Vulnerabilidades

Yii Yii2 Gii anterior a 2.2.2 permite a atacantes remotos ejecutar código de su elección a través del campo messageCategory de Generator.php. El atacante puede incrustar código PHP arbitrario en el archivo del modelo.

Vulnerabilidad en el producto Oracle Global Lifecycle Management NextGen OUI Framework de Oracle Fusion Middleware (componente: problemas del instalador NextGen). Las versiones compatibles que se ven afectadas son anteriores a 13.9.4.2.11. Una vulnerabilidad fácilmente explotable permite a un atacante con pocos…

tag.ex en Phoenix Phoenix.HTML (también conocido como phoenix_html) anterior a 3.0.4 permite XSS en atributos de clase HEEx.

** NO SOPORTADO CUANDO SE ASIGNÓ ** Se encontró una vulnerabilidad en sumocoders FrameworkUserBundle hasta 1.3.x. Ha sido calificada como problemática. Una función desconocida del archivo Resources/views/Security/login.html.twig es afectada por esta vulnerabilidad. La manipulación conduce a la exposición de…

Se encontró una vulnerabilidad en Centralized-Salesforce-Dev-Framework. Ha sido declarada problemática. La función SObjectService del archivo src/classes/SObjectService.cls del componente SOQL Handler es afectada por esta vulnerabilidad. La manipulación del argumento orderDirection conduce a la inyección. El parche se…

Debido a una desinfección inadecuada de la entrada del usuario, HTTPEngine.Handle permite directory traversal, lo que permite a un atacante leer archivos fuera del directorio de destino para los que el servidor tiene permiso de lectura.

Una vulnerabilidad ha sido encontrada en Webdetails cpf hasta 9.5.0.0-80 y clasificada como problemática. Una función desconocida del archivo core/src/main/java/pt/webdetails/cpf/packager/DependenciesPackage.java es afectada por esta función. La manipulación del argumento baseUrl conduce a Cross-Site Scripting. Es…

Vulnerabilidad de ejecución remota de código de .NET Framework.

Cross-site Scripting (XSS): DOM en el repositorio de GitHub nuxt/framework anterior a v3.0.0-rc.13.

Cross-site Scripting (XSS): Reflejado en el repositorio de GitHub nuxt/framework anterior a v3.0.0-rc.13.

Yii Yii2 Gii hasta 2.2.4 permite almacenar XSS inyectando un payload en cualquier campo.

TERASOLUNA Global Framework 1.0.0 (versión de revisión pública) y TERASOLUNA Server Framework para Java (Rich) 2.0.0.2 a 2.0.5.1 son afectados por una vulnerabilidad de manipulación de ClassLoader debido al uso de la versión anterior de Spring Framework que contiene la vulnerabilidad. La vulnerabilidad es causada por…

`yiisoft/yii` antes de la versión 1.1.27 son vulnerables a la ejecución remota de código (RCE) si la aplicación llama a `unserialize()` ante una entrada arbitraria del usuario. Esto ha sido parcheado en la versión 1.1.27.

El framework Silverstripe hasta 4.11 permite XSS (problema 3 de 3).

El framework Silverstripe hasta la versión 4.11 permite XSS (problema 1 de 3) a través de atacantes remotos que agreguen un payload de Javascript a la meta descripción de una página y la ejecute en la vista de comparación del historial de versiones.

El framework Silverstripe hasta la versión 4.11 permite la vulnerabilidad XSS a través del atributo href de un enlace (problema 2 de 2).

El framework Silverstripe hasta la versión 4.11 permite XSS (problema 1 de 2) a través del payload de JavaScript al atributo href de un enlace al dividir una URL de JavaScript con caracteres de espacio en blanco.

Silverstripe silverstripe/framework hasta 4.11.0, silverstripe/assets hasta 1.11.0 y silverstripe/asset-admin hasta 1.11.0 permiten XSS.

Silverstripe silverstripe/framework hasta 4.11 es vulnerable a XSS al manipular cuidadosamente una URL de retorno en una solicitud /dev/build o /Security/login.

Silverstripe silverstripe/framework hasta 4.11 permite la inyección SQL.

Silverstripe silverstripe/framework hasta 4.11 permite XSS (problema 2 de 3).

Vulnerabilidad de divulgación de información de .NET Framework

Una vulnerabilidad en el producto Oracle Applications Framework de Oracle E-Business Suite (componente: Session Management). Las versiones soportadas que están afectadas son 12.2.6-12.2.11. Una vulnerabilidad explotable fácilmente permite a un atacante poco privilegiado y con acceso a la red por medio de HTTP…

Se ha detectado que Mobile Security Framework (MobSF) versiones v0.9.2 y anteriores, contienen una vulnerabilidad de inclusión de archivos locales (LFI) en el script StaticAnalyzer/views.py. Esta vulnerabilidad permite a atacantes leer archivos arbitrarios por medio de una petición HTTP diseñada

El archivo socket/transport.ex en Phoenix versiones anteriores a 1.6.14, maneja inapropiadamente el comodín check_origin. NOTA: Las aplicaciones LiveView no están afectadas por defecto debido a la presencia de un token LiveView CSRF