada.

Existe una vulnerabilidad de cross-site scripting en versiones de a-blog CMS anteriores a la 3.1.43 y a la 3.0.47. Este problema se presenta en un campo específico de la pantalla de edición de entradas y su explotación requiere privilegios de colaborador o de nivel superior. Si se explota esta vulnerabilidad, se…

Existe una vulnerabilidad de Path Traversal en versiones de a-blog CMS anteriores a la 3.1.43 y a la 3.0.47. Se trata de un problema con la validación de rutas insuficiente en la función de copia de seguridad, y su explotación requiere privilegios de administrador. Si se explota esta vulnerabilidad, un atacante remoto…

Se ha detectado una vulnerabilidad clasificada como crítica en SourceCodester Doctors Appointment System 1.0. Este problema afecta a un procesamiento desconocido del archivo /admin/delete-session.php. La manipulación del ID del argumento provoca una inyección SQL. El ataque podría iniciarse remotamente. Se ha hecho…

El complemento CSV Mass Importer de WordPress hasta la versión 1.2 no valida correctamente los archivos cargados, lo que permite que usuarios con altos privilegios, como el administrador, carguen archivos arbitrarios en el servidor incluso cuando no deberían tener permiso para hacerlo (por ejemplo, en una…

Se encontró una vulnerabilidad en SourceCodester Doctor's Appointment System 1.0. Se ha clasificado como crítica. Este problema afecta a un procesamiento desconocido del archivo /admin/delete-doctor.php del componente "GET Parameter Handler. La manipulación del ID del argumento provoca una inyección SQL. El ataque…

Se encontró una vulnerabilidad en Sourcecodester Doctor's Appointment System 1.0. Se ha declarado crítica. Esta vulnerabilidad afecta al código desconocido del archivo /admin/delete-appointment.php del componente GET Parameter Handler. La manipulación del ID del argumento provoca una inyección SQL. El ataque puede…

Se encontró una vulnerabilidad en SourceCodester Doctor's Appointment System 1.0. Se ha clasificado como crítica. Afecta una parte desconocida del archivo /admin/appointment.php del componente GET Parameter Handler. La manipulación del ID del argumento provoca una inyección SQL. Es posible iniciar el ataque…