Vulnerabilidades

La vulnerabilidad de Cross-Site Request Forgery (CSRF) en nagarjunsonti My Login Logout Plugin permite XSS almacenado. Este problema afecta al complemento My Login Logout desde n/a hasta la versión 2.4.

Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en petkivim Embed Google Map permite XSS almacenado. Este problema afecta a Embed Google Map: desde n/a hasta 3.2.

go-crypto-winnative Backend de criptografía Go para Windows que utiliza Cryptography API: Next Generation (CNG). Antes del commit f49c8e1379ea4b147d5bff1b3be5b0ff45792e41, las llamadas a `cng.TLS1PRF` no liberan el identificador de la clave, lo que produce una pequeña pérdida de memoria. El commit…

La librería Temporal api-go anterior a la versión 1.44.1 no enviaba información de "respuesta de actualización" a Data Converter cuando el paquete proxy dentro del módulo api-go se usaba en un proxy gRPC antes de la transmisión. Esto hacía que la información contenida dentro del campo "respuesta de actualización" no…

Se descubrió que DNNGo xBlog v6.5.0 contenía una vulnerabilidad de inyección SQL a través del parámetro Categorías en /DNNGo_xBlog/Resource_Service.aspx.

Vulnerabilidad de omisión de funciones de seguridad de Microsoft Surface

SFTPGo es una solución de transferencia de archivos basada en eventos y de código abierto. SFTPGo admite la ejecución de un conjunto definido de comandos a través de SSH. Además de un conjunto de comandos predeterminados, se pueden activar algunos comandos opcionales, uno de ellos es `rsync`. Está deshabilitado en la…

La vulnerabilidad de Cross-Site Request Forgery (CSRF) en Phillip.Gooch Auto SEO permite XSS almacenado. Este problema afecta a Auto SEO: desde n/a hasta 2.5.6.

La vulnerabilidad de Cross-Site Request Forgery (CSRF) en URL-Preview-Box de mraliende permite Cross-Site Request Forgery. Este problema afecta a URL-Preview-Box: desde n/a hasta 1.20.

Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en Google Earth Embed de Andrew Norcross que permite XSS almacenado. Este problema afecta a Google Earth Embed: desde n/a hasta 1.0.

La vulnerabilidad de Cross-Site Request Forgery (CSRF) en Venugopal Show notice or message on admin area permite XSS almacenado. Este problema afecta a Show notice or message on admin area: desde n/a hasta 2.0.

Se ha identificado una vulnerabilidad en el servidor eva v4.1.0 de GoldPanKit. Afecta al parámetro path del endpoint /api/resource/local/download, donde la manipulación de este parámetro puede provocar la descarga de archivos arbitrarios.

En Darwin, la creación de un módulo Go que contiene CGO puede desencadenar la ejecución de código arbitrario al utilizar la versión Apple de ld, debido al uso de los valores especiales @executable_path, @loader_path o @rpath en una directiva "#cgo LDFLAGS". Este problema solo afectó a go1.24rc2.

El escape de la sandbox en la función de tareas de JavaScript de Google Cloud Application Integration permite que un actor ejecute código arbitrario de la sandbox a través de código JavaScript manipulado por el motor Rhino. A partir del 24 de enero de 2025, Application Integration ya no admitirá Rhino como motor de…

La vulnerabilidad de permisos inseguros en Asterisk v22 permite que un atacante remoto ejecute código arbitrario a través de la función action_createconfig

Una implementación inadecuada en la API de extensiones de Google Chrome anterior a la versión 133.0.6943.53 permitió que un atacante remoto que convenciera a un usuario para que realizara gestos específicos de la interfaz de usuario realizara una suplantación de la interfaz de usuario a través de una extensión de…

Use after free en V8 en Google Chrome anterior a 133.0.6943.53 permitió que un atacante remoto potencialmente explotara la corrupción del montón a través de una página HTML manipulado. (Gravedad de seguridad de Chromium: Alta)

Use after free en Skia en Google Chrome anterior a la versión 133.0.6943.53 permitía a un atacante remoto explotar potencialmente la corrupción del montón a través de una página HTML manipulado. (Gravedad de seguridad de Chromium: Alta)

El proyecto Authentik es vulnerable a ataques XSS almacenado mediante la carga de archivos SVG manipulados específicamente para usarse como íconos de aplicaciones. Esta acción solo la puede realizar un usuario administrador autenticado. El problema se solucionó en la versión 2024.10.4.

La exportación incorrecta de componentes de aplicaciones de Android en configuraciones anteriores a la versión 1 de SMR de febrero de 2025 permite que atacantes locales habiliten ADB.

El control de acceso inadecuado en PushNotification anterior a la versión 13.0.00.15 en Android 12, 14.0.00.7 en Android 13 y 15.1.00.5 en Android 14 permite a atacantes locales acceder a información confidencial.

zx es una herramienta para escribir mejor scripts. Un atacante con control sobre los valores de las variables de entorno puede inyectar variables de entorno no deseadas en `process.env`. Esto puede provocar la ejecución arbitraria de comandos o un comportamiento inesperado en aplicaciones que dependen de las variables…

Django-Unicorn agrega funcionalidad de componente reactivo moderno a las plantillas de Django. Las versiones afectadas de Django-Unicorn son vulnerables a la vulnerabilidad de contaminación de clases de Python. La vulnerabilidad surge de la funcionalidad principal `set_property_value`, que puede ser activada…

Corrupción de memoria durante el procesamiento de IOCTL desde el espacio del usuario para gestionar el error del bus AHB de la GPU.

Corrupción de memoria durante el procesamiento de administración framework debido a una falta de coincidencia en el elemento de información T2LM.