Vulnerabilidades

Las implementaciones de Java de los deserializadores AMF3 empleados en WebORB for Java, de Midnight Coders, en su versión 5.1.1.0, deriva las instancias de clase desde java.io.Externalizable en lugar de la recomendación de especificación de AMF3 de flash.utils.IExternalizable. Un atacante remoto con la habilidad de…

unicode-json es una tabla de búsquedas de unicode. unicode-json en versiones anteriores a la 2.0.0 descarga recursos binarios por HTTP, lo que lo deja vulnerable a ataques MITM.

Unicode carga datos Unicode descargados de unicode.org en nodejs. Unicode en versiones anteriores a la 9.0.0 descarga recursos binarios por HTTP, lo que lo deja vulnerable a ataques MITM.

IBM UrbanCode Deploy 6.1 y 6.2 podría permitir que un usuario autenticado privilegiado obtenga información altamente sensible. IBM X-Force ID: 135547.

Vulnerabilidad de Cross-Site Scripting (XSS) en el plugin WP Google Map, en versiones anteriores a la 4.0.4 para WordPress, permite que los atacantes remotos inyecten scripts web o HTML arbitrarios utilizando vectores no especificados.

Se ha descubierto una vulnerabilidad de inyección CSV en Shopy Point of Sale v1.0 que permite que un usuario con privilegios bajos inyecte un comando que se incluiría en el archivo CSV exportado, conduciendo a una posible ejecución de código.

Una vulnerabilidad de tipo ruta de búsqueda no confiable en el instalador de SoundEngine Free ver.5.21 y anteriores permite que un atacante consiga privilegios utilizando un archivo DLL troyano en un directorio no especificado.

Existe un error de desbordamiento de memoria dinámica (heap) en el cargador -tr de iucode-tool, desde la versión v1.4 y antes de la versión v2.1.1. Esto podría conducir a SIGSEGV o a una corrupción del heap.

Se ha descubierto un problema en algunos productos Apple. Se ha visto afectado Xcode en versiones anteriores a la 9,3. El problema, que no está especificado, afecta al componente "LLVM".

Se ha descubierto un problema en algunos productos Apple. Se ha visto afectado Xcode en versiones anteriores a la 9,2. El problema afecta al componente "ld64". Un desbordamiento de búfer permite que atacantes remotos ejecuten código arbitrario mediante código fuente manipulado.

Vulnerabilidad de inyección SQL en el método offset en la clase Active Record en CodeIgniter, en versiones anteriores a la 2.2.4, permite que atacantes remotos ejecuten comandos SQL arbitrarios mediante vectores relacionados con la variable offset.

La función xss_clean en CodeIgniter, en versiones anteriores a la 2.1.4, podría permitir que atacantes remotos omitan un mecanismo de protección planeado y lleven a cabo ataques de Cross-Site Scripting (XSS) mediante unaetiqueta HTML no cerrada.

Se ha descubierto un problema de desbordamiento de búfer basado en pila en 3S-Smart CODESYS Web Server. Específicamente: todos los servidores web CODESYS basados en Microsoft Windows (también WinCE) que ejecutan la versión independiente 2.3 o que formen parte del sistema runtime CODESYS que ejecuta versiones…

Múltiples vulnerabilidades Cross-Site Request Forgery (CSRF) en el plugin Codestyling Localization 1.99.30 y anteriores para WordPress.

Existe inyección SQL en Event Manager 1.0 mediante el parámetro id en event.php o el parámetro slug en page.php.

IBM UrbanCode Deploy (UCD) 6.1 y 6.2 podría permitir que un usuario autenticado edite objetos a los que no debería tener acceso, debido a controles de acceso incorrectos. IBM X-Force ID: 128691.

Múltiples desbordamientos de búfer en el control de ActiveX (BarcodeWiz.DLL) BarCodeWiz BarCode, en versiones anteriores a la 6.7, permiten que atacantes remotos ejecuten código arbitrario mediante un argumento largo en las propiedades (1) BottomText o (2) TopText.

Plexus-utils, en versiones anteriores a la 3.0.16, es vulnerable a inyección de comandos debido a que no procesa correctamente el contenido de cadenas con dobles comillas.

Vulnerabilidad de inyección SQL en el plugin Smart Google Code Inserter de Oturia en versiones anteriores a la 3.5 para WordPress permite que los atacantes no autenticados ejecuten consultas SQL en el contexto del servidor web. La función saveGoogleAdWords() en smartgooglecode.php no utilizaba sentencias preparadas y…

Vulnerabilidad de omisión de autenticación en el plugin Smart Google Code Inserter de Oturia en versiones anteriores a la 3.5 para WordPress permite que los atacantes no autenticados inserten código JavaScript o HTML arbitrario (mediante el parámetro sgcgoogleanalytic) que se ejecutaría en todas las páginas servidas…

Múltiples vulnerabilidades de Cross-Site Scripting (XSS) en las funciones (1) cp_updateMessageItem y (2) cp_deleteMessageItem en cp_ppp_admin_int_message_list.inc.php en el plugin Payment Form for PayPal Pro, en versiones anteriores a la 1.0.2 para WordPress, permite que atacantes remotos inyecten scripts web o HTML…

Se ha identificado una vulnerabilidad en Development/Evaluation Kits para PROFINET IO: DK Standard Ethernet Controller, Development/Evaluation Kits para PROFINET IO: EK-ERTEC 200, Development/Evaluation Kits para PROFINET IO: EK-ERTEC 200P, SIMATIC Compact Field Unit, SIMATIC ET200AL, SIMATIC ET200M (incluidas las…

Ability Mail Server 3.3.2 tiene una vulnerabilidad Cross Site Scripting (XSS) a través del cuerpo de un mensaje de correo electrónico, con código JavaScript que se ejecuta en la pantalla Read Mail (también conocida como /_readmail URI). Esto se ha corregido en la versión 4.2.4.

La función ucnv_UTF8FromUTF8 en ucnv_u8.cpp en International Components for Unicode (ICU) para C/C++ hasta la versión 60.1 gestiona de manera incorrecta las llamadas ucnv_convertEx para la conversión UTF-8 a UTF-8. Esto permite que atacantes remotos provoquen una denegación de servicio (desbordamiento de búfer basado…

Una vulnerabilidad en la funcionalidad de análisis sintáctico yaml en versiones iguales o anteriores a la 1.0.30 de Swagger-Parser y las versiones iguales o anteriores a la 2.2.2 de Swagger codegen resulta en la ejecución de código arbitrario cuando se analiza una especificación yaml Open-API maliciosamente…