Vulnerabilidades

Vulnerabilidad de inyección SQL en admin/admin_mail_adressee.asp de Newsletter MX1.0.2 y anteriores permite a atacantes remotos ejecutar comandos SQL de su elección a través del parámetro ID.

Las secuencias de comandos (1) settings.php y (2) subscribers.php en Open Newsletter 2.5 y anteriores no terminan cuando la autenticación falla, lo que permite a atacantes remotos ejecutar acciones administrativas no autorizadas, o ejecutar código de su elección en conjunción con otra vulnerabilidad.

Open Newsletter 2.5 y anteriores permite a administradores autenticados remotamente ejecutar código PHP de su elección insertando él código en el parámetro email de (1) subscribe.php o (2) unsubscribe.php.

Múltiples vulnerabilidades de secuencias de comandos en sitios cruzados (XSS) en Xt-News 0.1 permite a atacantes remotos inyectar secuencias de comandos web o HTML de su elección mediante el parámetro id_news a (1) add_comment.php o (2) show_news.php.

Vulnerabilidad de inyección SQL en show_news.php de Xt-News 0.1 permite a atacantes remotos ejecutar comandos SQL de su elección mediante el parámetro id_news.

Vulnerabilidad de inclusión remota de archivo en PHP en inertienews_class.php de inertianews 0.02 beta y anteriores permite a atacantes remotos ejecutar código PHP de su elección mediante una URL en el parámetro DOCUMENT_ROOT.

Vulnerabilidad de inclusión remota de archivo en PHP en inertianews_main.php de inertianews 0.02 beta permite a atacantes remotos ejecutar código PHP de su elección mediante una URL en el parámetro inews_path.

admin/change.php en ProNews 1.5 no valida si un usuario tiene permisos para cambiar campos de noticias, lo cual permite a un atacante remoto añadir o borrar información dentro de un campo, y posiblemente tener otros impactos. NOTA: la procedencia de esta información es desconocida; los detalles han sido obtenidos a…

Vulnerabilidad de inclusión remota de archivo en PHP en includes/newssuite_constants.php de the NewsSuite 1.03 módulo para mxBB permite a atacantes remotos ejecutar código PHP de su elección mediante una URL en el parámetro mx_root_path.

Vulnerabilidad de inclusión remota de archivo en PHP en inc/shows.inc.php del cutenews aj-fork (CN:AJ) 167f y versiones anteriores permite a atacantes remotos ejecutar código PHP de su elección mediante una URL en el parámetro cutepath.

Vulnerabilidad de inyección SQL en news.php en Fantastic News 2.1.4 y anteriores permite a un atacante remoto ejecutar comandos SQL de su elección a través del parámetro id.

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en CM68 News permite a un atacante remoto inyectar secuencias de comandos web o HTML a través de vectores no especificados. NOTA: la procedencia de esta información es desconocida; los detalles han sido obtenidos a partir de la información de terceros.

Múltiples vulnerabilidades de secuencias de comandos en sitios cruzados (XSS) en ProNews 1.5 permiten a atacantes remotos inyectar secuencias de comandos web o HTML de su elección a través de los parámetros (1) pseudo, (2) email, (3) date, (4) sujet, (5) message, (6) site, y (7) lien de (a) admin/change.php, y el…

Vulnerabilidad de inyección SQL en lire-avis.php del ProNews 1.5 permite a atacantes remotos ejecutar comandos SQL de su elección a través del parámetro aa.

Vulnerabilidad de inclusión remota de archivo en PHP en engine/oldnews.inc.php de CM68 News 12.02.06 permite a atacantes remotos ejecutar código PHP de su elección mediante una URL en el parámetro addpath.

Múltiples vulnerabilidades de inyección SQL en detail.asp de DUware DUdownload 1.1, y posiblemente anteriores, permite a atacantes remotos ejecutar comandos SQL de su elección mediante los parámetros (1) iFile o (2) action. NOTA: el parámetro iType ya está cubierto por CVE-2005-3976.

Múltiples vulnerabilidades de inyección SQL en detail.asp de DuWare DuNews permite a atacantes remotos ejecutar comandos SQL de su elección mediante los parámetros (1) iNews, (2) iType, o (3) Action. NOTA: el parámetro iType en type.asp está cubierto por CVE-2005-3976.

Múltiples vulnerabilidades de XSS en templates/link_temp.php en PHPNews 1.3.0 permiten a atacantes remotos inyectar secuencias de comandos web o HTML arbitrarios a través del parámetro (1) url, (2) id, (3) subject, (4) username o (5) time.

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en templates/cat_temp.php de PHPNews 1.3.0 y anteriores permiten a atacantes remotos inyectar secuencias de comandos web o HTML de su elección mediante vectores no especificados. NOTA: la procedencia de esta información es desconocida; los detalles se…

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en CuteNews 1.3.6 permite a atacantes remotos inyectar secuencias de comandos web o HTML de su elección mediante el parámetro result.

Vulnerabilidad de inyección SQL en articles.asp en Expinion.net iNews (1) Publisher (iNP) 2.5 y anteriores, y posiblemente (2) News Manager, permite a atacantes remotos ejecutar comandos SQL de su elección mediante el parámetro ex. NOTA: informes anteriores del asunto indicaban que era una vulnerabilidad del tipo XSS,…

Vulnerabilidad PHP de inclusión remota de archivo en centre.php en Site News (site_news) 2.00, y posiblemente anteriores, permitea un atacante remoto ejecutar código PHP de su elección a través de una URL en el parámetro page. NOTA: la procedencia de esta información es desconocida; los detalles han sido obtenidos a…

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en articles.asp en Expinion.net iNews Publisher (iNP) 2.5 y anteriores permiten a un atacante remoto inyectar secuencias de comandos web o HTML a través del parámetro hl. NOTA: la procedencia de esta información es desconocida; los detalles han sido…

Múltiples vulnerabilidades de inyección SQL en ActiveNews Manager permite a un atacante remoto ejecutar comandos SQL de su elección a través de parámetro (1) catID a activeNews_categories.asp, el (2) parámetro articleID a activeNews_comments.asp, o el (3) parámetro query a activenews_search.asp.

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en activenews_search.asp en ActiveNews Manager permiten a un atacante remoto inyectar secuencias de comandos web o HTML a través del parámetro query.