Vulnerabilidades

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en (1) System Consultants La!Cooda WIZ 1.4.0 y anteriores y (2) SpaceTag LacoodaST 2.1.3 y anteriores permite a atacantes remotos inyectar secuencias de comandos web o HTML de su elección meediante vectores no especificados, posiblemente subiendo…

Múltiples vulnerabilidades de cross-site request forgery (CSRF) en (1) La!Cooda WIZ de System Consultants versión 1.4.0 y anteriores y (2) LacoodaST de SpaceTag versión 2.1.3 y anteriores, permite a atacantes remotos secuestrar la autenticación de usuarios arbitrarios para peticiones que (a) cambien contraseñas o (b)…

Vulnerabilidad no especificada en 1) System Consultants La!Cooda WIZ 1.4.0 y anteriores y (2) SpaceTag LacoodaST 2.1.3 y anteriores permite a atacantes remotos ejecutar scripts PHP de su elección, eliminar archivos, leer archivos y posiblemente otros impactos desconocidos.

Vulnerabilidad de inyección SQL en adv_cat.php en AbleSpace, permite a atacantes remotos jecutar comandos SQL de su elección a través del parámetro cat_id.

Desbordamiento de búfer basado en pila en la función Read32s_64 de src/lib/cdfread64.c en la librería NASA Goddard Space Flight Center Common Data Format (CDF) anterior a 3.2.1 permite a atacantes dependientes del contexto ejecutar código de su elección mediante un archivo .cdf con etiquetas de longitud largas.

Desbordamiento de búfer basado en pila en el control ActiveX de Aurigma Image Uploader (ImageUploader4.ocx) versiones 4.5.70 y anteriores, como se usa en MySpace MySpaceUploader.ocx 1.0.0.4, permite a atacantes remotos ejecutar código arbitrario a través de una propiedad larga Action.

admin/uploadgames.php de MySpace Content Zone (MCZ) 3.x no requiere privilegios administrativos, lo cual permite a atacantes remotos realizar promociones de ficheros sin restricción, como se demuestra enviando (1) un fichero .php y (2) un fichero .php%00.jpeg.

Múltiples vulnerabilidades de tipo cross-site scripting (XSS) en el archivo index.php en M2Scripts MySpace Scripts Poll Creator, permiten a atacantes remotos inyectar script web o HTML arbitrario por medio de los parámetros (1) title, (2) intro y (3) question, y ( 4) unspecified answer, en una acción create_new. NOTA:…

Vulnerabilidad de inclusión remota de archivo en PHP en _theme/breadcrumb.php de MySpacePros MySpace Resource Script (MSRS) 1.21 permite a atacantes remotos ejecutar código PHP de su elección mediante un URL en el parámetro rootBase.

newswire/uploadmedia.cgi de 2coolcode Our Space (Ourspace) 2.0.9 permite a atacantes remotos subir determinados ficheros mediante vectores no especificados, probablemente involucrando funcionalidad no restringida en uploadmedia.cgi.

Vulnerabilidad de inyección SQL en modules/news/article.php en phpMySpace Gold 8.10 permite a atacantes remotos ejecutar comandos SQL de su elección a través del parámetro item_id.

Vulnerabilidad de inclusión remota de archivo en PHP en _admin/admin_menu.php de FdWeB Espace Membre 2.1 y anteriores permite a atacantes remotos ejecutar código PHP de su elección mediante una URL en el parámetro path.

Rahul Jonna Gmail File Space (GSpace) permite a un atacante remoto realizar acciones del sistema de archivos virtual a través de mensajes e-mail con ciertas lineas del "asunto", como se demostro con (1) un mensaje GSPACE "2174|1|1|1|gs:/ d$", lo cual inyecta un nuevo fichero dentro del sistema de archivos; y (2) un…

Múltiples vulnerabilidades de secuencias de comandos en sitios cruzados (XSS) en civicSpace 0.8.5 permiten a atacantes remotos inyectar secuencias de comandos web o HTML de su elección mediante las secciones (1) Asunto, (2) Comentario, y (3) Añadir nuevo comentario.

Vulnerabilidad de salto de directorio en MobeScripts Mobile Space Community 2.0, permite a atacantes remotos incluir y ejecutar ficheros locales de su elección al utilizar caracteres .. (punto punto) en el parámetro uid de la página de RSS.

Vulnerabilidad de inyección SQL en index.php en MobeScripts Mobile Space Community v.2.0 permite a atacantes remotos ejecutar comandos SQL a través del parámetro Browse.

Vulnerabilidades de ejecución de secuencias de comandos en sitios cruzados (XSS) en index.php en MobeScripts Mobile Space Community v2.0 y anteriores, permite a atacantes remotos inyectar secuencias de comandos web o HTML a través del parámetro a (1)mostrar parámetros, que no se filtra en el error resultante y…

Groove Virtual Office before 3.1 build 2338, before 3.1a build 2364, and Groove Workspace before 2.5n build 1871 installs the client installation directories with insecure EVERYBODY permissions, which allows local users to gain sensitive information.

Groove Virtual Office before 3.1 build 2338, before 3.1a build 2364, and Groove Workspace before 2.5n build 1871 does not properly display file extensions on attached or embedded files in a compound document, which may allow remote attackers to trick users into executing malicious code.

Unknown vulnerability in Groove Virtual Office before 3.1 build 2338, before 3.1a build 2364, and Groove Workspace before 2.5n build 1871 allows remote attackers to bypass restrictions on COM objects.

Multiple cross-site scripting (XSS) vulnerabilities in Groove Mobile Workspace in Groove Virtual Office before 3.1 build 2338, before 3.1a build 2364, and Groove Workspace before 2.5n build 1871 allow remote attackers to inject arbitrary web script or HTML via the (1) picture columns embedded within SharePoint lists…

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en el libro de visitas de WebBBS permite a atacantes remotos insertar script web arbitrario mediante los campos Nombre, Correo Electrónico, o Mensaje.

webbbs_post.pl in WebBBS 4 and 5.0 allows remote attackers to execute arbitrary commands via shell metacharacters in the followup parameter.