Vulnerabilidades

Vulnerabilidad de salto de directorio en el componente JE Ajax Event Calendar (com_jeajaxeventcalendar) v1.0.1 y v1.0.3 para Joomla!, permite a atacantes remotos leer archivos de su elección a través de .. (punto punto) en el parámetro "view" de index.php. NOTA: algunos de estos detalles se han obtenido de información…

Múltiples vulnerabilidades de secuencias de comandos en sitios cruzados (XSS) en index.php de PHP-Calendar en versiones anteriores a la v2.0 Beta7. Permiten a atacantes remotos inyectar codigo de script web o código HTML de su elección a través de los parámetros (1) description y (2) lastaction.

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en la extensión Calendar Base (cal) anterior a v1.1.1 para TYPO3, cuando se usa Internet Explorer 6, permite a atacantes remotos inyectar secuencias de comandos Web o HTML a través de los "parámetros seach -búsqueda-".

Vulnerabilidad de salto de directorio en el componente Directory traversal vulnerability in the GCalendar (com_gcalendar) v2.1.5 para Joomla! permite a atacantes remotos incluir y ejecutar archivos locales de su elección al utilizar un caracter .. (punto punto) en el parámetro controller en index.php.

Vulnerabilidad de inyección SQL en el componente JE Quiz (com_jequizmanagement) v1.b01 para Joomla! permite a atacantes remotos ejecutar comandos SQL arbitrarios a través del parámetro "eid" en una acción "question" a index.php.

Vulnerabilidad de inyección SQL en el componente JE Event Calendars (com_jeeventcalendar) v1.0 para Joomla! permite a atacantes remotos ejecutar comandos SQL arbitrarios a través del parámetro "event_id" en una acción "event" a index.php.

Vulnerabilidad de falsificación de petición en sitios cruzados en WebCalendar v1.2.0, permite a atacantes secuestrar la autenticación de los administradores para peticiones que cambian la contraseña a través de vectores desconocidos. NOTA: el origen de esta información es desconocido. Algunos detalles han sido…

Múltiples vulnerabilidades de tipo cross-site request forgery (CSRF) en WebCalendar versión 1.2.0, y otras versiones anteriores a 1.2.5, permiten a los atacantes remotos secuestrar la identificación de administradores para las peticiones que (1) eliminan un evento o (2) prohíben una dirección IP de publicación por…

Múltiples vulnerabilidades de tipo cross-site scripting (XSS) en WebCalendar versiones 1.2.0 y otras versiones anteriores a 1.2.5, permiten a los atacantes remotos inyectar script web o HTML arbitrario por medio de los parámetros (1) tab en el archivo users.php y PATH_INFO en los archivos (2) day.php, (3) month.php y…

install.php en JCE-Tech PHP Calendars, descargado el 20100121, permite a atacantes remotos evitar las restricciones de acceso establecidas y modificar la configuración de la aplicación mediante una petición directa. NOTA: esto es sólo una vulnerabilidad cuando el administrador no sigue las recomendaciones de seguridad…

Vulnerabilidad de ejecución de secuencias de comandos en sitios cruzados (XSS) en product_list.php en JCE-Tech PHP Calendars, descargado el 2010-01-11, permite a atacantes remotos inyectar secuencias de comandos web o HTML a través del parámetro "cat". NOTA: esta cuestión se reportó como resultado de un mensaje de…

Vulnerabilidad de inyección SQL en product_list.php en JCE-Tech PHP Calendars, descargado el 2010-01-11, permite a atacantes remotos ejecutar comandos SQL de su elección a través del parámetro "cat". NOTA: la procedencia de esta información es desconocida; los detalles se han obtenido exclusivamente de información de…

Múltiples vulnerabilidades de salto de directorio absoluto en PHP-Calendar v1.1 permite a atacantes remotos incluir y ejecutar ficheros locales de su elección a través del nombre de archivo en el parámetro configfile en (1)update08.php or (2) update10.php. NOTA: en algunos entornos, esto puede ser ser aprovechado para…

Una vulnerabilidad de inyección SQL en la extensión 'Diocese of Portsmouth Calendar' (pd_calendar) v0.4.1 y anteriores para TYPO3 permite a atacantes remotos ejecutar comandos SQL a través de vectores desconocidos. Se trata de una vulnerabilidad diferente a CVE-2008-6691.

Una vulnerabilidad de ejecución de comandos en sitios cruzados (XSS) en la extensión 'Calendario de la Diocesis de Portsmouth' (pd_calendar) v0.4.1 y anteriores para TYPO3 permite a atacantes remotos inyectar HTML o scripts web a través de vectores no especificados.

Vulnerabilidad de inyección SQL en el componente Google Calendar GCalendar v1.1.2, 2.1.4 y posiblemente versiones anteriores para Joomla!, permite a atacantes remotos ejecutar comandos SQL de su elección a través del parámetro "gcid". NOTA: algunos de estos detalles han sido obtenidos a partir de terceros.

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en search.php en JCE-Tech PHP Calendars Script permite a atacantes remotos inyectar secuencias de comandos web o HTML mediante el parámetro de búsqueda.

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en el módulo "Calendar" (calendario) en versiones v6.x anteriores a la v6.x-2.2 para Drupal permite a atacantes remotos autenticados, con privilegios "create new content types" (crear nuevos tipos de contenido), inyectar codigo de script web o código…

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en NashTech Easy PHP Calendar 6.3.25 permite a atacantes remotos inyectar secuencias de comandos web o HTML de su elección mediante el campo Details (parámetro descr) en una acción Add New Event en una petición no especificada, tal y como es generada…

Vulnerabilidad de salto de directorio en DJcalendar.cgi en DJCalendar permite a atacantes remotos leer ficheros de su elección mediante un .. (punto punto) en el parámetro TEMPLATE.

Vulnerabilidad de inyección SQL en active_appointments.asp en ASP Inline Corporate Calendar permite a atacantes remotos ejecutar comandos SQL de su elección a través del parámetro "sortby". NOTA: la procedencia de esta información es desconocida; los detalles se han obtenido exclusivamente de información de terceros.

Vulnerabilidad de inyección SQL en active_appointments.asp in ASP Inline Corporate Calendar permite a atacantes remotos ejecutar comandos SQL de su elección a través del parámetro "order".

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en search.asp en ASP Inline Corporate Calendar inyectar secuencias de comandos web o HTML de su elección a través del parámetro "keyword".

Una vulnerabilidad de salto de directorio en cms_detect.php en TotalCalendar 2.4 permite a atacantes remotos incluir y ejecutar archivos locales a través de un .. (punto punto) en el parámetro include.

Flat Calendar v1.1 no restringe adecuadamente el acceso a sus funciones administrativas, lo que permite a atacantes remotos (1) añadir nuevos eventos a través de calAdd.php que es accesible desde admin/add.php, o (2) borrar eventos a través de admin/deleteEvent.php. NOTA: Esta es únicamente una vulnerabilidad cuando…