Vulnerabilidades

En BIG-IP versiones 16.0.x anteriores a 16.0.1.2, versiones 15.1.x anteriores a 15.1.3, versiones 14.1.x anteriores a 14.1.4, versiones 13.1.x anteriores a 13.1.4 y versiones 12.1.x anteriores a 12.1.6, cuando se configura un perfil HTTP en un servidor virtual, las peticiones no divulgadas pueden causar un aumento…

En versiones 16.0.x anteriores a 16.0.1.2, versiones 15.1.x anteriores a 15.1.3, versiones 14.1.x anteriores a 14.1.4.2, versiones 13.1.x anteriores a 13.1.4.1 y todas las versiones de 12.1.x, se presenta una vulnerabilidad de tipo cross-site scripting (XSS) basada en el DOM en una página no divulgada de la utilidad…

En BIG-IP versiones 15.1.0.4 hasta 15.1.3 , cuando es usado el controlador Data Plane Development Kit (DPDK)/Elastic Network Adapter (ENA) con BIG-IP en sistemas de Amazon Web Services (AWS), las peticiones no divulgadas pueden causar la finalización del Traffic Management Microkernel (TMM). Esto es debido a una…

En BIG-IP versiones 16.0.x anteriores a 16.0.1.2 y versiones 15.1.x anteriores a 15.1.3, cuando es usado el comando iRules RESOLVER::summarize en un servidor virtual, las peticiones no divulgadas pueden causar un aumento en el uso de la memoria del Traffic Management Microkernel (TMM), resultando en una condición de…

En BIG-IP versiones 16.0.x anteriores a 16.0.1.2, versiones 15.1.x anteriores a 15.1.3.1, versiones 14.1.x anteriores a 14.1.4.3, versiones 13.1.x anteriores a 13.1.4.1, y todas las versiones de 12.1.x y 11.6.x, cuando los comandos iRules del GPRS Tunneling Protocol (GTP) o un perfil GTP están configurados en un…

El plugin Comment Link Remove and Other Comment Tools de WordPress versiones anteriores a 2.1.6, no presenta una comprobación de tipo CSRF en su acción "Delete comments easily", lo que podría permitir a atacantes hacer que el administrador conectado elimine comentarios arbitrarios

D-Link DSL-3782 versiones EU v1.01:EU v1.03, está afectado por un desbordamiento de búfer que puede causar una denegación de servicio. Esta vulnerabilidad se presenta en la interfaz web "/cgi-bin/New_GUI/Igmp.asp". Unos atacantes autenticados remotos pueden desencadenar esta vulnerabilidad mediante el envío de una…

Se ha descubierto un problema en el router inalámbrico D-Link DIR816_A1_FW101CNB04 750m11ac, El parámetro de solicitud HTTP se utiliza en la función de manejador de la ruta /goform/form2userconfig.cgi, que puede construir la cadena de nombre de usuario para eliminar la función de usuario. Esto puede conducir a la…

Se ha descubierto un problema en D-Link DIR-816 DIR-816A2_FWv1.10CNB05_R1B011D88210 El parámetro de solicitud HTTP se utiliza en la función del manejador de la ruta /goform/form2userconfig.cgi, que puede construir la cadena de nombre de usuario para eliminar la función de usuario. Esto puede llevar a la inyección de…

** NO COMPATIBLE CUANDO SE ASIGNÓ ** D-Link DSR-500N versión 1.02, contiene credenciales embebidas para cuentas de usuario no documentadas en el archivo "/etc/passwd".Si un atacante logra recuperar la contraseña en texto sin cifrar del valor hash identificado, podrá iniciar sesión por SSH o Telnet y, por lo tanto,…

D-Link DVX-2000MS contiene credenciales embebidas para cuentas de usuario no documentadas en el archivo "/etc/passwd". Como se han usado contraseñas débiles, unas contraseñas en texto plano pueden ser recuperadas de los valores hash.

** NO COMPATIBLE CUANDO SE ASIGNÓ ** D-Link DVG-3104MS versiones 1.0.2.0.3, 1.0.2.0.4 y 1.0.2.0.4E, contiene credenciales embebidas para cuentas de usuario no documentadas en el archivo "/etc/passwd". Como se han usado contraseñas débiles, unas contraseñas en texto plano pueden ser recuperadas de los valores hash.…

El plugin de WordPress Broken Link Manager versiones hasta 0.6.5, no sanea, comprueba o escapa del parámetro url GET antes de usarlo en una sentencia SQL cuando se recupera una URL para editarla, conllevando a un problema de inyección SQL autenticada.

Una vulnerabilidad de tipo Cross-site scripting en el archivo parent_control.htm en TOTOLINK A3002R versión V1.1.1-B20200824 (Actualización Importante, nueva Interfaz de Usuario) permite a atacantes ejecutar JavaScript arbitrario modificando el campo "Description" y el campo "Service Name".

Una vulnerabilidad de tipo Cross-site scripting en el archivo urlfilter.htm en TOTOLINK A3002R versión V1.1.1-B20200824 (Actualización Importante, nueva Interfaz de Usuario) permite a atacantes ejecutar JavaScript arbitrario modificando el campo "URL Address".

Una vulnerabilidad de tipo Cross-site scripting en el archivo tr069config.htm en TOTOLINK A3002R versión V1.1.1-B20200824 (Actualización Importante, nueva Interfaz de Usuario) permite a atacantes ejecutar JavaScript arbitrario modificando el campo "User Name" o el campo "Password".

Una Indexación de Directorios en el Portal de Inicio de Sesión de TOTOLINK-A702R versión V1.0.0-B20161227.1023 permite a un atacante acceder a los directorios /add/ , /img/, /js/ y /mobile por medio de un parámetro GET.

Una vulnerabilidad de tipo Cross-site scripting en el archivo tcpipwan.htm en TOTOLINK A3002R versión V1.1.1-B20200824 (Actualización Importante, nueva Interfaz de Usuario) permite a atacantes ejecutar JavaScript arbitrario modificando el campo "Service Name".

Una vulnerabilidad de tipo Cross-site scripting en el archivo ddns.htm en TOTOLINK A3002R versión V1.1.1-B20200824 (Actualización Importante, nueva Interfaz de Usuario) permite a atacantes ejecutar JavaScript arbitrario modificando el campo "Domain Name", el campo "Server Address", el campo "User Name/Email" o el…

En el router inalámbrico N WR840N de TP-Link, un ataque de envenenamiento ARP puede causar un desbordamiento del búfer.

El router D-Link DSL-2750U con versiones de firmware vME1.16 o versiones anteriores, es vulnerable a una inyección de comandos del SO. Un atacante no autenticado en la red local puede explotar esto, con CVE-2021-3707, para ejecutar cualquier comando del Sistema Operativo en el dispositivo vulnerable.

El router D-Link DSL-2750U con versiones de firmware vME1.16 o versiones anteriores, es vulnerable a una modificación no autorizada de la configuración. Un atacante no autenticado en la red local puede explotar esto, con CVE-2021-3708, para ejecutar cualquier comando del Sistema Operativo en el dispositivo vulnerable.

Los dispositivos splitter USB TP-Link UE330 hasta 09-08-2021, en determinados casos de uso en los que el dispositivo suministra energía a equipos de salida de audio, permiten a atacantes remotos recuperar las señales de voz de un LED del dispositivo, por medio de un telescopio y un sensor electro-óptico, también se…

** NO COMPATIBLE CUANDO SE ASIGNÓ ** Vulnerabilidad de Desreferencia de Puntero Null en D-Link DIR-825 versión 2.10b02, que podría permitir a un usuario malicioso remoto causar una denegación de servicio. La vulnerabilidad podría ser desencadenada mediante el envío de una petición HTTP con la URL /vct_wan; el…

** NO COMPATIBLE CUANDO SE ASIGNÓ ** Se presenta una vulnerabilidad de Desreferencia de Puntero Null en D-Link DSP-W215 versión 1.10, que podría permitir a un usuario remoto malicioso causar una denegación de servicio por medio del componente usr/bin/lighttpd. Se podría desencadenar mediante el envío de una petición…