Vulnerabilidades

Vulnerabilidad de Cross-Site Request Forgery (CSRF) en el complemento Spreadshop de Robert Schulz (sprd.Net AG) en versiones <= 1.6.5.

Vulnerabilidad de Cross-Site Request Forgery (CSRF) en el complemento Frédéric Sheedy Etsy Shop en versiones <= 3.0.3.

blockreassurance agrega un bloque de información destinado a ofrecer información útil para asegurar a los clientes que su tienda es confiable. Una función ajax en el módulo blockreassurance permite modificar cualquier valor en la tabla de configuración. Esta vulnerabilidad ha sido parcheada en la versión 5.1.4.

PrestaShop blockreassurance agrega un bloque de información destinado a ofrecer información útil para asegurar a los clientes que la tienda es confiable. Al agregar un bloque en el módulo blockreassurance, un usuario BO puede modificar la solicitud http y proporcionar la ruta de cualquier archivo en el proyecto en…

FoodCoopShop es un software de código abierto para cooperativas de alimentos y tiendas locales. Las versiones que comienzan con 3.2.0 anteriores a 3.6.1 son vulnerables a server-side request forgery. En el módulo de Network, una cuenta de fabricante puede usar el endpoint `/api/updateProducts.json` para hacer que el…

El Winters theme para WordPress es vulnerable a Cross-Site Scripting reflejado a través de la contaminación de prototipos en versiones hasta la 1.4.3 incluida debido a una sanitización de entrada y un escape de salida insuficientes. Esto hace posible que atacantes no autenticados inyecten scripts web arbitrarios en…

En el módulo "Creative Popup" (creativepopup) hasta la versión 1.6.9 de WebshopWorks para PrestaShop, un invitado puede realizar una inyección SQL a través de `cp_download_popup().`

Vulnerabilidad de Cross-Site Scripting (XSS) Reflejada No Autenticada en el complemento Shopfiles Ltd Ebook Store en versiones<= 5.785.

Vulnerabilidad de Cross-Site Request Forgery (CSRF) en el complemento Fla-shop.Com HTML5 Maps en versiones <= 1.7.1.4.

La neutralización múltiple inadecuada de parámetros SQL en el módulo AfterMail (aftermailpresta) para PrestaShop, anterior a la versión 2.2.1, permite a atacantes remotos realizar ataques de inyección SQL a través de los parámetros `id_customer`, `id_conf`, `id_product` y `token` en `aftermailajax.php` a través del…

Vulnerabilidad de Cross-Site Request Forgery (CSRF) en el complemento Fla-shop.Com Interactive World Map en versiones <= 3.2.0.

El complemento Etsy Shop para WordPress es vulnerable a Cross-Site Scripting almacenado a través del shortcode 'etsy-shop' en versiones hasta la 3.0.4 incluida, debido a una sanitización de entrada y a un escape de la salida en los atributos proporcionados por el usuario insuficientes. Esto hace posible que atacantes…

Las versiones 23.5.5 (y anteriores) y 24.7 (y anteriores) de Adobe Photoshop se ven afectadas por una vulnerabilidad de Acceso al Puntero No Inicializado, que podría provocar la ejecución de código arbitrario en el contexto del usuario actual. La explotación de este problema requiere la interacción del usuario, ya que…

Vulnerabilidad de carga de archivos en Simple and Nice Shopping Cart Script v.1.0 permite a un atacante remoto ejecutar código arbitrario a través de la función de carga en el componente de edición de perfil.

Una vulnerabilidad ha sido encontrada en ECshop 4.1.1 y clasificada como crítica. Una función desconocida del archivo /admin/order.php es afectada por esta vulnerabilidad. La manipulación del argumento goods_id conduce a la inyección de SQL. El ataque se puede lanzar de forma remota. El exploit ha sido divulgado al…

Una vulnerabilidad fue encontrada en ECshop 4.1.5 y clasificada como crítica. Una función desconocida del archivo /admin/leancloud.php es afectada por esta vulnerabilidad. La manipulación del argumento id conduce a la inyección de SQL. Es posible lanzar el ataque de forma remota. El exploit ha sido divulgado al…

PrestaShop es una aplicación web de comercio electrónico de código abierto. En la interfaz del Back office de Prestashop, un empleado puede enumerar todos los módulos sin ningún derecho de acceso: el método `ajaxProcessGetPossibleHookingListForModule` no verifica los derechos de acceso. Este problema se solucionó en…

PrestaShop es una aplicación web de comercio electrónico de código abierto. En las versiones afectadas, cualquier módulo se puede desactivar o desinstalar desde el back office, incluso con pocos derechos de usuario. Esto permite a los usuarios con pocos privilegios desactivar partes de la funcionalidad de una tienda.…

Vulnerabilidad de Cross-Site Scripting (XSS) Reflejada No Autenticada en MyThemeShop URL Shortener por el complemento MyThemeShop en versiones <= 1.0.17.

Phpjabbers PHP Shopping Cart 4.2 es vulnerable a la inyección SQL a través del parámetro id.

El complemento M4 PDF para sitios Prestashop, en su versión 3.2.3 y anteriores, es vulnerable a la creación de Documentos HTML arbitraria. El recurso /m4pdf/pdf.php utiliza plantillas para crear documentos dinámicamente. En el caso de que la plantilla no exista, la aplicación devolverá un documento fijo con un mensaje…

El complemento M4 PDF para sitios Prestashop, en su versión 3.2.3 y anteriores, es vulnerable a una vulnerabilidad de Directory Traversal. El parámetro “f” no está marcado correctamente en el recurso /m4pdf/pdf.php, devolviendo cualquier archivo dada su ruta relativa. Un atacante que aproveche esta vulnerabilidad…

Una vulnerabilidad fue encontrada en app1pro Shopicial hasta 20230830. Ha sido declarada problemática. Esta vulnerabilidad afecta a código desconocido de búsqueda de archivos. La manipulación del argumento con los comentarios de entrada'"> conduce a un Cross-Site Scripting. El ataque se puede iniciar de forma…

Múltiples vulnerabilidades de cross-site scripting(XSS) en Dairy Farm Shop Management System que utilizan PHP y MySQL v1.1 permiten a los atacantes ejecutar scripts web y HTML arbitrarias a través de un payload manipulado inyectado en los parámetros Categoría y Campo de categoría.

Se ha descubierto que Dairy Farm Shop Management System Using PHP and MySQL v1.1 contiene múltiples vulnerabilidades de inyección SQL en la función de inicio de sesión a través de los parámetros de nombre de usuario y contraseña.