Vulnerabilidades

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) almacenadas autenticada (colaborador o superior) en el plugin CRM Perks Contact Form Entries en las versiones <= 1.3.0.

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) almacenada que requiere autenticación (administrador o superior) en el plugin MailChimp Subscribe Form de PluginOps, en las versiones <= 4.0.9.1.

Vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) en el plugin JetFormBuilder — Dynamic Blocks Form Builder de Crocoblock, en las versiones <= 3.0.6.

Se ha encontrado una vulnerabilidad clasificada como crítica en code-projects Bus Dispatch and Information System 1.0. Se ve afectada una función desconocida del archivo delete_bus.php. La manipulación del argumento busid conduce a una inyección SQL. Es posible lanzar el ataque de forma remota. El exploit se ha hecho…

parse-server-push-adapter es el adaptador oficial de notificaciones push para Parse Server. El adaptador de notificaciones push de Parse Server puede provocar la caída de Parse Server debido a una carga útil de notificación push no válida. Este problema se ha corregido en la versión 4.1.3.

Vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) en el plugin CRM Perks Integration for Contact Form 7 and Zoho CRM, Bigin, en las versiones <= 1.2.2.

Se ha detectado una vulnerabilidad clasificada como problemática en NFine Rapid Development Platform 20230511. Afecta a una parte desconocida del archivo /SystemManage/Role/GetGridJson?keyword=&page=1&rows=20. La manipulación provoca un control de acceso inadecuado. Es posible iniciar el ataque de forma remota. Se ha…

Se ha detectado una vulnerabilidad en NFine Rapid Development Platform 20230511. Se ha clasificado como problemática. Afecta a una funcionalidad desconocida del archivo /SystemManage/Organize/GetTreeGridJson?_search=false&nd=1681813520783&rows=10000&page=1&sidx=&sord=asc. La manipulación conduce a un control de acceso…

Se ha detectado una vulnerabilidad en NFine Rapid Development Platform 20230511. Se ha declarado como problemática. Esta vulnerabilidad afecta a una funcionalidad desconocida del archivo /SystemManage/User/GetGridJson?_search=false&nd=1680855479750&rows=50&page=1&sidx=F_CreatorTime+desc&sord=asc. La manipulación…

Se ha detectado una vulnerabilidad en NFine Rapid Development Platform 20230511. Se ha clasificado como problemática. Afecta a una función desconocida del archivo /Login/CheckLogin. La manipulación conduce al uso de un hash débil. Es posible lanzar el ataque de forma remota. La complejidad de un ataque es bastante…

Vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) en el plugin Performance Lab de WordPress Performance Team en las versiones <= 2.2.0.

Vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) en el plugin Chronoforms de chronoengine.Com en versiones <= 7.0.9.

Las redirecciones basadas en patrones en Liferay Portal 7.4.3.48 a 7.4.3.76, y Liferay DXP 7.4 actualización 48 a 76, permiten que se usen como patrones expresiones regulares vulnerables a ataques ReDoS, lo que posibilita que atacantes remotos consuman una cantidad excesiva de recursos del servidor mediante URL de…

En Liferay Portal 7.3.0 y anteriores, y en Liferay DXP 7.2 y anteriores, la configuración predeterminada no exige a los usuarios verificar su dirección de correo electrónico, lo que permite a atacantes remotos crear cuentas utilizando direcciones de correo electrónico falsas o direcciones de correo electrónico que no…

Vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) en el plugin WP-Advanced-Search de Mathieu Chartier para WordPress, en las versiones <= 3.3.8.

El módulo Dynamic Data Mapping de Liferay Portal 7.4.3.67 y Liferay DXP 7.4 update 67 no limita los archivos de Documentos y medios que pueden descargarse desde un formulario, lo que permite a atacantes remotos descargar cualquier archivo de Documentos y medios mediante una URL manipulada.

El módulo Object de Liferay Portal 7.4.3.4 hasta 7.4.3.60, y Liferay DXP 7.4 anterior a la actualización 61, no segmenta la definición de objetos por instancia virtual en la búsqueda, lo que permite a usuarios autenticados remotos de una instancia virtual ver la definición de objetos de una segunda instancia virtual…

El módulo Object en Liferay Portal 7.4.3.4 hasta 7.4.3.48, y Liferay DXP 7.4 anterior a la actualización 49, no aísla adecuadamente los objetos en distintas instancias virtuales, lo que permite a usuarios autenticados remotos en una instancia virtual ver objetos de una instancia virtual diferente a través de la página…

Vulnerabilidad de inyección SQL en el proceso de actualización de SQL Server en Liferay Portal 7.3.1 hasta 7.4.3.17, y Liferay DXP 7.3 anterior a la actualización 6, y 7.4 anterior a la actualización 18, que permite a atacantes ejecutar comandos SQL arbitrarios mediante el nombre de un índice de clave primaria de una…

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en el módulo Layout de Liferay Portal 7.3.4 hasta 7.4.3.68, y Liferay DXP 7.3 anterior a la actualización 24, y 7.4 anterior a la actualización 69, que permite a atacantes remotos inyectar secuencias de comandos web o HTML arbitrarios mediante una carga…

Vulnerabilidad de falsificación de petición en sitio cruzado (CSRF) en el plugin Drag and Drop Multiple File Upload – Contact Form 7 de Glen Don L. Mongaya, en las versiones <= 1.3.6.5.

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en el módulo Account de Liferay Portal 7.4.3.21 hasta 7.4.3.62, y Liferay DXP 7.4 update 21 hasta 62, que permite a atacantes remotos inyectar secuencias de comandos web o HTML arbitrarios mediante una carga útil manipulada inyectada en los campos de…

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en el selector de artículos del widget Web Content Display en Liferay Liferay Portal 7.4.3.50 y Liferay DXP 7.4 update 50, que permite a atacantes remotos inyectar secuencias de comandos web o HTML arbitrarios mediante una carga útil manipulada…

Múltiples vulnerabilidades de secuencias de comandos en sitios cruzados (XSS) en la clase OAuth2ProviderApplicationRedirect del módulo Plugin for OAuth 2.0 de Liferay Portal 7.4.3.41 hasta 7.4.3.52, y de Liferay DXP 7.4 update 41 hasta 52, permiten a atacantes remotos inyectar secuencias de comandos web o HTML…

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en las Remote Apps de tipo IFrame de Liferay Portal 7.4.0 hasta 7.4.3.30, y Liferay DXP 7.4 anterior a la actualización 31, que permite a atacantes remotos inyectar secuencias de comandos web o HTML arbitrarios mediante la URL del IFrame de la Remote…