Vulnerabilidades

Una vulnerabilidad de Cross-Site Scripting (XSS) en la aplicación Simple Admin Panel v1.0 permite a los atacantes script web o HTML arbitrario a través de un payload manipulado inyectado en el parámetro Nombre de categoría en la función Agregar categoría.

Una vulnerabilidad de Cross-Site Scripting (XSS) en la aplicación Simple Admin Panel v1.0 permite a los atacantes script web o HTML arbitrario a través de un payload manipulado inyectado en el parámetro Número de tamaño en la función Agregar tamaño.

Se descubrió que la aplicación Simple Admin Panel v1.0 contiene una vulnerabilidad de inyección SQL a través del parámetro orderID en /adminView/viewEachOrder.php.

Los permisos heredados inseguros en algunas herramientas Intel(R) Ethernet y software de instalación de controladores pueden permitir que un usuario autenticado potencialmente habilite la escalada de privilegios a través del acceso local.

El paquete Admin Classic de Pimcore proporciona una interfaz de usuario backend para Pimcore. Antes de la versión 1.3.3, un atacante podía crear, eliminar, etc. etiquetas sin tener permiso para hacerlo. Hay una solución disponible en la versión 1.3.3. Como workaround, se puede aplicar el parche manualmente.

La omisión de autenticación en vector-admin permite a un usuario registrarse en un servidor de vector-admin mientras "domain restriction" está activo, incluso cuando no posee una dirección de correo electrónico autorizada.

El paquete Admin Classic de Pimcore proporciona una interfaz de usuario backend para Pimcore. La aplicación permite a los usuarios crear archivos zip a partir de archivos disponibles en el sitio. En la rama 1.x anterior a la versión 1.3.2, el parámetro `selectedIds` es susceptible a la inyección SQL. Cualquier usuario…

El paquete Admin Classic de Pimcore proporciona una interfaz de usuario backend para Pimcore. La función de restablecimiento de contraseña envía al usuario que solicita un cambio de contraseña un correo electrónico que contiene una URL para restablecer su contraseña. La URL enviada contiene un token único, válido…

Silverstripe Admin proporciona una interfaz de administración básica para Silverstripe Framework. En las versiones de la rama 1.x anteriores a la 1.13.19 y de la rama 2.x anteriores a la 2.1.8, los usuarios que no tienen permisos de edición o eliminación de registros expuestos en un `ModelAdmin` aún pueden editar o…

Vulnerabilidad de Server-Side Request Forgery (SSRF) en Montonio Montonio para WooCommerce, Wpopal Funciones principales de Wpopal, AMO para WP – Gestión de membresía ArcStone wp-amo, Long Watch Studio WooVirtualWallet – Una billetera virtual para WooCommerce, Long Watch Studio WooVIP – Complemento de membresía para…

El complemento WordPress Database Administrator de WordPress hasta la versión 1.0.3 no sanitiza ni escapa adecuadamente un parámetro antes de usarlo en una declaración SQL a través de una acción AJAX disponible para usuarios no autenticados, lo que lleva a una inyección de SQL.

La falta de validación del parámetro GET "actual" durante la acción de cambiar un idioma conduce a una vulnerabilidad de redireccionamiento abierto.

Neutralización incorrecta de elementos especiales utilizados en una vulnerabilidad de comando SQL ('inyección SQL') en Jewel Theme WP Adminify. Este problema afecta a WP Adminify: desde n/a hasta 3.1.6.

Vulnerabilidad de carga sin restricciones de archivos con tipo peligroso en Shabti Kaplan Frontend Admin by DynamiApps. Este problema afecta a Frontend Admin by DynamiApps: desde n/a hasta 3.18.3.

En ActiveAdmin (aka Active Admin) anterior a 2.12.0, un problema de concurrencia permite que un actor malintencionado acceda a datos potencialmente privados (que pertenecen a otro usuario) al realizar solicitudes de exportación CSV en determinados momentos específicos.

csv_builder.rb en ActiveAdmin (también conocido como Active Admin) anterior a 3.2.0 permite la inyección de CSV.

Una vulnerabilidad de carga de archivos arbitrarios en el componente /admin/api.upload/file de ThinkAdmin v6.1.53 permite a los atacantes ejecutar código arbitrario a través de un archivo Zip manipulado.

Un problema en el componente /admin/api.plugs/script de ThinkAdmin v6.1.53 permite a los atacantes obtener shell proporcionando una URL manipulada para descargar un archivo PHP malicioso.

Se ha identificado una falla crítica en elijaa/phpmemcachedadmin que afecta a la versión 1.3.0, específicamente relacionada con una vulnerabilidad XSS almacenada. Esta vulnerabilidad permite a actores malintencionados insertar un payload de JavaScript cuidadosamente manipulado. El problema surge de una codificación…

Se ha informado de una vulnerabilidad de Path Traversal en elijaa/phpmemcachedadmin que afecta a la versión 1.3.0. Esta vulnerabilidad permite a un atacante eliminar archivos almacenados en el servidor debido a la falta de una verificación adecuada de la entrada proporcionada por el usuario.

El paquete Admin Classic proporciona una interfaz de usuario backend para Pimcore. `AdminBundle\Security\PimcoreUserTwoFactorCondition` introducido en v11 deshabilita la autenticación de dos factores para todos los firewalls de seguridad que no sean de administrador. Un usuario autenticado puede acceder al sistema sin…

XWiki Admin Tools Application proporciona herramientas para ayudar en la administración de XWiki. A partir de la versión 4.4 y antes de la versión 4.5.1, una vulnerabilidad de Cross-Site Request Forgery en la herramienta de administración para ejecutar comandos de shell en el servidor permite a un atacante ejecutar…

El paquete Pimcore Admin Classic proporciona una interfaz de usuario de backend para Pimcore. Las vulnerabilidades de Full Path Disclosure (FPD) permiten al atacante ver la ruta al archivo/raíz web. Por ejemplo: /home/omg/htdocs/file/. Ciertas vulnerabilidades, como el uso de la consulta load_file() (dentro de una…

Vulnerabilidad de Server-Side Request Forgery (SSRF) en Andy Moyle Church Admin. Este problema afecta a Church Admin: desde n/a hasta 3.7.56.

Vulnerabilidad de Cross-Site Request Forgery (CSRF) en el complemento Marios Alexandrou Enhanced Plugin Admin en versiones <= 1.16.