Vulnerabilidades

El complemento Autocomplete Location field Contact Form 7 de WordPress anterior a 3.0, el complemento autocomplete-location-field-contact-form-7-pro de WordPress anterior a 2.0 no sanitiza ni escapa a algunas de sus configuraciones, lo que podría permitir a usuarios con privilegios elevados, como el administrador,…

El protocolo de transporte SSH con ciertas extensiones OpenSSH, que se encuentra en OpenSSH anterior a 9.6 y otros productos, permite a atacantes remotos eludir las comprobaciones de integridad de modo que algunos paquetes se omiten (del mensaje de negociación de extensión) y, en consecuencia, un cliente y un servidor…

Vulnerabilidad de Cross-Site Request Forgery (CSRF) en Kevin Ohashi WPPerformanceTester. Este problema afecta a WPPerformanceTester: desde n/a hasta 2.0.0.

Existe un ataque de path traversal absoluto en la plataforma de automatización Ansible. Esta falla permite a un atacante crear un rol de Ansible malicioso y hacer que la víctima ejecute el rol. Se puede utilizar un enlace simbólico para sobrescribir un archivo fuera de la ruta de extracción.

Se encontró una falla en REST de Infinispan: los endpoints de recuperación de caché no evalúan adecuadamente los permisos de administrador necesarios para la operación. Este problema podría permitir que un usuario autenticado acceda a información fuera de sus permisos previstos.

Se encontró una falla en el REST de Infinispan. Los endpoints de lectura masiva no evalúan adecuadamente los permisos de usuario para la operación. Este problema podría permitir que un usuario autenticado acceda a información fuera de sus permisos previstos.

El complemento MW WP Form para WordPress es vulnerable a la eliminación arbitraria de archivos en todas las versiones hasta la 5.0.3 incluida. Esto se debe a que el complemento no valida correctamente la ruta de un archivo cargado antes de eliminarlo. Esto hace posible que atacantes no autenticados eliminen archivos…

La vulnerabilidad de neutralización inadecuada de la entrada durante la generación de páginas web ('cross-site Scripting') en ZealousWeb Track Geolocation Of Users Using Contact Form 7 permite almacenar XSS. Este problema afecta a Track Geolocation Of Users Using Contact Form 7: desde n/a hasta 1.4.

Vulnerabilidad de neutralización inadecuada de la entrada durante la generación de páginas web ('Cross-site Scripting') en captainform Forms by CaptainForm – Form Builder for WordPress permite XSS Reflejado. Este problema afecta a Forms by CaptainForm – Form Builder for WordPress: desde n/a hasta 2.5. 3.

Vulnerabilidad de neutralización inadecuada de la entrada durante la generación de páginas web ('Cross-site Scripting') en formzu Inc. Formzu WP permite almacenar XSS. Este problema afecta a Formzu WP: desde n/a hasta 1.6.6.

SmartStar Software CWS es una plataforma de integración basada en web, su función de carga de archivos no restringe la carga de archivos con tipos peligrosos. Un atacante remoto no autenticado puede aprovechar esta vulnerabilidad para cargar archivos arbitrarios y ejecutar comandos arbitrarios o interrumpir el…

SmartStar Software CWS es una plataforma de integración basada en web, tiene la vulnerabilidad de falta de autorización y los usuarios pueden acceder a datos o realizar acciones que no se les debería permitir realizar mediante comandos. Un usuario autenticado con privilegios normales puede ejecutar privilegios de…

SmartStar Software CWS es una plataforma de integración basada en web, tiene la vulnerabilidad de utilizar un código rígido para una cuenta específica con privilegios bajos. Un atacante remoto no autenticado puede aprovechar esta vulnerabilidad para ejecutar procesos parciales y obtener información parcial, pero no…

Se encontró una falla en Keycloak que impide ciertos esquemas en las redirecciones, pero los permite si se agrega un comodín al token. Este problema podría permitir que un atacante envíe una solicitud especialmente manipulada que dé lugar a cross-site scripting (XSS) o más ataques. Esta falla es el resultado de una…

Se descubrió una vulnerabilidad de consumo de memoria sin restricciones en Keycloak. Se puede activar en entornos que tienen millones de tokens fuera de línea (> 500.000 usuarios, cada uno con al menos 2 sesiones guardadas). Si un atacante crea dos o más sesiones de usuario y luego abre la pestaña "consentimientos"…

Neutralización inadecuada de la entrada durante la vulnerabilidad de generación de páginas web ('cross-site Scripting') en FancyThemes Optin Forms – Simple List Building Plugin for WordPress permite almacenar XSS. Este problema afecta a Optin Forms – Simple List Building Plugin for WordPress: desde n/a hasta 1.3.3.

La vulnerabilidad de neutralización inadecuada de la entrada durante la generación de páginas web ('Cross-Site Scripting') en Themefic Ultimate Addons for Contact Form 7 permite almacenar XSS. Este problema afecta a Ultimate Addons for Contact Form 7: desde n/a hasta 3.2.0.

Se descubrió una vulnerabilidad XSS reflejada en el componente Quickform para Joomla.

Se descubrió una vulnerabilidad XSS reflejada en el componente Proforms Basic para Joomla.

Las comprobaciones de permisos faltantes en Jenkins Nexus Platform Plugin 3.18.0-03 y versiones anteriores permiten a los atacantes con permiso general/lectura conectarse a un servidor HTTP especificado por el atacante utilizando ID de credenciales especificadas por el atacante obtenidas a través de otro método,…

Vulnerabilidad de cross-site request forgery (CSRF) en Jenkins Nexus Platform Plugin 3.18.0-03 y versiones anteriores permite a los atacantes conectarse a un servidor HTTP especificado por el atacante utilizando ID de credenciales especificadas por el atacante obtenidas a través de otro método, capturando las…

Las comprobaciones de permisos faltantes en el complemento de plataforma Jenkins Nexus 3.18.0-03 y versiones anteriores permiten a los atacantes con permiso general/lectura enviar una solicitud HTTP a una URL especificada por el atacante y analizar la respuesta como XML.

Vulnerabilidad de cross-site request forgery (CSRF) en Jenkins Nexus Platform Plugin 3.18.0-03 y versiones anteriores permite a los atacantes enviar una solicitud HTTP a una URL especificada por el atacante y analizar la respuesta como XML.

Se encontró una falla de inyección de plantilla en Ansible donde las operaciones de creación de plantillas internas del controlador de un usuario pueden eliminar la designación insegura de los datos de la plantilla. Este problema podría permitir que un atacante utilice un archivo especialmente manipulado para…

Se encontró una falla en Undertow. Cuando se envía una solicitud AJP que excede el atributo max-header-size en ajp-listener, mod_cluster marca JBoss EAP en estado de error en httpd, lo que hace que JBoss EAP cierre la conexión TCP sin devolver una respuesta AJP. Esto sucede porque mod_proxy_cluster marca la instancia…