Vulnerabilidades

Múltiples vulnerabilidades de falsificación de petición en sitios cruzados (CSRF) en la interfaz WHM 11.15.0 para cPanel 11.18 anterior a 11.18.4 y 11.22 anterior a 11.22.3 permite a atacantes remotos realizar acciones sin autorización como administradores cPanel mediante peticiones a cpanel/whm/webmail y otros…

La interfaz WHM 11.15.0 para cPanel 11.18 anterior a 11.18.4 y 11.22 anterior a 11.22.3 permite a atacantes remotos evitar la protección XSS e inyectar secuencias de comandos o HTML de su elección mediante caracteres "<" y ">" repetidos ordenados incorrectamente en los parámetros 1) issue a scripts2/knowlegebase, (2)…

Múltiples vulnerabilidades de falsificación de petición en sitios cruzados (CSRF) en cPanel, posiblemente 11.18.3 y 11.19.3, permite a los atacantes remotos (1) ejecutar código arbitrario a través del parámetro command1 en frontend/x2/cron/editcronsimple.html, y realizar varias acciones administrativas a través de (2)…

Vulnerabilidad de secuencia de comandos en sitios cruzados (XSS) en frontend/x/manpage.html de cPanel 11.18.3 y 11.21.0-BETA, permite a atacantes remotos inyectar secuencias de comandos web o HTML de su elección mediante una cadena de consulta.

Vulnerabilidad de inclusión de archivo PHP remoto en usrgetform.html de Thecus N5200Pro NAS Server permite a atacantes remotos ejecutar código PHP de su elección a través de una URL en el parámetro name (nombre).

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en dohtaccess.html en cPanel anterior a 11.17 construcción 19417 permite a atacantes remotos inyectar secuencias de comandos web o HTML a través del parámetro rurl. NOTA: algunos de estos detalles se obtuvieron de terceras fuentes de información.

Múltiples vulnerabilidades de inclusión remota de archivo en PHP en Easy Hosting Control Panel para Ubuntu (EHCP) 0.22.8 y anteriores permite a atacantes remotos ejecutar código PHP de su elección mediante un URL en el parámetro confdir de (1) dbutil.bck.php y (2) dbutil.php en config/.

Vulnerabilidad de inyección directa de código estático en acp/savenews.php de Sciurus Hosting Panel, posiblemente 2.0.3, permite a atacantes remotos inyectar código PHP de su elección mediante el parámetro filecontents, el cual puede ser ejecutado accediendo a includes/news.php.

Vulnerabilidad de salto de directorio en index.php de Verlihub Control Panel (VHCP) 1.7 y anteriores permite a atacantes remotos incluir ficheros de su elección mediante secuencias .. (punto punto) en el parámetro page.

Múltiples vulnerabilidades de secuencias de comandos en sitios cruzados (XSS) en Helm 3.2.16 permite a atacantes remotos inyectar secuencias de comandos web o HTML a través del parámetro (1) showOption en domain.asp, o el parámetro (2) Folder o (3) StartPath en FileManager.asp.

Vulnerabilidad de salto de directorio en Ragnarok Online Control Panel 4.3.4a, cuando se utiliza Apache HTTP Server, permite a atacantes remotos evitar la autenticación mediante secuencias de salto de directorio en un URI que termina con el nombre de una página públicamente disponible, como ha sido demostrado por la…

Múltiples vulnerabilidades de secuencias de comandos en sitios cruzados (XSS) en InterWorx Hosting Control Panel (InterWorx-CP) Server Admin Level (NodeWorx) 2.0.3 (1) permite a atacantes remotos eweb a través del parámetro PATH_INFO de index.php; y permite a usuarios autenticados remotamente inyectar secuencias de…

Múltiples vulnerabilidades de secuencias de comandos en sitios cruzados (XSS) en InterWorx Hosting Control Panel (InterWorx-CP) Server Admin Level (NodeWorx) 2.0.3 (1) permite a atacantes remotos inyectar secuencias de comandos web o HTML de su elección a través del parámetro PATH_INFO de index.php; y permite a…

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en el frontend/x/htaccess/changepro.html del cPanel 10.9.1 permiten a atacantes remotos la inyección de secuencias de comandos web o HTML de su elección a través del parámetro resname.

Simple CGI Wrapper (scgiwrap) de cPanel versiones anteriores a 10.9.1, y 11.x versiones anteriores a 11.4.19-R14378, permite a atacantes remotos obtener información confidencial mediante una petición directa, que revela la ruta en un mensaje de error. NOTA: El origen de esta información es desconocido; los detalles se…

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en Simple CGI Wrapper (scgiwrap) de cPanel versiones anteriores a 10.9.1, y 11.x versiones anteriores a 11.4.19-R14378, permite a atacantes remotos inyectar scripts web o HTML de su elección mediante el URI. NOTA: El origen de esta información es…

Vulnerabilidad de inclusión remota de archivo en PHP en includes/common.php en Yaap 1.5 y anteriores permite a atacantes remotos ejecutar código PHP de su elección a través de una URL en el parámetro root_path, posiblemente relacionado con la función the __autoload.

Múltiples vulnerabilidades de de escalado de ruta absoluta en el Fantastico, como el utilizado en el cPanel 10.x, permite a usuarios remotos autenticados incluir y ejecutar ficheros locales de su elección mediante (1) el parámetro userlanguage del includes/load_language.php o (2) el parámetro fantasticopath del…

Múltiples vulnerabilidades PHP de inclusión remota de archivo en ZPanel 2.0 permite a atacantes remotos ejecutar código PHP a través de una URL en el parámetro (1) body en templates/ZPanelV2/template.php o el parámetro (2)page en zpanel.php. NOTA: el vector zpanel.php podría solaparse CVE-2005-0793.2 NOTA: la…

Vulnerabilidad de secuencia de comandos en sitios cruzados (XSS) en scripts/passwdmysql en cPanel WebHost Manager (WHM) 11.0.0 y anteriores permite a un atacante remoto inyectar secuencias de comandos web o HTML a través del parámetro password.

Una vulnerabilidad de inclusión remota de archivos en scripts2/objcache en WebHost Manager (WHM) de cPanel permite a los atacantes remotos ejecutar código arbitrario por medio de una URL en el parámetro obj. NOTA: un tercero afirma que este problema no es la inclusión de archivos porque los contenidos no son…

Múltiples vulnerabilidades de secuencias de comandos en sitios cruzados (XSS) en All In One Control Panel (AIOCP) 1.3.009 y anteriores permiten a atacantes remotos inyectar secuencias de comandos web o HTML a través de vectores no especificados. NOTA: esto es probablemente una vulnerabilidad diferente que…

Múltiples vulnerabilidades de inyección SQL en All In One Control Panel (AIOCP) 1.3.010 y anteriores, cuando magic_quotes_gpc está desactivado, permite a atacantes remotos ejecutar comandos SQL a través del parámetro (1) xuser_name en shared/code/cp_authorization.php, y el (2) parámetro did en…

Vulnerabilidad de inyección SQL en shared/code/cp_functions_downloads.php en Nicola Asuni All In One Control Panel (AIOCP) anterior a 1.3.009 permite a atacantes remotos ejecutar comandos SQL de su elección a través del parámetro download_category.

Múltiples vulnerabilidades de secuencias de comandos en sitios cruzados (XSS) en AShop Deluxe 4.5 y AShop Administration Panel permite a atacantes remotos inyectar scripts web o HTML de su elección a través del parámetro cat en (a) ashop/catalogue.php y (b) ashop/basket.php, el parámetro (2) exp en…