Vulnerabilidades

Vulnerabilidad de limitación incorrecta de un nombre de ruta a un directorio restringido ('recorrido de directorios') en GIS Informatics GisLab Laboratory Management System que permite el recorrido de directorios (path traversal). Este problema afecta a GisLab Laboratory Management System: desde la 1.4.03 antes de la…

Vulnerabilidad de neutralización incorrecta de elementos especiales usados en un comando SQL ('inyección SQL') en GIS Informatics GisLab Laboratory Management System que permite la inyección SQL. Este problema afecta a GisLab Laboratory Management System: desde la 1.4.03 antes de la 1.5.

Una vulnerabilidad de redirección de URL a un sitio no confiable ('redirección abierta') en Library Information and Document Automation Program de Yordam Informatics Technology Consulting, Training, and Electronic Systems Industry and Trade Inc. permite phishing. Este problema afecta a Library Information and Document…

Una vulnerabilidad de falsificación de peticiones del lado del servidor (SSRF) en Library Information and Document Automation Program de Yordam Informatics Technology Consulting, Training, and Electronic Systems Industry and Trade Inc. permite la falsificación de peticiones del lado del servidor. Este problema afecta…

Una vulnerabilidad de falta de autenticación para una función crítica en Library Reservation System de Yordam Informatics Technology Consulting, Training, and Electronic Systems Industry and Trade Inc. permite la manipulación de datos de entrada. Este problema afecta a Library Reservation System: antes de la v22.2.

Se detectó una vulnerabilidad en Open-Web-Analytics hasta la 1.9.1. El elemento afectado es la función checkCapabilityAndAuthenticateUser del archivo Core/Controller.php del componente Controller. Realizar una manipulación provoca una autenticación incorrecta. El ataque puede iniciarse de forma remota. Actualizar a la…

Control externo del nombre o la ruta de un archivo en .NET permite a un atacante no autorizado elevar privilegios a través de una red.

HCL MyXalytics se ha visto afectado por una posible vulnerabilidad de denegación de servicio (DoS). Permite a los usuarios introducir datos sin ninguna restricción en el número de caracteres, lo que puede afectar al rendimiento o a la disponibilidad del sistema.

HCL MyXalytics se ha visto afectado por una vulnerabilidad de suplantación de contenido. Puede permitir a un atacante manipular el contenido mostrado para que parezca proceder de una fuente de confianza, lo que podría dar lugar a phishing o robo de datos.

HCL MyXalytics se ha visto afectado por una vulnerabilidad de validación incorrecta de la entrada. Permite que datos maliciosos o inesperados provoquen un comportamiento no deseado del sistema o problemas de seguridad.

Un campo de configuración validado de forma insuficiente en la integración de Cribl de Kibana permite a un usuario autenticado con privilegios de gestión de Kibana Fleet inyectar expresiones controladas por el atacante en una plantilla de script del lado del servidor, lo que da lugar a que se escriba un pipeline de…

Secuencias de comandos en sitios cruzados (XSS) sin autenticación en WP Statistics, versiones <= 14.16.11.

Control de acceso roto sin autenticación en Timetics, versiones <= 1.0.61.

Una vulnerabilidad de inyección de comandos del sistema operativo en Jenkins TICS Plugin 2025.1.1 y anteriores permite a atacantes capaces de controlar los valores de las variables de entorno de compilación ejecutar comandos arbitrarios en el agente que ejecuta la compilación.

Existe una vulnerabilidad en una página no divulgada de la utilidad de configuración de BIG-IP que puede permitir a un atacante suplantar mensajes de error Impacto: Un atacante puede engañar a usuarios autenticados de BIG-IP para que accedan a enlaces maliciosos y reflejar un mensaje de error suplantado en la sesión…

El plugin de WordPress Timetics hasta la 1.0.61 no aplica la propiedad por objeto al actualizar citas a través de su API REST, lo que permite a usuarios con su rol personalizado de personal modificar, deshabilitar o apropiarse de citas pertenecientes a otros miembros del personal.

La falta de autorización (CWE-862) en el servicio de inferencia personalizado de Elasticsearch puede dar lugar a una divulgación de información mediante abuso de privilegios (CAPEC-122). Un usuario que solo tuviera privilegios de ejecución de inferencia podía hacer que el tráfico de inferencia saliente se dirigiera a…

La interpretación incoherente de solicitudes HTTP ('HTTP Request Smuggling') (CWE-444) en Elasticsearch puede dar lugar a una divulgación de información mediante contrabando de solicitudes HTTP (CAPEC-33). En configuraciones específicas de despliegue con proxy, un atacante de red podía obtener respuestas…

La deserialización de datos no confiables (CWE-502) en el componente de aprendizaje automático de Elasticsearch puede dar lugar a una ejecución remota de código mediante inyección de objetos (CAPEC-586). Un artefacto de modelo entrenado especialmente diseñado podía hacer que se ejecutara lógica controlada por el…

La asignación de recursos sin límites ni restricciones (CWE-770) en Elasticsearch puede dar lugar a una denegación de servicio mediante asignación excesiva (CAPEC-130). Un usuario con privilegios elevados puede enviar una solicitud especialmente diseñada que provoca un consumo excesivo de memoria, lo que puede dejar…

IBM Integrated Analytics System de la 1.0.0.0 a la 1.0.31.0 no valida o valida incorrectamente la validación de certificados TLS, lo que podría permitir a un atacante obtener información sensible mediante técnicas de intermediario (man-in-the-middle).

IBM Integrated Analytics System de la 1.0.0.0 a la 1.0.31.0 usa algoritmos criptográficos más débiles de lo esperado que podrían permitir a un atacante descifrar información altamente sensible.

Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('secuencias de comandos en sitios cruzados') en Ceviz Informatics Inc. Web Design que permite XSS reflejado. Este problema afecta a Web Design: hasta 25082026.

Vulnerabilidad de neutralización incorrecta de entradas durante la generación de páginas web ('cross-site scripting') en BilPark Informatics Technologies Industry and Trade Inc. DoXBASE que permite Cross Zone Scripting. Este problema afecta a DoXBASE: hasta 27082026. NOTA: Se contactó con el proveedor con antelación…

Vulnerabilidad de neutralización incorrecta de etiquetas HTML relacionadas con scripts en una página web (XSS básico) en E-Commerce Pack de Softtr Informatics Technology Trading Limited Company que permite secuencias de comandos en sitios cruzados (XSS). Este problema afecta a E-Commerce Pack: anteriores a la…