Vulnerabilidades

Un problema detectado en BestWeather v.7.3.1 para Android permite que aplicaciones no autorizadas provoquen un ataque de ejecución de código mediante la manipulación de la base de datos.

Un problema detectado en BestWeather v.7.3.1 para Android permite que aplicaciones no autorizadas provoquen un ataque de denegación de servicio persistente mediante la manipulación de la base de datos.

Un problema detectado en BestWeather v.7.3.1 para Android permite que aplicaciones no autorizadas provoquen un ataque de escalada de privilegios mediante la manipulación de la base de datos.

PWS Personal Weather Station Dashboard (PWS_Dashboard) LTS December 2020 (2012_lts) permite la ejecución remota de código mediante la inyección de código PHP en settings.php. Los ataques pueden utilizar los endpoints PWS_printfile.php, PWS_frame_text.php, PWS_listfile.php, PWS_winter.php y PWS_easyweathersetup.php. Un…

Vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) en el plugin OWM Weather de Uwe Jacobs, en versiones <= 5.6.11, que provoca la duplicación de entradas como borrador.

El complemento Location Weather de WordPress anterior a 1.3.4 no valida ni escapa algunas de sus opciones de bloqueo antes de devolverlas a una página/publicación donde está incrustado el bloque, lo que podría permitir a los usuarios con el rol de colaborador y superior realizar un cross-site scripting almacenado.

El complemento OWM Weather de WordPress anterior a 5.6.9 no sanitiza ni escapa adecuadamente un parámetro antes de usarlo en una declaración SQL, lo que lleva a una inyección SQL explotable por usuarios con un rol tan bajo como colaborador.

El plugin Weather Effect de WordPress versiones anteriores a 1.3.6, no comprueba ni escapa correctamente de algunas de sus configuraciones (como *_size_leaf, *_flakes_leaf, *_speed), lo que podría conllevar a problemas de tipo Cross-Site Scripting Almacenado

El plugin Weather Effect de WordPress versiones anteriores a 1.3.4 no presenta ninguna comprobación de tipo CSRF cuando guarda sus ajustes, y no los comprueba ni escapa, lo que podría conllevar a un problema de tipo Cross-Site Scripting Almacenado

El plugin de WordPress Awesome Weather Widget versiones hasta 3.0.2, no sanea el parámetro id de su acción AJAX awesome_weather_refresh, conllevando a una vulnerabilidad de tipo Cross-Site Scripting (XSS) reflejado no autenticado

IBL Online Weather versiones anteriores a 4.3.5a, permite a atacantes obtener información confidencial mediante la lectura de la cookie IWEBSERVICE_JSONRPC_COOKIE.

IBL Online Weather versiones anteriores a 4.3.5a, permite la inyección eval no autenticada por medio del método queryBCP del Servicio Auxiliar.

IBL Online Weather versiones anteriores a 4.3.5a, permite un ataque de tipo XSS reflejado no autenticado por medio de la página redirect.

El plugin ultimate-weather versión 1.0 para WordPress, tiene una vulnerabilidad de tipo XSS.

En la versión de firmware MS_2.6.9900 de Columbia Weather MicroServer, el daemon BACnet no valida correctamente la entrada, lo que podría permitir que un atacante remoto envíe paquetes especialmente diseñados para que el dispositivo no esté disponible.

En la versión de firmware MS_2.6.9900 de Columbia Weather MicroServer, un usuario web identificado puede acceder a una página de configuración alternativa config_main.php que permite la manipulación del dispositivo.

En la versión de firmware MS_2.6.9900 de Columbia Weather MicroServer, un problema de recorrido del directorio readouts_rd.php permite leer cualquier archivo presente en el sistema operativo subyacente..

En la versión de firmware MS_2.6.9900 de Columbia Weather MicroServer, una vulnerabilidad almacenada de secuencias de comandos entre sitios (XSS) permite a los usuarios identificados de forma remota inyectar secuencias de comandos web arbitrarias a través de changestationname.php.

En la versión de firmware MS_2.6.9900 de Columbia Weather MicroServer, una vulnerabilidad de networkdiags.php reflejada de secuencias de comandos entre sitios (XSS) permite a los usuarios identificados remotamente inyectar secuencias de comandos web arbitrarias.

En la versión de Firmware Versión MS_2.6.9900 de Columbia Weather MicroServer, Un usuario de web identificado puede conducir directamente a un sistema de operación subyacente como usuario de entrada si no está saneado en networkdiags.php

scott-blanch-weather-app es una aplicación de ejemplo de Node.js que emplea Express 4. scott-blanch-weather-app es vulnerable a un problema de salto de directorio que otorga a un atacante acceso al sistema de archivos colocando "../" en la URL.

"weather.swlyons" es un servidor http sencillo para actualizaciones meteorológicas. "weather.swlyonsr" es vulnerable a un problema de salto de directorio que otorga a un atacante acceso al sistema de archivos colocando "../" en la URL.

Las aplicaciones Google News y Weather, en versiones anteriores a la 3.3.1, para Android permite que atacantes remotos lean tokens OAuth rastreando la red y aprovechando la falta de SSL.

La aplicación Weather Channel 5.2.0 (también conocida como com.weather.Weather) para Android no verifica los certificados X.509 de los servidores SSL, lo que permite a atacantes man-in-the-middle falsificar servidores y obtener información sensible a través de un certificado manipulado.

La aplicación Morocco Weather 3.1 (también conocida como com.mobilesoft.meteomaroc) para Android no verifica los certificados X.509 de los servidores SSL, lo que permite a atacantes man-in-the-middle falsificar servidores y obtener información sensible a través de un certificado manipulado.