Vulnerabilidades

Vulnerabilidad de inyección SQL en fmoblog.php en el plugin fMoblog 2.1 para WordPress, permite a atacantes remotos ejecutar comandos SQL de su elección a través del parámetro "id" a "index.php". NOTA: algunos de estos detalles han sido obtenidos a partir de la información de terceros.

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en blog/search.aspx en BlogEngine.NET permite a atacantes remotos inyectar secuencias de comandos web o HTML de su elección mediante el parámetro "q".

_blogadata/include/init_pass2.php en Blogator-script v0.95 permite a atacantes remotos cambiar la contraseña de usuarios de su elección mediante el parámetro "a" modificado con el carácter especial "%" en el parámetro "b".

Vulnerabilidad de inyección SQL en macgurublog_menu/macgurublog.php en la extensión (plugin) MacGuru BLOG Engine v2.2 para e107 permite a atacantes remotos ejecutar comandos SQL de su elección a través del parámetro "uid", un vector diferente a CVE-2008-2455.

BlogHelper almacena common_db.inc bajo la raíz web con insuficiente control de acceso, lo cual permite a atacantes remotos descargar el fichero de la base de datos que contiene credenciales de usuario a través de una petición directa.

Vulnerabilidad de ejecución de secuencias de comandos en sitios cruzados en Widgets.aspx en Blogsa v1.0 Beta 3 y anteriores, permite a atacantes remotos inyectar secuencias de comandos web o HTML de su elección a través del parámetro "searchText".

Vulnerabilidad de inyección SQL en index.cfm en CFMSource CFMBlog, permite a los atacantes remotos ejecutar comandos SQL de su elección a través del parámetro "categorynbr".

Vulnerabilidad de inyección SQL en Comdev Web Blogger v4.1.3 y anteriores permiten a atacantes remotos ejecutar código SQL de su elección a través del parámetro "arcmonth" a una página del blog.

Sam Crew MyBlog almacena contraseñas en texto claro en una base de datos MySQL, lo cual permite a atacantes dependientes de contexto obtener información sensible.

Vulnerabilidad de inyección SQL en system/nlb_user.class.php en NewLife Blogger v3.0 y anteriores, y posiblemente v3.3.1, permite a atacantes remotos ejecutar comandos SQL a su elección a través de la cookie nlb3.

Múltiple vulnerabilidad de salto de directorio en LightBlog 9.8, cuando magic_quotes_gpc está deshabilitado, permite a los atacantes remotos incluir y ejecutar arbitrariamente archivos locales a través de .. (punto punto) en los parámetros (1) username para view_member.php, (2) username_post para login.php, y el…

EveryBlog v5.x y v6.x, un modulo para Drupal, permite a atacantes remotos saltarse las restricciones de acceso mediante vectores no especificados.

Vulnerabilidad no especificada en EveryBlog v5.x y v6.x, un modulo para Drupal, permite a atacantes remotos obtener privilegios de otro usuario o de administrador mediante vectores de ataque desconocidos.

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en EveryBlog v5.x y v6.x, un modulo para Drupal, permite a atacantes remotos inyectar secuencias de comandos web o HTML de su elección mediante vectores no especificados.

Vulnerabilidad de inyección SQL en EveryBlog v5.x y v6.x, un modulo para Drupal, permite a atacantes remotos ejecutar comandos SQL de su elección mediante vectores no especificados.

Múltiples vulnerabilidades de Ejecución de secuencias de comandos en sitios cruzados (XSS) en versiones de WikyBlog anteriores a la 1.7.1 permiten a atacantes remotos inyectar HTML o scripts web arbitrarios a través de (1) el parámetro key en index.php/Special/Main/keywordSearch, (2) el parámetro revNum en…

Vulnerabilidad de inyección SQL en loudblog/ajax.php en LoudBlog v0.8.0a y anteriores permite a usuarios autenticados remotamente ejecutar comandos SQL de su elección a través del parámetro "colpick" en una acción "singleread".

Vulnerabilidad de inyección SQL en offline_auth.php de Max.Blog v1.0.6 y anteriores, cuando está deshabilitado magic_quotes_gpc, permite a atacantes remotos ejecutar comandos SQL de su elección a través del parámetro username (nombre de usuario).

Vulnerabilidad de inyección SQL en admin/authenticate.php de Chipmunk Blogger Script; permite a atacantes remotos ejecutar comandos SQL de su elección a través de los parámetro (1)username -nombre de usuario- y (2) password -contraseña-.

Chipmunk Blogger Script permite a atacantes remotos obtener privilegios de administrador a través de una petición directa a admin/reguser.php. NOTA: esto es sólo una vulnerabilidad cuando el administrador no sigue las directivas de instalación adecuadamente.

El fichero delete.php de Max.Blog 1.0.6 no restringe apropiadamente el acceso, lo cual permite a atacantes remotos borrar entradas arbitrarias del blog a través de una petición directa.

Vulnerabilidad de inyección SQL en inc_webblogmanager.asp en DMXReady Blog Manager permite a atacantes remotos ejecutar comandos SQL a su elección a través de el parámetro "itemID" en una acción view.

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en inc_webblogmanager.asp en DMXReady Blog Manager permite a atacantes remotos inyectar secuencias de comandos web o HTML a través del parámetro "CategoryID" en una acción refer.

Vulnerabilidad de inyeccion SQL en index.asp en Katy Whitton BlogIt! permite a atacantes remotos ejecutar comandos SQL a su eleccion a traves de los parametros (1) "month" y (2) "year". NOTA: Se desconoce la procedencia de la informacion; los detalles fueron obtenidos unicamente de una tercera parte.

Katy Whitton BlogIt! almacena información sensible bajo la raíz de la web con insuficientes controles de acceso, lo que permitiría a atacantes remotos descargar el fichero de la base de datos que contiene las credenciales de usuario a traves de una petición para database/Blog.mdb. NOTA: Algunos de los detalles se…