Vulnerabilidades

El complemento Password for WP para WordPress es vulnerable a Cross-Site Request Forgery en todas las versiones hasta la 1.3 incluida . Esto se debe a una validación de nonce incorrecta o faltante en la función get3_init_admin_page(). Esto permite que atacantes no autenticados actualicen configuraciones e inyecten…

Vulnerabilidad de ejecución remota de código en Microsoft Office

La vulnerabilidad de autorización faltante en Jerod Santo WordPress Console permite explotar niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a WordPress Console: desde n/a hasta 0.3.9.

La vulnerabilidad de autorización faltante en miniOrange WordPress Social Login and Register (Discord, Google, Twitter, LinkedIn) permite explotar los niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a WordPress Social Login and Register (Discord, Google, Twitter, LinkedIn):…

La vulnerabilidad de autorización faltante en miniOrange WordPress Social Login and Register (Discord, Google, Twitter, LinkedIn) permite explotar los niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a WordPress Social Login and Register (Discord, Google, Twitter, LinkedIn):…

Vulnerabilidad de autorización faltante en Zendesk Support for WordPress permite explotar niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a Zendesk Support for WordPress: desde n/a hasta 1.8.4.

El complemento ????? ?? ???? – ???? ?? ???? de WordPress es vulnerable a cross site scripting reflejado debido al uso de add_query_arg sin el escape adecuado en la URL en todas las versiones hasta la 5.2.2 incluida. Esto hace posible que atacantes no autenticados inyecten scripts web arbitrarias en páginas que se…

El complemento Drag & Drop Builder, Human Face Detector, Pre-built Templates, Spam Protection, User Email Notifications & more para WordPress es vulnerable a Cross-Site Scripting Reflejado a través del parámetro 'page' en todas las versiones hasta la 1.4.19 incluida debido a una desinfección de entrada y un…

La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en Owen Cutajar & Hyder Jaffari WordPress Auction Plugin permite XSS almacenado. Este problema afecta al complemento de subasta de WordPress: desde n/a hasta 3.7.

Vulnerabilidad de neutralización incorrecta de elementos especiales utilizados en un comando SQL ('Inyección SQL') en Owen Cutajar & Hyder Jaffari WordPress Auction Plugin permite la inyección SQL. Este problema afecta al complemento de subasta de WordPress: desde n/a hasta 3.7.

Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en Portfoliohub WordPress Portfolio Builder – Portfolio Gallery permite XSS almacenado. Este problema afecta a WordPress Portfolio Builder – Portfolio Gallery: desde n/a hasta 1.1.7.

En el estado de contraseña de Click Studios anterior a la compilación 9920, existe una posible escalada de permisos en la pantalla de edición de carpeta.

El complemento WordPress Contact Forms de Cimatti para WordPress es vulnerable a Cross-Site Request Forgery en todas las versiones hasta la 1.9.2 incluida. Esto se debe a la falta o la validación incorrecta de nonce en la función process_bulk_action. Esto permite que atacantes no autenticados eliminen formularios a…

El complemento Support SVG – Upload svg files in wordpress without hassle para WordPress es vulnerable a la ejecución de cross-site scripting almacenado mediante la API REST en las cargas de archivos SVG en todas las versiones hasta la 1.1.0 incluida, debido a una desinfección de entrada y un escape de salida…

El complemento WPGYM - Wordpress Gym Management System para WordPress es vulnerable a la carga de archivos arbitrarios debido a la falta de validación del tipo de archivo en la función MJ_gmgt_user_avatar_image_upload() en todas las versiones hasta la 67.1.0 incluida. Esto hace posible que atacantes no autenticados…

El complemento WPGYM - Wordpress Gym Management System para WordPress es vulnerable a la escalada de privilegios debido a una verificación de capacidad faltante en la función MJ_gmgt_add_staff_member() en todas las versiones hasta la 67.1.0 incluida. Esto permite que atacantes autenticados, con acceso de nivel de…

El complemento WordPress Brute Force Protection – Stop Brute Force Attacks para WordPress es vulnerable a ataques de Cross-Site Scripting reflejado debido al uso de add_query_arg y remove_query_arg sin el escape adecuado en la URL en todas las versiones hasta la 2.2.6 incluida. Esto permite que atacantes no…

El complemento GEO my WP para WordPress anterior a la versión 4.5 y el complemento gmw-premium-settings para WordPress anterior a la versión 3.1 no validan suficientemente los archivos que se van a cargar, lo que podría permitir a los atacantes cargar archivos arbitrarios como PHP en el servidor.

El complemento Theater for WordPress para WordPress es vulnerable a ataques de cross site scripting reflejado debido al uso de add_query_arg sin el escape adecuado en la URL en todas las versiones hasta la 0.18.6.2 incluida. Esto permite que atacantes no autenticados inyecten secuencias de comandos web arbitrarias en…

Password Pusher, una aplicación de código abierto para comunicar información confidencial a través de la web, viene con un limitador de velocidad configurable. En versiones anteriores a la v1.49.0, el limitador de velocidad se podía eludir falsificando encabezados de proxy que permitían a los actores maliciosos enviar…

La vulnerabilidad de Cross-Site Request Forgery (CSRF) en Cliconomics Exclusive Content Password Protect permite cargar un shell web a un servidor web. Este problema afecta a Exclusive Content Password Protect: desde n/a hasta 1.1.0.

Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en wordpresteem WE – Client Logo Carousel permite XSS almacenado. Este problema afecta a WE – Client Logo Carousel: desde n/a hasta 1.4.

El complemento GDPR de WordPress para WordPress es vulnerable a la pérdida no autorizada de datos debido a una falta de verificación de capacidad en la función 'WordPress_GDPR_Data_Delete::check_action' en todas las versiones hasta la 2.0.2 incluida. Esto hace posible que atacantes no autenticados eliminen usuarios…

El complemento GDPR de WordPress para WordPress es vulnerable a cross-site scripting almacenado a través de los parámetros 'gdpr_firstname' y 'gdpr_lastname' en todas las versiones hasta la 2.0.2 incluida, debido a una desinfección de entrada y un escape de salida insuficientes. Esto permite que atacantes no…

La vulnerabilidad de neutralización incorrecta de elementos especiales utilizados en un comando SQL ('Inyección SQL') en Pressaholic WordPress Video Robot - The Ultimate Video Importer permite la inyección SQL. Este problema afecta a WordPress Video Robot - The Ultimate Video Importer: desde n/a hasta 1.20.0.