Vulnerabilidades

El complemento Drag and Drop Multiple File Upload for WooCommerce de WordPress es vulnerable a la transferencia arbitraria de archivos debido a una validación insuficiente de la ruta mediante el parámetro wc-upload-file[] en todas las versiones hasta la 1.1.4 incluida. Esto permite que atacantes no autenticados…

XSS almacenado en las versiones de M-Files Web 25.1.14445.5 a 25.2.14524.4 permiten que un usuario autenticado ejecute scripts

El aislamiento inadecuado de usuarios en la versión de M-Files Server anterior a la 25.3.14549 permite que usuarios anónimos afecten las vistas de otros usuarios anónimos y posiblemente provoquen una denegación de servicio.

XSS almacenado en la interfaz de usuario del escritorio en la herramienta de administración del servidor M-Files antes de la versión 25.3.14681.7 en Windows permiten que los usuarios locales autenticados ejecuten scripts a través de la interfaz de usuario.

Limitación incorrecta de una ruta a un directorio restringido ('Path Traversal') en NotFound include-file permite el Path Traversal. Este problema afecta al archivo de inclusión: desde n/d hasta 1.

La vulnerabilidad de inserción de información confidencial en el archivo de registro en smackcoders AIO Performance Profiler, Monitor, Optimize, Compress & Debug permite recuperar datos confidenciales incrustados. Este problema afecta a AIO Performance Profiler, Monitor, Optimize, Compress & Debug desde n/d…

Vulnerabilidad en Drupal Profile Private. Este problema afecta al perfil privado: *.*.

El complemento Drag and Drop Multiple File Upload for Contact Form 7 de WordPress es vulnerable a la inyección de objetos PHP en todas las versiones hasta la 1.3.8.7 incluida, mediante la deserialización de entradas no confiables de la función "dnd_upload_cf7_upload". Esto permite a los atacantes inyectar un objeto…

El complemento Drag and Drop Multiple File Upload for Contact Form 7 de WordPress es vulnerable a la eliminación arbitraria de archivos debido a una validación insuficiente de la ruta de archivo en la función "dnd_remove_uploaded_files" en todas las versiones hasta la 1.3.8.7 incluida. Esto permite que atacantes no…

La vulnerabilidad de autorización faltante en AIO Performance Profiler, Monitor, Optimize, Compress & Debug de smackcoders permite explotar los niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a AIO Performance Profiler, Monitor, Optimize, Compress & Debug: desde n/d…

En las versiones de Splunk App for Lookup File Editing anteriores a la 4.0.5, un script de la aplicación utilizaba las funciones de Python `chmod` y `makedirs`, lo que resultaba en permisos de lectura y ejecución excesivamente amplios. Esto podía generar un control de acceso inadecuado para un usuario con pocos…

La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en tstafford include-file permite XSS almacenado. Este problema afecta al archivo de inclusión: desde n/d hasta 1.

Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en smartredfox Pretty file links que permite XSS almacenado. Este problema afecta a los enlaces de archivos Pretty desde n/a hasta la versión 0.9.

El complemento ProfileGrid – User Profiles, Groups and Communities para WordPress es vulnerable a la modificación no autorizada de datos debido a la falta de comprobación de las funciones pm_decline_join_group_request y pm_approve_join_group_request en todas las versiones hasta la 5.9.4.4 incluida. Esto permite que…

El complemento ProfileGrid – User Profiles, Groups and Communities para WordPress es vulnerable a la inyección de objetos PHP en todas las versiones hasta la 5.9.4.5 incluida, mediante la deserialización de entradas no confiables en la función get_user_meta_fields_html. Esto permite a atacantes autenticados, con…

El complemento ProfileGrid – User Profiles, Groups and Communities para WordPress es vulnerable a inyecciones SQL ciegas y temporales mediante los parámetros rid y search en todas las versiones hasta la 5.9.4.7 incluida, debido a un escape insuficiente del parámetro proporcionado por el usuario y a la falta de…

El complemento File Away para WordPress es vulnerable al acceso no autorizado a datos debido a la falta de una comprobación de capacidad en la función ajax() en todas las versiones hasta la 3.9.9.0.1 incluida. Esto permite que atacantes no autenticados, aprovechando un algoritmo débil reversible, lean el contenido de…

El complemento File Away para WordPress es vulnerable a la carga de archivos arbitrarios debido a la falta de una comprobación de capacidad y de una validación del tipo de archivo en la función upload() en todas las versiones hasta la 3.9.9.0.1 incluida. Esto permite que atacantes no autenticados carguen archivos…

Una vulnerabilidad de cross site scripting (XSS) almacenado en la función Enviar para aprobación de FileCloud v23.241.2 permite a los atacantes ejecutar scripts web o HTML arbitrarios a través de un payload manipulado.

Los archivos modificados de tj-actions anteriores a la versión 46 permiten a atacantes remotos descubrir secretos leyendo los registros de acciones. (Las etiquetas v1 a v45.0.7 se vieron afectadas el 14 y el 15 de marzo de 2025 porque fueron modificadas por un actor de amenazas para apuntar a el commit 0e58ed8, que…

La interfaz de usuario de IBM Sterling File Gateway 6.0.0.0 a 6.1.2.6 y 6.2.0.0 a 6.2.0.3 podría revelar la ruta de instalación del servidor, lo que podría contribuir a futuros ataques contra el sistema.

Se ha informado de una vulnerabilidad que afecta a File Station 5 y que puede ser accesible a terceros. Si se explota, la vulnerabilidad podría permitir a atacantes remotos leer o escribir archivos o directorios. Ya hemos corregido la vulnerabilidad en las siguientes versiones: File Station 5 5.5.6.4741 y posteriores

El complemento Advanced File Manager — Ultimate WordPress File Manager and Document Library Plugin para WordPress es vulnerable a Cross-Site Scripting almacenado a través de cargas de archivos SVG en todas las versiones hasta la 5.2.14 incluida, debido a una depuración de entrada y al escape de salida insuficiente.…

La exportación incorrecta de componentes de aplicaciones de Android en Mis Archivos anteriores a la versión 15.0.07.5 en Android 14 permite a atacantes locales acceder a archivos con el privilegio de Mis Archivos.

La vulnerabilidad de deserialización de datos no confiables en Metagauss ProfileGrid permite la inyección de objetos. Este problema afecta a ProfileGrid desde n/a hasta 5.9.4.3.