Vulnerabilidades

Las versiones anteriores a la 1.1.6 del plugin cp-contact-form-with-paypal (también llamado CP Contact Form with PayPal) para WordPress tienen una inyección SQL mediante el parámetro cp_contactformpp_id en cp_contactformpp.php.

Las versiones anteriores a la 1.1.6 del plugin cp-contact-form-with-paypal (también llamado CP Contact Form with PayPal) para WordPress tienen Cross-Site Request Forgery (CSRF) con Cross-Site Scripting (XSS) resultante. Esto está relacionado con cp_contactformpp.php y cp_contactformpp_admin_int_list.inc.php.

Existe una vulnerabilidad en el plugin rk-responsive-contact-form v1.0 de WordPress. No se sanitiza la variable $delid antes de pasarla a una consulta en el archivo ./rk-responsive-contact-form/include/rk_user_list.php.

Vulnerabilidad de inyección SQL en Componente Contact Form Maker versión 1.0.1 de Joomla!, permite a los atacantes remotos ejecutar comandos SQL arbitrarios por medio del parámetro id.

Una Vulnerabilidad de tipo cross-site-scripting en Captcha anterior a versión 4.3.0, Car Rental anterior a versión 1.0.5, Contact Form Multi anterior a versión 1.2.1, Contact Form anterior a versión 4.0.6, Contact Form to DB anterior a versión 1.5.7, Custom Admin Page anterior a versión 0.1.2, Custom Fields Search…

Vulnerabilidad de XSS en Kobe Beauty php-contact-form en versiones anteriores a 2016-05-18 permite a atacantes remotos inyectar secuencias de comandos web o HTML arbitrarios a través de un URI manipulado.

Múltiples vulnerabilidades de CSRF en el plugin Contact Form Generator 2.0.1 y versiones anteriores para WordPress, permite a atacantes remotos secuestrar la autenticación de los administradores para peticiones que (1) crean un campo, (2) actualizan un campo, (3) borran un campo, (4) crean un formulario, (5)…

Vulnerabilidad de CSRF en el plugin Encrypted Contact Form anterior a 1.1 para WordPress permite a atacantes remotos secuestrar la autenticación de administradores para solicitudes que realizan ataques de XSS a través del parámetro iframe_url en una acción Update Page en la página conformconf en…

Vulnerabilidad de CSRF en el módulo Contact Form Fields anterior a 6.x-2.3 para Drupal permite a atacantes remotos secuestrar la autenticación de administradores para solicitudes que eliminan campos a través de vectores no especificados.

Vulnerabilidad de CSRF en el plugin Contact Form DB (también conocido como CFDB y contact-form-7-to-database-extension) anterior a 2.8.32 para WordPress permite a atacantes remotos secuestrar la autenticación de administradores para solicitudes que eliminan todos los registros de los plugins a través de una solicitud…

Vulnerabilidad de XSS en el plugin Contact Form DB (también conocido como CFDB y contact-form-7-to-database-extension) 2.8.26 para WordPress permite a atacantes remotos inyectar secuencias de comandos web arbitrarios o HTML a través del parámetro submit_time en la página CF7DBPluginSubmissions en wp-admin/admin.php.

Múltiples vulnerabilidades de CSRF en el plugin Acobot Live Chat & Contact Form 2.0 para WordPress permiten a atacantes remotos secuestrar la autenticación de administradores para solicitudes que (1) cambian las configuraciones de de plugins o (2) realizan ataques de XSS a través del parámetro acobot_token en la…

Vulnerabilidad de XSS en el plugin Contact Form Clean and Simple (clean-and-simple-contact-form-by-meg-nicholas) 4.4.0 y versiones anteriores para Wordpress permite a atacantes remotos inyectar secuencias de comandos web o HTML arbitrarios mediante el parámetro cscf[name] en contact-us/.

Múltiples vulnerabilidades de XSS en el plugin Contact Form DB (también conocido como CFDB y contact-form-7-to-database-extension) anterior a 2.8.16 para WordPress permiten a atacantes remotos inyectar secuencias de comandos web o HTML arbitrarios a través del parámetro (1) form o (2) enc parameter en la página…

Múltiples vulnerabilidades de XSS en includes/toAdmin.php en el plugin Contact Form 7 Integrations 1.0 hasta 1.3.10 para WordPress permiten a atacantes remotos inyectar secuencias de comandos web o HTML arbitrarios a través del parámetro (1) uE o (2) uC.

Rock Lobster Contact Form 7 anterior a 3.7.2 permite a los atacantes remotos omitir el mecanismo de protección CAPTCHA y enviar datos de formularios arbitrarios omitiendo el parámetro _wpcf7_captcha_challenge_captcha-719.

Una vulnerabilidad de ejecución de comandos en sitios cruzados (XSS) en el módulo "Contact Forms" v6.x-1.x antes de v6.x-1.13 para Drupal, cuando el formulario de contacto central está activado, permite inyectar secuencias de comandos web o HTML, a usuarios remotos autenticados con permisos de administración de…

El módulo Contact Forms v7.x-1.x y anteriores a v7.x-1.2 para Drupal no especifica permisos suficientemente restrictivos, lo que permite a usuarios remotos autenticados con "acceso al formulario de contacto" permiso para modificar los ajustes del módulo a través de no vectores no especificados.

Vulneravilidad de inclusión remota de arhivo PHP en contact/contact.php en Groone's Simple Contact Form permite a atacantes remotos ejecutar código PHP arbitrario a través de una URL en el parámetro abspath.

Múltiples vulnerabilidades de salto de directorio en Phpkobo Free Real Estate Contact Form v1.09, cuando magic_quotes_gpc se desactiva, permite a atacantes remotos incluir y ejecutar archivos locales de su elección a través de una secuencia de salto de directorio en el parámetro LANG_CODE en (1)…

Vulnerabilidad de salto de directorio en codelib/sys/common.inc.php en Phpkobo Free Real Estate Contact Form v1.09, cuando magic_quotes_gpc está desactivado, permite a atacantes remotos incluir y ejecutar de forma arbitraría ficheros locales a través de .. (punto punto) en el parámetro "LANG_CODE". NOTA: Algunos…

**CUESTIONADA**Vulnerabilidad de inclusión de archivo PHP remoto en cforms-css.php de Oliver Seidel cforms (contactforms), un plugin de Wordpress. Permite a atacantes remotos ejecutar código PHP arbitrario a través de una URL en el parámetro tm. NOTA: CVE cuestiona esto para 7.3, ya que no hay parámetro tb y el código…

Vulnerabilidad de inyección CRLF (CR (retorno de carro) y LF (salto de línea)) en el contact.php del Moonware (también conocido como Dale Mooney Gallery) permite a atacantes remotos añadir cabeceras de correo electrónico de su elección a través de secuencias CRLF en el parámetro subject. NOTA: Esto puede ser…

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en el formulario de pre visualización del Stephen Ostermiller Contact Form anterior al 2.00.02 permite a atacantes remotos la inyección de secuencias de comandos web o HTML de su elección a través de vectores sin especificar que contengan un apostrofe.

Vulnerabilidad de envío de archivo no restringido en Link Request Contact Form 3.4 permite a atacantes remotos ejecutar código PHP de su elección enviando un fichero con extensión .php y un tipo de contenido imagen, según lo demostrado por image/jpeg.