Vulnerabilidades

xygeni-action es la Acción de GitHub para Xygeni Scanner. El 3 de marzo de 2026, un atacante con acceso a credenciales comprometidas creó una serie de solicitudes de extracción (#46, #47, #48) inyectando código shell ofuscado en action.yml. Las solicitudes de extracción fueron bloqueadas por las reglas de protección…

Himmelblau es una suite de interoperabilidad para Microsoft Azure Entra ID e Intune. Desde 3.0.0 hasta antes de 3.1.0, si Himmelblau se despliega sin un dominio de inquilino configurado en himmelblau.conf, la autenticación no está limitada al inquilino. En este modo, Himmelblau puede aceptar intentos de autenticación…

WeGIA es un gestor web para instituciones benéficas. Antes de la versión 3.6.6, existe una vulnerabilidad crítica de inyección SQL en la aplicación WeGIA. El script remover_produto_ocultar.php utiliza extract($_REQUEST) para poblar variables locales y luego concatena directamente estas variables en una consulta SQL…

RIOT es un sistema operativo de microcontrolador de código abierto, diseñado para cumplir los requisitos de los dispositivos de Internet de las Cosas (IoT) y otros dispositivos embebidos. En 2026.01 y anteriores, el gestor predeterminado para el recurso well_known_core coap_well_known_core_default_handler escribe…

Unity Catalog es un Catálogo abierto y multimodal para datos e IA. En la versión 0.4.0 y anteriores, existe una vulnerabilidad crítica de omisión de autenticación en el endpoint de intercambio de tokens de Unity Catalog (/API/1.0/unity-control/auth/tokens). El endpoint extrae la declaración del emisor (iss) de los JWT…

Runtipi es un orquestador de homeserver personal. Antes de la versión 4.8.0, un atacante no autenticado puede restablecer la contraseña del operador (administrador) cuando una solicitud de restablecimiento de contraseña está activa, lo que resulta en una toma de control completa de la cuenta. El endpoint POST…

Frappe es un framework de aplicación web full-stack. Antes de las versiones 15.84.0 y 14.99.0, una solicitud especialmente diseñada realizada a un determinado endpoint podría resultar en una inyección SQL, permitiendo a un atacante extraer información a la que de otro modo no tendría acceso. Esta vulnerabilidad está…

Taskosaur es una plataforma de gestión de proyectos de código abierto con IA conversacional para la ejecución de tareas dentro de la aplicación. En la versión 1.0.0, la aplicación no valida ni restringe adecuadamente el parámetro role durante el proceso de registro de usuario. Un atacante puede modificar manualmente…

SAPIDO RB-1732 V2.0.43 contiene una vulnerabilidad de ejecución remota de comandos que permite a atacantes no autenticados ejecutar comandos de sistema arbitrarios mediante el envío de entrada maliciosa al endpoint formSysCmd. Los atacantes pueden enviar solicitudes POST con el parámetro sysCmd que contiene comandos…

NetGain EM Plus 10.1.68 contiene una vulnerabilidad de ejecución remota de código que permite a atacantes no autenticados ejecutar comandos de sistema arbitrarios mediante el envío de parámetros maliciosos al endpoint script_test.jsp. Los atacantes pueden enviar solicitudes POST con comandos de shell incrustados en el…

La plataforma de gestión de sistemas Epross AVCON6 contiene una vulnerabilidad de inyección de lenguaje de navegación de grafos de objetos (OGNL) que permite a atacantes no autenticados ejecutar comandos arbitrarios inyectando expresiones OGNL maliciosas. Los atacantes pueden enviar solicitudes manipuladas al endpoint…

Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Antes de las versiones 9.6.0-alpha.5 y 8.6.31, existe una vulnerabilidad de inyección SQL en el adaptador de almacenamiento de PostgreSQL al procesar operaciones de Incremento en campos de…

Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Una vulnerabilidad de inyección SQL existe en el adaptador de almacenamiento de PostgreSQL al procesar operaciones de Incremento en campos de objetos anidados usando notación de puntos (p.…

FileThingie 2.5.7 contiene una vulnerabilidad de carga arbitraria de archivos que permite a los atacantes cargar archivos maliciosos enviando archivos ZIP a través del endpoint ft2.php. Los atacantes pueden cargar archivos ZIP que contengan shells PHP, utilizar la funcionalidad de descompresión para extraerlos en…

Jellyfin es un sistema multimedia de código abierto. El flujo de trabajo de GitHub Actions 'code-quality.yml' en jellyfin/jellyfin-ios es vulnerable a la ejecución de código arbitrario a través de solicitudes de extracción (pull requests) de repositorios bifurcados. Debido a los permisos elevados del flujo de trabajo…

Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Antes de 9.6.0-alpha.2 y 8.6.28, un atacante puede usar un nombre de campo con notación de puntos en combinación con el parámetro de consulta 'sort' para inyectar SQL en la base de datos…

Se descubrió un problema en Lantronix EDS3000PS 3.1.0.0R2. La autenticación en las páginas de administración puede ser eludida al añadir un sufijo específico a la URL y al enviar una cabecera de autorización que utiliza 'admin' como nombre de usuario.

Se descubrió un problema en Lantronix EDS5000 2.1.0.0R3. El módulo HTTP RPC ejecuta un comando de shell para escribir registros cuando la autenticación del usuario falla. El nombre de usuario se concatena directamente con el comando sin ninguna sanitización. Esto permite a los atacantes inyectar comandos arbitrarios…

Una vulnerabilidad de ejecución remota de código (RCE) en OpenClaw Agent Platform v2026.2.6 permite a los atacantes ejecutar código arbitrario a través de un ataque de inyección de prompt del lado de la solicitud.

El control externo del nombre o la ruta del archivo en la función de Correo de Zoom Workplace para Windows anterior a 6.6.0 puede permitir a un usuario no autenticado realizar una escalada de privilegios a través de acceso a la red.

IFTOP desarrollado por WellChoose tiene una vulnerabilidad de inclusión local de ficheros, permitiendo a atacantes remotos no autenticados ejecutar código arbitrario en el servidor.

El plugin de WordPress Datalogics Ecommerce Delivery anterior a 2.6.60 expone un endpoint REST no autenticado que permite a cualquier usuario remoto modificar la opción 'datalogics_token' sin verificación. Este token se utiliza posteriormente para autenticación en un endpoint protegido que permite a los usuarios…

Existe un problema de omisión de autenticación en MR-GM5L-S1 y MR-GM5A-L1, lo que podría permitir a un atacante omitir la autenticación y cambiar la configuración del dispositivo.

Problema de uso de credenciales codificadas existe en MR-GM5L-S1 y MR-GM5A-L1, lo que podría permitir a un atacante obtener acceso administrativo.

netbox-docker anterior a la versión 2.5.0 tiene una cuenta de superusuario con credenciales predeterminadas (contraseña 'admin' para la cuenta 'admin', y el valor 0123456789abcdef0123456789abcdef01234567 para SUPERUSER_API_TOKEN). En la práctica, en la Internet pública, casi todos los usuarios cambiaron la contraseña,…