Vulnerabilidades

Una vulnerabilidad de falta de autorización en la funcionalidad de creación de repositorios de Google Cloud BigQuery, Dataform y Colab Enterprise, en las versiones entre octubre de 2025 y el 10 de mayo de 2026, en Google Cloud Platform, permite a un atacante autenticado escalar privilegios y tomar el control de…

Vulnerabilidad de deserialización de datos no confiables en wpWax Directorist directorist que permite la inyección de objetos. Este problema afecta a Directorist: desde n/a hasta <= 8.8.2.

Vulnerabilidad de neutralización inadecuada de elementos especiales usados en un comando SQL ('inyección SQL') en Sergey AIWU ai-copilot-content-generator que permite inyección SQL ciega. Este problema afecta a AIWU: desde n/a hasta <= 1.5.4.

Vulnerabilidad de asignación incorrecta de privilegios en properfraction MailOptin mailoptin que permite la escalada de privilegios. Este problema afecta a MailOptin: desde n/a hasta <= 1.2.77.3.

Vulnerabilidad de control inadecuado de la generación de código ('inyección de código') en Realtyna Realtyna Organic IDX plugin real-estate-listing-realtyna-wpl que permite la inclusión remota de código. Este problema afecta a Realtyna Organic IDX plugin: desde n/a hasta <= 5.2.0.

Vulnerabilidad de deserialización de datos no confiables en ThemeGoods Grand Photography grandphotography que permite la inyección de objetos. Este problema afecta a Grand Photography: desde n/a hasta <= 5.7.8.

Vulnerabilidad de deserialización de datos no confiables en stmcan RT-Theme 18 | Extensions rt18-extensions que permite la inyección de objetos. Este problema afecta a RT-Theme 18 | Extensions: desde n/a hasta <= 2.5.

Vulnerabilidad de neutralización inadecuada de elementos especiales usados en un comando SQL ('inyección SQL') en AcyMailing Newsletter Team AcyMailing SMTP Newsletter acymailing que permite inyección SQL ciega. Este problema afecta a AcyMailing SMTP Newsletter: desde n/a hasta <= 10.11.0.

Vulnerabilidad de deserialización de datos no confiables en axiomthemes 777 triple-seven que permite la inyección de objetos. Este problema afecta a 777: desde n/a hasta <= 1.13.0.

Vulnerabilidad de neutralización inadecuada de elementos especiales usados en un comando SQL ('inyección SQL') en Themeum Kirki kirki que permite inyección SQL ciega. Este problema afecta a Kirki: desde n/a hasta <= 6.0.12.

Vulnerabilidad de deserialización de datos no confiables en Themeum Kirki kirki que permite la inyección de objetos. Este problema afecta a Kirki: desde n/a hasta <= 6.0.12.

Vulnerabilidad de subida sin restricciones de archivos de tipo peligroso en CodeRevolution Aimogen Pro aimogen-pro que permite el uso de archivos maliciosos. Este problema afecta a Aimogen Pro: desde n/a hasta <= 2.8.3.

Vulnerabilidad de neutralización inadecuada de elementos especiales usados en un comando SQL ('inyección SQL') en LatePoint LatePoint latepoint que permite inyección SQL ciega. Este problema afecta a LatePoint: desde n/a hasta <= 5.6.3.

Vulnerabilidad de subida sin restricciones de archivos de tipo peligroso en quantumcloud WoowBot Pro Max woowbot-pro-max que permite el uso de archivos maliciosos. Este problema afecta a WoowBot Pro Max: desde n/a hasta <= 14.1.7.

Vulnerabilidad de neutralización inadecuada de elementos especiales usados en un comando SQL ('inyección SQL') en quantumcloud Simple Business Directory Pro simple-business-directory-pro que permite inyección SQL. Este problema afecta a Simple Business Directory Pro: desde n/a hasta <= 15.9.4.

Vulnerabilidad de neutralización inadecuada de elementos especiales usados en un comando SQL ('inyección SQL') en Melograno Venture Studio Amelia ameliabooking que permite inyección SQL ciega. Este problema afecta a Amelia: desde n/a hasta <= 2.4.2.

Vulnerabilidad de limitación incorrecta de una ruta a un directorio restringido ('Path Traversal') en Brainstorm Force SureDash suredash que permite el recorrido de directorios (path traversal). Este problema afecta a SureDash: desde n/a hasta <= 1.8.0.

Vulnerabilidad de inyección en rutas URL mediante identificadores proporcionados por el usuario sin codificar en Apache Gravitino. Este problema afecta a Apache Gravitino: desde la 1.0.0 antes de la 1.2.1. Se recomienda a los usuarios actualizar a la versión 1.2.1, que corrige el problema.

El endpoint de inicio de NPC del servidor web en el puerto 8090 es vulnerable a inyección de comandos.

Una solicitud POST enviada a un endpoint específico del servidor web puede usarse para escribir en ubicaciones de archivo arbitrarias. El endpoint acepta el parámetro filename en la cabecera Content-Disposition sin verificación. Esto puede usarse para provocar una denegación de servicio sobrescribiendo archivos del…

Diversa información confidencial, como contraseñas y UID de tarjetas de carga, se escribe en archivos de registro.

El mecanismo de actualización de firmware no incluye validación de firma criptográfica. Esto permite a cualquiera con acceso a la capacidad de actualización de firmware subir archivos arbitrarios, lo que puede derivar en ejecución de código arbitrario.

El servidor web que se ejecuta en el puerto 8090 no requiere autenticación. Esto permite la filtración de información confidencial, como contraseñas configuradas, o la subida de archivos a través de distintos endpoints.

El endpoint de diagnóstico de red del servidor web en el puerto 8090 es vulnerable a inyección de comandos.

La aplicación Android EVbee Service utiliza comunicación cifrada con TLS (HTTPS), pero no valida el certificado proporcionado por el servidor. Esto permite a un atacante situado en la ruta de red entre la aplicación y el servidor de EVbee interceptar y manipular la comunicación entre la aplicación y el servidor. El…