Vulnerabilidades

Vulnerabilidad de control inadecuado del nombre de archivo para la declaración Include/Require en el programa PHP ('Inclusión de archivo remoto PHP') en AbsolutePlugins Absolute Addons For Elementor permite la inclusión de código local. Este problema afecta a Absolute Addons For Elementor: desde n/a hasta 1.0.14.

El complemento The InPost Gallery para WordPress es vulnerable a la ejecución de códigos cortos arbitrarios a través de la acción AJAX inpost_gallery_get_shortcode_template en todas las versiones hasta la 2.1.4.2 incluida. Esto se debe a que el software permite a los usuarios ejecutar una acción que no valida…

El complemento Booking & Appointment para WooCommerce para WordPress es vulnerable a la modificación no autorizada de datos debido a una falta de verificación de capacidad en la función 'save_google_calendar_data' en versiones hasta la 6.9.0 incluida. Esto permite que atacantes autenticados, con permisos de nivel…

El complemento Easy Twitter Feed – Twitter feeds para WordPress es vulnerable a la exposición de información en todas las versiones hasta la 1.2.6 incluida a través del código corto [etf]. Esto permite que atacantes autenticados, con acceso de nivel de colaborador o superior, extraigan datos de publicaciones…

El complemento Simple Membership para WordPress es vulnerable a la exposición de información confidencial en todas las versiones hasta la 4.5.5 incluida a través de la función de búsqueda principal de WordPress. Esto permite que atacantes no autenticados extraigan datos confidenciales de publicaciones que se han…

El complemento Button Block – Get fully customizable & multi-function button-button para WordPress es vulnerable a la exposición de información en todas las versiones hasta la 1.1.4 incluida a través del shortcode [btn_block] debido a restricciones insuficientes sobre qué publicaciones se pueden incluir. Esto hace…

En el proceso de prueba del complemento SEO de WordPress de Squirrly SEO Plugin anterior a la versión 12.3.21, se encontró una vulnerabilidad que permite implementar XSS almacenado en nombre del editor mediante la incorporación de un script malicioso, lo que implica una puerta trasera de apropiación de cuentas.

El complemento HUSKY – Products Filter Professional para WooCommerce para WordPress es vulnerable a ataques de Cross-Site Scripting Reflejado a través del parámetro really_curr_tax en todas las versiones hasta la 1.3.6.3 incluida, debido a una desinfección de entrada y un escape de salida insuficientes. Esto permite…

Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en Minical Minical Hotel Booking Plugin permite XSS almacenado. Este problema afecta a Minical Hotel Booking Plugin: desde n/a hasta 1.0.2.

La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en Umar Social Locker permite XSS almacenado. Este problema afecta a Social Locker: desde n/a hasta 1.1.

La vulnerabilidad de Cross-Site Request Forgery (CSRF) en Woopy Plugins SmartLink Dynamic URLs permite XSS almacenado. Este problema afecta a las URL dinámicas SmartLink: desde n/a hasta 1.1.0.

Vulnerabilidad de Cross-Site Request Forgery (CSRF) en Scott @ MyDollarPlan.com Random Featured Post permite XSS almacenado. Este problema afecta a Random Featured Post: desde n/a hasta 1.1.3.

Las versiones del paquete @eslint/plugin-kit anteriores a la 0.2.3 son vulnerables a la denegación de servicio por expresión regular (ReDoS) debido a una desinfección de entrada incorrecta. Un atacante puede aumentar el uso de la CPU y bloquear el programa al explotar esta vulnerabilidad.

El complemento Hide My WP Ghost – Security & Firewall para WordPress es vulnerable a ataques de Cross-Site Scripting Reflejado a través de la URL en todas las versiones hasta la 5.3.01 incluida, debido a una desinfección de entrada y un escape de salida insuficientes. Esto permite que atacantes no autenticados…

Los complementos Really Simple Security (Free, Pro y Pro Multisite) para WordPress son vulnerables a la omisión de la autenticación en las versiones 9.0.0 a 9.1.1.1. Esto se debe a un manejo inadecuado de errores de verificación de usuario en las acciones de la API REST de dos factores con la función…

Vulnerabilidad de limitación incorrecta de una ruta a un directorio restringido ('Path Traversal') en realmag777 WOLF permite Path Traversal. Este problema afecta a WOLF: desde n/a hasta 1.0.8.3.

Los permisos predeterminados incorrectos en el complemento de administración de AMD para el directorio de instalación de Microsoft® System Center Configuration Manager (SCCM) podrían permitir que un atacante logre una escalada de privilegios, lo que podría resultar en la ejecución de código arbitrario.

El complemento Contact Form 7 Redirect & Thank You Page para WordPress es vulnerable a Cross Site Scripting reflejado a través del parámetro 'tab' en todas las versiones hasta la 1.0.6 incluida, debido a una desinfección de entrada y un escape de salida insuficientes. Esto permite que atacantes no autenticados…

Divulgación de información confidencial durante la exploración de archivos debido a un manejo inadecuado de enlaces simbólicos. Los siguientes productos se ven afectados: Acronis Backup plugin for cPanel & WHM (Linux) anterior a la compilación 818.

Sobrescritura arbitraria de archivos durante la recuperación debido a un manejo incorrecto de enlaces simbólicos. Los siguientes productos se ven afectados: Acronis Backup plugin for cPanel & WHM (Linux) anterior a la compilación 818, Acronis Backup extension for Plesk (Linux) anterior a la compilación 599,…

La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en Cool Plugins Web Stories Widgets For Elementor permite XSS almacenado. Este problema afecta a Web Stories Widgets For Elementor: desde n/a hasta 1.1.

Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en KentoThemes Kento Ads Rotator permite XSS almacenado. Este problema afecta a Kento Ads Rotator: desde n/a hasta 1.3.

Vulnerabilidad de neutralización incorrecta de elementos especiales utilizados en un comando SQL ('Inyección SQL') en Pluginhandy AmaDiscount permite la inyección SQL. Este problema afecta a AmaDiscount: desde n/a hasta 1.0.

Vulnerabilidad de neutralización incorrecta de elementos especiales utilizados en un comando SQL ('Inyección SQL') en Lodgix Lodgix.Com Vacation Rental Website Builder permite la inyección SQL. Este problema afecta a Lodgix.Com Vacation Rental Website Builder: desde n/a hasta 3.9.73.

El complemento Leopard - WordPress Offload Media para WordPress es vulnerable a la modificación no autorizada de datos que puede provocar una escalada de privilegios debido a una falta de comprobación de capacidad en la función import_settings() en todas las versiones hasta la 3.1.1 incluida. Esto permite que…