Vulnerabilidades

El plugin Visitor Traffic Real Time Statistics para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas basadas en DOM a través de la cabecera HTTP 'X-Real-IP' en todas las versiones hasta la 8.16 incluida, debido a una sanitización de la entrada y un escape de la salida…

Vulnerabilidad de discrepancia observable en Softtr Informatics Trading Limited Company E-Commerce Pack que permite la identificación de cuentas (Account Footprinting). Este problema afecta a E-Commerce Pack: anteriores a la 5.03.01.54.

El plugin WP Statistics – Simple, privacy-friendly Google Analytics alternative para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) reflejadas a través de la clave de parámetro de consulta de REQUEST_URI en todas las versiones hasta la 14.16.14 incluida, debido a una sanitización de la…

El plugin Visitors Traffic Real Time Statistics Pro para WordPress es vulnerable a secuencias de comandos en sitios cruzados (XSS) almacenadas no autenticadas en todas las versiones hasta la 11.22 incluida a través del parámetro page_title de la acción AJAX ahcpro_track_visitor. La acción está registrada para usuarios…

Vulnerabilidad de omisión de autorización mediante clave controlada por el usuario en Ahmad Majestic Support majestic-support que permite explotar niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a Majestic Support: desde n/a hasta 1.2.0.

Vulnerabilidad de falta de autorización en Ahmad Majestic Support majestic-support que permite explotar niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a Majestic Support: desde n/a hasta 1.2.0.

Vulnerabilidad de falta de autenticación para una función crítica en todas las cámaras PTZOptics y en los módulos Firmware Update de la herramienta Firmware Upgrade Tool. Una vulnerabilidad de falta de autenticación en el mecanismo de actualización de firmware de las cámaras PTZOptics afectadas permite a un usuario no…

Secuencias de comandos en sitios cruzados (XSS) sin autenticación en las versiones de WP Statistics <= 14.16.13.

Dell Live Optics Collector, en versiones anteriores a la 27.2.13.310, contiene una vulnerabilidad de uso de contraseña codificada de forma fija. Un atacante con pocos privilegios y acceso local podría explotar esta vulnerabilidad, lo que provocaría una exposición de información.

Un consumo de recursos no controlado (CWE-400) en Elasticsearch puede provocar denegación de servicio mediante asignación excesiva (CAPEC-130)

Un consumo de recursos no controlado (CWE-400) en Elasticsearch puede provocar denegación de servicio mediante asignación excesiva (CAPEC-130)

Un consumo de recursos no controlado (CWE-400) en Elasticsearch puede provocar denegación de servicio mediante asignación excesiva (CAPEC-130)

Un consumo de recursos no controlado (CWE-400) en Elasticsearch puede provocar denegación de servicio mediante asignación excesiva (CAPEC-130)

Un consumo de recursos no controlado (CWE-400) en Elasticsearch puede provocar denegación de servicio mediante asignación excesiva (CAPEC-130)

Un consumo de recursos no controlado (CWE-400) en Elasticsearch puede provocar denegación de servicio mediante asignación excesiva (CAPEC-130).

Un consumo de recursos no controlado (CWE-400) en Elasticsearch puede provocar denegación de servicio mediante asignación excesiva (CAPEC-130).

El plugin de diagnóstico Prometheus de OpenClaw (@openclaw/diagnostics-prometheus) anterior a la versión 2026.9.3 no aplica el ámbito operator.read en su endpoint de métricas autenticado. En despliegues que utilizan un modo de autenticación de la pasarela con identidad, como trusted-proxy, un llamante cuyo rol…

Se ha descubierto un fallo de seguridad en Open-Web-Analytics hasta la 1.8.1. Afecta a la función Event::loadFromArray del archivo queue.php del componente Remote Event Queue Endpoint. Realizar una manipulación provoca una deserialización. El ataque puede iniciarse de forma remota. La actualización a la versión 1.8.2…

Klever-Go es la implementación en Go del protocolo blockchain de Klever. Antes de la 1.7.20, serializedDataForUpdateAccounts de indexer/common.go coloca el valor acc.Name controlado por el atacante en una solicitud _bulk JSON y NDJSON de Elasticsearch sin escaparlo. La transacción SetAccountName acepta nombres de…

Una vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF) en Weoll de Global IT Informatics Technology Services Inc. permite la falsificación de solicitudes del lado del servidor. Este problema afecta a Weoll: antes de la 3.2.45.44.

El servicio Bluetooth de Reachy Mini solicita un PIN al dispositivo que se conecta antes de aceptar comandos. La comprobación protege la sesión pero no al llamante, por lo que un atacante dentro del alcance Bluetooth puede aprovecharse de la autenticación correcta de otra persona. El estado de autenticación se…

El daemon de Reachy Mini expone una API HTTP para gestionar el robot. Su endpoint de instalación de aplicaciones, POST /apps/install en src/reachy_mini/daemon/app/routers/apps.py, no tiene autenticación. La única dependencia del manejador es Depends(get_app_manager), que simplemente devuelve el objeto gestor del…

Existe una vulnerabilidad en la API de Analytics and Location Engine (ALE) que puede permitir la divulgación de información confidencial. Un atacante remoto no autenticado podría explotar esta vulnerabilidad proporcionando una entrada especialmente manipulada a un endpoint de API específico. Una explotación…

Existen múltiples vulnerabilidades en Analytics and Location Engine (ALE) que pueden permitir accesos no autorizados o una denegación de servicio. Un atacante remoto no autenticado podría explotar estas vulnerabilidades enviando una entrada especialmente manipulada o aprovechando configuraciones de seguridad…

Una vulnerabilidad en un componente de administración de Analytics and Location Engine (ALE) es vulnerable a un ataque de intermediario (MitM). Una explotación satisfactoria de esta vulnerabilidad podría permitir a un atacante remoto no autenticado ejecutar código arbitrario con privilegios de root en el appliance…