Vulnerabilidades

La vulnerabilidad de falta de autorización en Marian Kanev Cab fare calculator permite XSS almacenado. Este problema afecta a la calculadora de tarifas de taxis: desde n/a hasta 1.1.

El complemento GoHero Store Customizer para WooCommerce para WordPress es vulnerable a la modificación no autorizada de datos debido a una verificación de capacidad faltante en la función wooh_action_settings_save_frontend() en todas las versiones hasta la 3.5 y incluida. Esto permite que atacantes no autenticados…

La vulnerabilidad de inyección SQL en Go-CMS v.1.1.10 permite a un atacante remoto ejecutar código arbitrario a través de un payload manipulado.

La vulnerabilidad de falta de autorización en GoDaddy CoBlocks permite explotar niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a CoBlocks: desde n/a hasta 3.1.13.

Vulnerabilidad de falta de autorización en ExactMetrics ExactMetrics permite explotar niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a ExactMetrics: desde n/a hasta 8.1.0.

Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en NotFound Gigaom Sphinx permite XSS reflejado. Este problema afecta a Gigaom Sphinx: desde n/a hasta 0.1.

Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en NotFound Causes – Donation Plugin permite XSS reflejado. Este problema afecta a Causes – Donation Plugin: desde n/a hasta 1.0.01.

El complemento WP Google Street View (con recorrido virtual de 360°) y Google maps + Local SEO para WordPress es vulnerable a Cross-Site Scripting Almacenado a través del shortcode 'wpgsv' del complemento en todas las versiones hasta la 1.1.3 y incluida, debido a la falta de desinfección de entrada y al escape de…

Los robots cortacésped y aspiradores ECOVACS utilizan una clave simétrica determinista para descifrar las actualizaciones de firmware. Un atacante puede crear y cifrar un firmware malicioso que el robot descifrará e instalará con éxito.

Los robots cortacésped y aspiradores ECOVACS almacenan de forma insegura archivos de audio que se utilizan para indicar que la cámara está encendida. Un atacante con acceso al sistema de archivos /data puede eliminar o modificar los archivos de advertencia de forma que los usuarios no sepan que la cámara está…

Los robots cortacésped ECOVACS almacenan el PIN antirrobo en texto plano en el sistema de archivos del dispositivo. Un atacante puede robar un cortacésped, leer el PIN y restablecer el mecanismo antirrobo.

Los robots cortacésped y aspiradores ECOVACS utilizan una clave secreta estática compartida para cifrar los mensajes GATT de BLE. Un atacante no autenticado dentro del alcance de BLE puede controlar cualquier robot que utilice la misma clave.

Los robots cortacésped y aspiradores ECOVACS utilizan una contraseña raíz determinista generada en función del modelo y el número de serie. Un atacante con acceso de shell puede iniciar sesión como superusuario.

Los robots cortacésped y aspiradores ECOVACS son vulnerables a la inyección de comandos a través de SetNetPin() en una conexión BLE no autenticada.

El componente compose-go library en las versiones v2.10-v2.4.0 permite que un usuario autorizado que envíe YAML payloads maliciosos haga que compose-go consuma una cantidad excesiva de memoria y ciclos de CPU mientras analiza YAML, como lo usa Docker Compose desde las versiones v2.27.0 a v2.29.7 incluidas.

El acceso a la memoria fuera de los límites en la versión 8 de Google Chrome anterior a la versión 132.0.6834.110 permitió que un atacante remoto explotara potencialmente la corrupción del montón a través de una página HTML manipulado. (Gravedad de seguridad de Chromium: Alta)

La corrupción de objetos en la versión 8 de Google Chrome anterior a la 132.0.6834.110 permitía a un atacante remoto explotar potencialmente la corrupción del montón a través de una página HTML manipulado. (Gravedad de seguridad de Chromium: Alta)

La vulnerabilidad de deserialización de datos no confiables en NotFound Muzaara Google Ads Report permite la inyección de objetos. Este problema afecta a Muzaara Google Ads Report: desde n/a hasta 3.1.

Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en Linus Lundahl Good Old Gallery que permite XSS reflejado. Este problema afecta a Good Old Gallery: desde n/a hasta 2.1.2.

Vulnerabilidad de carga sin restricciones de archivos con tipos peligrosos en NgocCode WP Load Gallery permite cargar un shell web a un servidor web. Este problema afecta a WP Load Gallery: desde n/a hasta 2.1.6.

Vulnerabilidad de neutralización inadecuada de la entrada durante la generación de páginas web ('Cross-site Scripting') en Moshiur Rahman Mehedi FP RSS Category Excluder permite XSS reflejado. Este problema afecta a FP RSS Category Excluder: desde n/a hasta 1.0.0.

La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en NotFound Group category creator permite XSS reflejado. Este problema afecta al creador de categorías de grupo: desde n/a hasta 1.3.0.3.

El complemento XML para Google Merchant Center para WordPress es vulnerable a Cross-Site Scripting Reflejado a través del parámetro 'feed_id' en todas las versiones hasta la 3.0.11 y incluida, debido a un escape de entrada desinfección y salida insuficiente. Esto permite que atacantes no autenticados inyecten scripts…

En DGifSlurp de dgif_lib.c, existe una posible escritura fuera de los límites debido a un desbordamiento de enteros. Esto podría provocar la ejecución remota de código sin necesidad de privilegios de ejecución adicionales. No se necesita la interacción del usuario para la explotación.

En gatts_process_primary_service_req de gatt_sr.cc, existe una posible escritura fuera de los límites debido a un desbordamiento del búfer de montón. Esto podría provocar la ejecución remota de código sin necesidad de privilegios de ejecución adicionales. No se necesita interacción del usuario para la explotación.