Vulnerabilidades

Se ha encontrado una vulnerabilidad en itwanger paicoding 1.0.0/1.0.1/1.0.2/1.0.3, clasificada como problemática. Esta vulnerabilidad afecta a una funcionalidad desconocida del archivo /paicoding-core/src/main/java/com/github/paicoding/forum/core/util/CrossUtil.java. La manipulación genera una política permisiva entre…

Cocotais Bot es un framework oficial de QQ basado en qq-bot-sdk. A partir de la versión 1.5.0-test2-hotfix y anteriores a la 1.6.2, la función de eco de comandos del framework permite a los usuarios activar indirectamente comportamientos privilegiados mediante la inyección de etiquetas especiales de la plataforma. En…

El complemento Wise Chat para WordPress es vulnerable a la exposición de información confidencial en todas las versiones hasta la 3.3.3 incluida, a través del directorio "uploads". Esto permite a atacantes no autenticados extraer datos confidenciales almacenados de forma insegura en el directorio /wp-content/uploads,…

La vulnerabilidad de falta de autorización en berthaai BERTHA AI permite explotar niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a BERTHA AI desde n/d hasta la versión 1.12.11.

La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en Saiful Islam UltraAddons Elementor Lite permite XSS almacenado. Este problema afecta a UltraAddons Elementor Lite desde n/d hasta la versión 2.0.0.

Se encontró una vulnerabilidad en PHPGurukul Daily Expense Tracker System 1.1. Se ha clasificado como crítica. Este problema afecta a una funcionalidad desconocida del archivo /user-profile.php. La manipulación del argumento fullname/contactnumber provoca una inyección SQL. El ataque puede ejecutarse en remoto. Se ha…

Cross-site scripting (XSS) en Icewarp Mail Server que afectan a la versión 11.4.0. Esta vulnerabilidad permite a un atacante modificar la cookie "lastLogin" con código JavaScript malicioso que se ejecutará al renderizar la página.

Vulnerabilidad de inyección de encabezado de host HTTP en Icewarp Mail Server que afecta a la versión 11.4.0. Al modificar el encabezado de host y añadir un payload, se puede ejecutar código JavaScript arbitrario al cargar la página. El usuario debe interactuar con un enlace malicioso para ser redirigido.

Vulnerabilidad de redirección abierta en IceWarp Mail Server que afecta a la versión 11.4.0. Esta vulnerabilidad permite a un atacante redirigir a un usuario a cualquier dominio enviándole una URL maliciosa, por ejemplo, "https://icewarp.domain.com///%2e%2e" https://icewarp.domain.com///%2e%2e". Esta vulnerabilidad se…

Se ha encontrado una vulnerabilidad en PHPGurukul Complaint Management System 2.0, clasificada como crítica. Esta vulnerabilidad afecta al código desconocido del archivo /admin/admin-profile.php. La manipulación del argumento "mobilenumber" provoca una inyección SQL. El ataque puede ejecutarse en remoto. Se ha hecho…

Se encontró una vulnerabilidad en BeamCtrl Airiana (hasta la versión 11.0). Se ha declarado problemática. Esta vulnerabilidad afecta al código desconocido del archivo coef. La manipulación provoca la deserialización. El ataque debe abordarse localmente. Se ha hecho público el exploit y puede que sea utilizado.

Se encontró una vulnerabilidad en PHPGurukul Daily Expense Tracker 1.1, clasificada como crítica. Este problema afecta a una funcionalidad desconocida del archivo /register.php. La manipulación del argumento "email" provoca una inyección SQL. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede…

El complemento Ntz Antispam de WordPress hasta la versión 2.0e no tiene una verificación CSRF activada al actualizar sus configuraciones, lo que podría permitir a los atacantes hacer que un administrador que haya iniciado sesión las cambie mediante un ataque CSRF.

El complemento Competition Form de WordPress hasta la versión 2.0 no tiene una verificación CSRF activada al actualizar sus configuraciones, lo que podría permitir a los atacantes hacer que un administrador que haya iniciado sesión las cambie mediante un ataque CSRF.

El complemento MailPoet para WordPress anterior a la versión 5.5.2 no depura ni escapa de algunas de sus configuraciones, lo que podría permitir a usuarios con privilegios elevados como el administrador realizar ataques de Cross-Site Scripting almacenado incluso cuando la capacidad unfiltered_html no está permitida…

El complemento jwp-a11y para WordPress hasta la versión 4.1.7 no depura ni escapa de algunas de sus configuraciones, lo que podría permitir a usuarios con privilegios elevados como el administrador realizar ataques de Cross-Site Scripting almacenado incluso cuando la capacidad unfiltered_html no está permitida (por…

El complemento Sailthru Triggermail para WordPress hasta la versión 1.1 no depura ni escapa de algunas de sus configuraciones y carece de protección CSRF, lo que podría permitir a los suscriptores realizar ataques de Cross-Site Scripting almacenado incluso cuando la capacidad unfiltered_html no está permitida (por…

El complemento BTEV de WordPress hasta la versión 2.0.2 no tiene una verificación CSRF activada al actualizar sus configuraciones, lo que podría permitir a los atacantes hacer que un administrador que haya iniciado sesión las cambie mediante un ataque CSRF.

El complemento TicketBAI Facturas para WooCommerce para WordPress es vulnerable a la eliminación arbitraria de archivos debido a una validación insuficiente de la ruta de archivo mediante la acción "delpdf" en todas las versiones hasta la 3.18 incluida. Esto permite que atacantes no autenticados eliminen archivos…

Una vulnerabilidad de cifrado insuficiente en la aplicación móvil (com.transsion.aivoiceassistant) puede generar el riesgo de fuga de información confidencial.

Una vulnerabilidad de Cross-Site Scripting (XSS) en OA System anterior a v2025.01.01 permite a los atacantes ejecutar scripts web o HTML arbitrarios a través de un payload manipulado inyectado en el parámetro userName en /login/LoginsController.java.

Una vulnerabilidad de Cross-Site Scripting (XSS) en OA System anterior a v2025.01.01 permite a los atacantes ejecutar scripts web o HTML arbitrarios a través de un payload manipulado inyectado en el parámetro outtype en /address/AddrController.java.

Una vulnerabilidad de Cross-Site Scripting (XSS) en OA System anterior a v2025.01.01 permite a los atacantes ejecutar scripts web o HTML arbitrarios a través de un payload manipulado inyectado en el parámetro de contraseña en /mail/MailController.java.

Una vulnerabilidad de Cross-Site Scripting (XSS) en OA System anterior a v2025.01.01 permite a los atacantes ejecutar scripts web o HTML arbitrarios a través de un payload manipulado inyectado en el parámetro de título en /daymanager/daymanageabilitycontroller.java.

Una vulnerabilidad de Cross-Site Scripting (XSS) en OA System anterior a v2025.01.01 permite a los atacantes ejecutar scripts web o HTML arbitrarios a través de un payload manipulado inyectado en el parámetro de título en /inform/InformManageController.java.