Vulnerabilidades

Vulnerabilidad de inyección SQL en Diocese of Portsmouth Calendar Today (pd_calendar_today) extensión v0.0.3 para TYPO3 permite a atacantes remotos ejecutar comandos SQL de su elección a través de vectores desconocidos.

Múltiples vulnerabilidades de inyección SQL en DevelopItEasy Events Calendar v1.2 que permiten a usuarios remotos ejecutar comandos SQL de su elección a través de (1) el parámetro user_name (también llamado user field) en admin/index.php, (2) el parámetro user_pass (también llamado pass field) en admin/index.php o (3)…

aspWebCalendar Free Edition almacena información sensible bajo la raíz web con insuficientes controles de acceso, lo que permite a atacantes remotos descargar la base de datos que contiene las credenciales de usuario a través de una petición directa para calendar/calendar.mdb.

Sun Calendar Express Web Server en Sun ONE Calendar Server v6.0 y Sun Java System Calendar Server 6 2004Q2 hasta 6.3-7.01 permite a atacantes remotos provocar una denegación de servicio (caída del demonio) a través de múltiples peticiones de la URI por defecto con caracteres alfabéticos en el parámetro "tzid".

Múltiples vulnerabilidades de secuencias de comandos en sitios cruzados (XSS) en Sun Calendar Express Web Server en Sun ONE Calendar Server 6.0 y Sun Java System Calendar Server 6 2004Q2 hasta 6.3-7.01 permite a atacantes remotos inyectar web script o HTML de su elección a través de (1) el parámetro "fmt-out" de…

Vulnerabilidad de inyección SQL en calendar_Eventupdate.asp de Calendar Mx Professional 2.0.0; permite a atacantes remotos ejecutar comandos SQL de su elección a través del parámetro ID.

MyCal Personal Events Calendar almacena información sensible dentro de la raíz web con control de acceso insuficiente, esto permite a atacantes remotos descargar una base de datos que contenga el nombre de usuario y contraseña a través de una solicitud directa a mycal.mdb.

evCal Events Calendar almacena información sensible en el directorio web raíz con insuficientes mecanismos de control de acceso, permitiendo a atacantes remotos descargar una base de datos que contiene el usuario y la contraseña utilizando una petición directa a (1) evcal.mdb y (2) evcal97.mdb.

Vulnerabilidad de inyección SQL en calendarevent.cfm en CF_Calendar, permite a los atacantes remotos ejecutar comandos SQL de su elección a través del parámetro "calid".

Múltiples vulnerabilidades de inyección SQL en el componente GigCalendar (com_gigcal) v1.0 para Mambo y Joomla!, cuando magic_quotes_gpc está deshabilitado, permite a atacantes remotos ejecutar comandos SQL de su elección a través de (1) el parámetro gigcal _venues_id en una acción details para index.php, que no es…

Vulnerabilidad de inyección SQL en el componente GigCalendar (com_gigcal) v1.0 para Mambo y Joomla!, permite a atacantes remotos ejecutar comandos SQL de su elección a través del parámetro gigcal_gigs_id en una acción details en index.php.

Vulnerabilidad de inyección SQL en A4Desk PHP Event Calendar permite a atacates remotos ejecutar comandos SQL de su elección a través del parámetro "eventid" para admin/index.php.

Vulnerabilidad de inclusión de fichero PHP en index.php en A4Desk Event Calendar, cuando magic_quotes_gpc esta desactivado, permite a atacantes remotos ejecutar código PHP a su elección a través de una URL en el parámetro "v".

Una vulnerabilidad de salto de directorio en print.php en versiones de PHP icalendar 2.24 y anteriores permite a atacantes remotos incluir y ejecutar archivos locales arbitrarios a través de un .. (punto punto) en el parámetro cookie_language en una cookie phpicalendar_*. Se trata de un vector diferente al de…

El acceso a admin/index.php en PHP icalendar 2.3.4, 2.24 y anteriores no requiere autenticación de administración apara las acciones addupdate, lo que permite a atacantes remotos subir un calendario (un fichero .ics) con contenidos arbitrarios al directorio calendars/ fuera de la raíz del árbol de directorios de la…

PHP iCalendar v2.24 y anteriores permite a atacantes remotos evitar la autenticación estableciendo las cookies phpicalendar y phpicalendar_login a 1.

Vulnerabilidad de inyección SQL en la extensión advCalendar v0.3.1 y anteriores en TYPO3, permite a atacantes remotos ejecutar comandos SQL de su elección mediante vectores no especificados.

Nodstrum MySQL Calendar 1.1 y 1.2 permite a atacantes remotos evitar la autentificación y obtener acceso de administrador estableciendo la cookie nodstrumCalendarV2 a 1. NOTA: alguno de estos detalles se han obtenido de información de terceros.

Vulnerabilidad de inyección SQL en index.php en Nodstrum MySQL Calendar 1.1 y 1.2 permite a atacantes remotos ejecutar comandos SQL de su elección mediante el parámetro username.

Vulnerabilidad de inyección SQL en la función loginADP de ajaxp.php de MyioSoft EasyCalendar v4.0, permite a atacantes remotos ejecutar comandos SQL de su elección a través del parámetro rsargs, como se puede alcanzar a través de parámetro "username" (nombre de usuario). Se trata de una vulnerabilidad diferente de…

Múltiples vulnerabilidades de inyección SQL en Calendarix Basic 0.8.20071118 que permite a los atacantes remotos, ejecutar arbitrariamente comandos SQL a través del parámetro (1) catsearch para cal_search.php o (2) el parámetro catview para cal_cat.php. NOTA: vector 1 podría solaparse con CVE-2007-3183.3, y el vector…

Ocean12 Calendar Manager Gold v2.04 almacena información sensible bajo la web raíz con control de acceso insuficiente, lo cual permite a atacantes remotos obtener información sensible a través de una petición directa a o12cal.mdb.

Vulnerabilidad de salto de directorio en php/cal_pdf.php en Mini Web Calendar (mwcal) v1.2 permite a atacantes remotos leer archivos locales de su elección a través de secuencias de salto de directorio en el parámetro "thefile".

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en php/cal_default.php in Mini Web Calendar (mwcal) 1.2 permite a atacantes remotos inyectar secuencias de comandos web o HTML mediante el URL.

Vulnerabilidad de inclusión remota del fichero PHP en panel/common/theme/default/header_setup.php en WebBiscuits Software Events Calendar 1.1, que permite a los atacantes remotos ejecutar arbitrariamente código PHP a través de una URL en los parámetros (1) path[docroot] y (2) component.