Vulnerabilidades

Múltiples vulnerabilidades XSS (cross-site scripting) en (1) index.php y (2) datePicker.php en Easy PHP Calendar v6.x y 7.x anterior a v7.0.13 permite a atacantes remotos inyectar web scripts arbitrarios o HTML mediante vectores no especificados.

Cross-site scripting (XSS) en el plug-in My Calendar antes de v1.10.2 para WordPress permite a atacantes remotos inyectar secuencias de comandos web o HTML a través del PATH_INFO.

install/index.php en Craig Knudsen WebCalendar anteriores a v1.2.5 permite a atacantes remotos a modificar settings.php y posiblemente ejecutar comandos a través de vectores relacionados con las preferencias de tema de usuario.

Múltiples vulnerabilidades de ejecución de secuencias de comandos en sitios cruzados (XSS) en Craig Knudsen WebCalendar, permite a atacantes remotos inyectar secuencias de comandos web o HTML a través de las variables (1) $name o (2) $description en edit_entry_handler.php, o (3) $url, (4) $tempfullname, o (5)…

Vulnerabilidad de ejecución de secuencias de comandos (XSS) en Craig Knudsen WebCalendar v1.2.4, permite a atacantes remotos inyectar secuencias de comandos web o HTML a través de la variable Location.

Vulnerabilidad de ejecución de secuencias de comandos en sitios cruzados (XSS) en el complemento MF Gig Calendar para WordPress, permite a atacantes remotos inyectar secuencias de comandos web o HTML a través de la cadena de consulta en la página de calendario.

Múltiples vulnerabilidades de inyección SQL en Freelancer Calendar v1.01 y anteriores permite a atacantes remotos inyectar código web o html arbitrario a través del parámetro SearchField en una acción de búsqueda de (1) category_list.php, (2) Copy_of_calendar_list.php, (3) customer_statistics_list.php, (4)…

Múltiples vulnerabilidades de ejecución de comandos en sitios cruzados (XSS) en el plugin All-in-One Event Calendar v1.4 y v1.5 para WordPress permiten a atacantes remotos inyectar secuencias de comandos web o HTML a través de los parámetros (1) title a app/view/agenda-widget-form.php, (2) args, (3) title, (4)…

Vulnerabilidad de ejecución de secuencias de comandos en sitios cruzados (XSS) en details_view.php en PHP Booking Calendar v10e, permite a atacantes remotos inyectar secuencias de comandos web o HTML de su elección a través del parámetro page_info_message.

Vulnerabilidad de inyección SQL en index.asp en Digital Interchange Calendar v5.8.5, permite a atacantes remotos ejecutar comandos SQL de su elección a través del parámetro "intDivisionID".

Vulnerabilidad no especificada en la extensión JW Calendario (jw_calendar) v1.3.20 y anteriores para TYPO3 permite a atacantes remotos ejecutar código arbitrario a través de vectores desconocidos.

Vulnerabilidad de inyección SQL en index.cfm en ColdCalendar ColdGen v2.06 permite a atacantes remotos ejecutar comandos SQL a través del parámetro EventID en una acción ViewEventDetails.

Múltiples vulnerabilidades de falsificación de petición en sitios cruzados (CSRF) en calendar.class.php en ApPHP Calendar (ApPHP CAL), permite a atacantes remotos secuestrar la autenticación de los administradores y de otras víctimas no especificadas para peticiones que usan los parámetros (1) category_name, (2)…

Múltiples vulnerabilidades de ejecución de secuencias de comandos en sitios cruzados (XSS) en calendar.class.php en ApPHP Calendar (ApPHP CAL), permite a atacantes remotos inyectar secuencias de comandos web o HTML a través de (1) category_name, (2) category_description, (3) event_name, o (4) event_description…

WebCalendar versión 1.2.3, y otras versiones anteriores a 1.2.5, permite a los atacantes remotos obtener información confidencial por medio de una petición directa a un archivo .php, que revela la ruta (path) de instalación en un mensaje de error, como es demostrado por ws/user_mod.php y otros archivos.

PHP iCalendar v2.4 permite a atacantes remotos obtener información sensible a través de una petición directa a un archivo .php, lo que revela la ruta de instalación en un mensaje de error, como lo demuestra el producto rss/rss_common.php y algunos otros archivos.

111WebCalendar v1.2.3 permite a atacantes remotos obtener información sensible a través de una petición directa a un archivo .php, lo que revela la ruta de instalación en un mensaje de error, como se demostró con footer.php y algunos otros archivos.

Vulnerabilidad de inyección SQL en el componente JS Calendar (com_jscalendar) v1.5.1 y v1.5.4 para Joomla! permite a atacantes remotos ejecutar comandos SQL a través del parámetro EV_ID en una acción de información a index.php. NOTA: algunos de estos detalles han sido obtenidos de información de terceros.

Múltiples vulnerabilidades de ejecución de secuencias de comandos en sitios cruzados en el componente JoomlaSeller JS Calendar (com_jscalendar) v1.5.1 y v1.5.4 para Joomla! permite a atacantes remotos inyectar secuencias de comandos web o HTML de su elección a través de los parámetros (1)"month" y (2)"year" en una…

Vulnerabilidad de inyección SQL en el componente JE Ajax Event Calendar (com_jeajaxeventcalendar) para Joomla!, permite a atacantes remotos ejecutar comandos SQL de su elección a través del parámetro event_id en una acción alleventlist_more a index.php.

Vulnerabilidad de salto de directorio en box_display.php en TotalCalendar v2.4, permite a atacantes remotos leer archivos de su elección y posiblemente tener otro impacto no especificado a través de ..(punto punto) en el parámetro "box".

Vulnerabilidad de inyección SQL en rss.php en TotalCalendar 2.4 permite a atacantes remotos ejecutar comandos SQL de su elección a través del parámetro "selecteCal" en una acción SwitchCal.

Vulnerabilidad de inyección SQL en la extensión Versatile Calendar Extension [VCE] (sk_calendar) en versiones anteriores a la 0.3.4 para TYPO3 permite a atacantes remotos ejecutar comandos SQL de su elección mediante vectores no especificados.

Vulnerabilidad de inclusión de archivo PHP remoto en config.php en TotalCalendar v2.4 permite a atacantes remotos ejecutar código PHP de su elección a través de una URL en el parámetro inc_dir, un vector diferente a los tratados en CVE-2006-1922 y CVE-2006-7055.

Vulnerabilidad de inyección SQL en el componente JE Ajax Event Calendar (com_jeajaxeventcalendar) v1.0.5 para Joomla!, permite a atacantes remotos ejecutar comandos SQL de su elección a través del parámetro view sobre index.php