Vulnerabilidades

Una vulnerabilidad de dependencia de entradas no confiables en una decisión de seguridad en la configuración de logrotate para el paquete openSUSEs mailman3 permite una posible escalada de mailman a root. Este problema afecta a openSUSE Tumbleweed: desde ? antes de 3.3.10-2.1.

PCL (Plain Craft Launcher) Community Edition es un lanzador de Minecraft. En las versiones 2.12.0-beta.5 a 2.12.0-beta.9 de PCL CE, las credenciales de inicio de sesión utilizadas durante el proceso de inicio de sesión de terceros se registran accidentalmente en el archivo de registro local. Aunque el archivo de…

Cross-site Scripting (XSS) en aimhubio Aim 3.28.0 permite a atacantes remotos ejecutar JavaScript arbitrario en los navegadores de las víctimas mediante código Python malicioso enviado al endpoint /api/reports, que Pyodide interpreta y ejecuta al visualizar el informe. Ninguna restricción de depuración ni de entorno…

Path Traversal en restore_run_backup() en AIM 3.28.0 permite a atacantes remotos escribir contenido arbitrario en el sistema de archivos del servidor mediante un archivo tar de respaldo manipulado y enviado a la API run_instruction, que se extrae sin validación de ruta durante la restauración.

El chat LLM de Ai2 playground web service (playground.allenai.org) hasta el 2025-06-03 es vulnerable a una Referencia Directa de Objetos Insegura (IDOR), lo que permite a los atacantes obtener información de sensibilidad mediante la enumeración de claves de hilo en la URL.

Existe una vulnerabilidad de cross-site scripting (XSS) reflejado en AIBOX LLM chat (chat.aibox365.cn) hasta el 27 de mayo de 2025, que permite a los atacantes secuestrar cuentas a través de tokens JWT robados.

Vulnerabilidad de Referencia Directa a Objetos Inseguros (IDOR) en TelegAI (telegai.com) hasta el 26/05/2025 en su componente de chat. Un atacante puede explotar este IDOR para manipular las conversaciones de otros usuarios. Además, se pueden inyectar contenido malicioso y payloads XSS, lo que provoca ataques de…

Cross-site scripting (XSS) almacenado en TelegAI (telegai.com) el 26/05/2025 en sus componentes de chat y contenedor de personajes. Un atacante puede ejecutar scripts arbitrarios del lado del cliente manipulando un personaje de IA con payloads XSS SVG en la descripción, el saludo, el diálogo de ejemplo o el mensaje…

Vulnerabilidad de cross-site scripting (XSS) almacenado en Chaindesk hasta el 26/05/2025 en su componente de chat del agente. Un atacante puede ejecutar scripts arbitrarios del lado del cliente manipulando un agente de IA cuyo mensaje del sistema indica al Modelo de Lenguaje Grande (LLM) subyacente que incorpore…

La vulnerabilidad de cross-site scripting (XSS) en ChatPlayground.ai hasta el 24 de mayo de 2025 permite a los atacantes ejecutar código arbitrario y obtener información confidencial a través del contenido de un archivo SVG manipulado y enviado a través del componente de chat.

Vulnerabilidad de referencia directa a objetos inseguros (IDOR) en Deepfiction AI (deepfiction.ai) hasta el 3 de junio de 2025, que permite a los atacantes chatear con el LLM usando los créditos de otros usuarios a través de información confidencial obtenida por el endpoint /browse/stories.

La extensión Powermail para TYPO3 permite una Referencia Directa a Objetos Insegura, lo que resulta en la descarga de archivos arbitrarios del servidor web. Este problema afecta a las versiones 12.0.0 a 12.5.2 y 13.0.0 de Powermail.

En Jakarta Mail 2.2 es posible realizar una inyección SMTP utilizando los caracteres UTF-8 \r y \n para separar diferentes mensajes.

La vulnerabilidad de restricción incorrecta de intentos excesivos de autenticación en Drupal Mail Login permite la fuerza bruta. Este problema afecta a Mail Login: desde la versión 3.0.0 hasta la 3.2.0 y desde la versión 4.0.0 hasta la 4.2.0.

El uso de una clave criptográfica codificada en Encryption.cs en hMailServer 5.8.6 y 5.6.9-beta permite a un atacante descifrar las contraseñas de otros servidores desde el archivo hMailAdmin.exe.config para acceder a otras consolas de administración de hMailServer con conexiones configuradas.

El uso de una clave criptográfica codificada en BlowFish.cpp en hMailServer 5.8.6 y 5.6.9-beta permite a un atacante descifrar las contraseñas utilizadas en las conexiones de base de datos desde el archivo de configuración hMailServer.ini.

Un problema en hMailServer v.5.8.6 permite que un atacante local obtenga información confidencial a través de los componentes hmailserver/installation/hMailServerInnoExtension.iss y hMailServer.ini.

El EAI desarrollado por Digiwin tiene una vulnerabilidad de escalada de privilegios, que permite a atacantes remotos con privilegios regulares elevar sus privilegios al nivel de administrador a través de una API específica.

Se encontró una vulnerabilidad clasificada como problemática en PHPGurukul Complaint Management System 2.0. Se trata de una función desconocida. La manipulación provoca cross-site request forgery. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado.

Un problema en Perplexity AI GPT-4 v.2.51.0 permite que un atacante remoto obtenga información confidencial a través del componente de token en la URL del chat compartido.

Se encontró una vulnerabilidad en PHPGurukul Complaint Management System 2.0, clasificada como problemática. Este problema afecta a una funcionalidad desconocida del archivo /admin/complaint-search.php. La manipulación del argumento "Search" provoca ataques de Cross-Site Scripting. El ataque puede ejecutarse en…

apko permite a los usuarios crear y publicar imágenes de contenedores OCI a partir de paquetes APK. A partir de la versión 0.27.0 y anteriores a la 0.29.5, los archivos críticos se configuraban inadvertidamente como 0666, lo que podría utilizarse para escalar privilegios de root. La versión 0.29.5 incluye una solución…

Se descubrió una vulnerabilidad XSS reflejado en el componente RSMail! 1.19.20 - 1.22.26 28 de Joomla. El problema permite a atacantes remotos inyectar código web o HTML arbitrario mediante el parámetro manipulado.

NVIDIA Container Toolkit para todas las plataformas contiene una vulnerabilidad en el enlace update-ldcache, donde un atacante podría provocar el seguimiento de un enlace mediante una imagen de contenedor especialmente manipulada. Explotar esta vulnerabilidad podría provocar la manipulación de datos y la denegación de…

NVIDIA Container Toolkit para todas las plataformas contiene una vulnerabilidad en algunos ganchos utilizados para inicializar el contenedor, donde un atacante podría ejecutar código arbitrario con permisos elevados. Explotar esta vulnerabilidad podría provocar una escalada de privilegios, manipulación de datos,…