Vulnerabilidades

El plugin CHP Ads Block Detector para WordPress es vulnerable a cross-site scripting almacenado a través de la configuración de administrador accesible mediante una acción AJAX en versiones hasta la 3.9.4, inclusive, debido a una sanitización de entrada y un escape de salida insuficientes. Esto permite a atacantes…

El plugin CHP Ads Block Detector para WordPress es vulnerable a la actualización y el restablecimiento no autorizados de la configuración del plugin debido a una comprobación de capacidad faltante en la función chp_abd_action en versiones hasta la 3.9.4, inclusive. Esto hace posible que atacantes con nivel de…

El plugin CHP Ads Block Detector para WordPress es vulnerable a la falsificación de petición en sitios cruzados en versiones hasta la 3.9.4, inclusive. Esto se debe a la validación de nonce faltante o incorrecta en la función chp_abd_action. Esto hace posible que atacantes no autenticados actualicen o restablezcan la…

El plugin WP Directory Kit para WordPress es vulnerable a falsificación de petición en sitios cruzados en versiones hasta la 1.2.1, inclusive. Esto se debe a la validación de nonce faltante o incorrecta en la función 'admin_page_display'. Esto hace posible que atacantes no autenticados eliminen o cambien la…

Business Directory Script 3.2 de PHPJabbers es vulnerable a SQL Injection a través del parámetro de column.

Business Directory Script 3.2 de PHPJabbers es vulnerable a Cross Site Scripting (XSS) a través del parámetro keyword.

Se ha descubierto que ECTouch v2 contiene una vulnerabilidad de inyección SQL a través del parámetro $arr['id'] en \default\helpers\insert.php.

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) almacenadas, con autenticación (administrador o superior), en el plugin Article Directory Redux de iControlWP en las versiones <= 1.0.2.

Ruta de búsqueda no controlada en algunos instaladores del Intel(R) oneAPI Toolkit y del software de sus componentes anteriores a la versión 4.3.1.493 podría permitir que un usuario autenticado habilite potencialmente una escalada de privilegios mediante acceso local.

Control de acceso inadecuado en algunos instaladores de Intel(R) oneAPI Toolkit y de software de componentes anteriores a la versión 4.3.1.493 puede permitir que un usuario con privilegios habilite, potencialmente, una escalada de privilegios mediante acceso local.

Vulnerabilidad de Cross-Site Scripting (XSS) almacenado con necesidad de autenticación (permisos de administrador o superior) en el plugin Never5 Post Connector en versiones anteriores, e incluyendo la 1.0.9.

Las comprobaciones de permisos incorrectas en el complemento Jenkins Qualys Web App Scanning Connector Plugin 2.0.10 y versiones anteriores permiten a atacantes con el permiso global Item/Configure conectarse a una URL especificada por el atacante utilizando identificadores de credenciales especificados por el…

El plugin wpForo Forum para WordPress anterior a la versión 2.1.9 no escapa algunos parámetros de solicitud cuando está en modo de depuración, lo que provoca una vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) reflejada.

Se ha detectado una vulnerabilidad en Bug Finder Listplace Directory Listing Platform 3.0. Se ha clasificado como problemática. Afecta a una parte desconocida del archivo /listplace/user/coverPhotoUpdate del componente Photo Handler. La manipulación del argumento user_cover_photo conduce a secuencias de comandos en…

Se ha detectado una vulnerabilidad en Bug Finder Listplace Directory Listing Platform 3.0, clasificada como problemática. Este problema afecta a una funcionalidad desconocida del archivo /listplace/user/ticket/create del componente HTTP POST Request Handler. La manipulación del argumento message provoca una secuencia…

El complemento Caldera Forms Google Sheets Connector para WordPress, en versiones anteriores a la 1.3, no comprueba la protección contra CSRF al actualizar su código de acceso, lo que podría permitir a atacantes hacer que un administrador con sesión iniciada cambie el código de acceso por uno arbitrario mediante un…

El plugin de WordPress WooCommerce Google Sheet Connector anterior a la versión 1.3.6 no comprueba la existencia de tokens CSRF al actualizar su código de acceso, lo que podría permitir a los atacantes hacer que un administrador con sesión iniciada cambie el código de acceso por uno arbitrario mediante un ataque CSRF.

CWE-502 Deserialización de datos no fiables en el módulo de plugin rabbitmq-connector de Apache EventMesh (incubating) V1.7.0\V1.8.0 en plataformas Windows\Linux\Mac OS, etc., permite a los atacantes enviar mensajes controlados y ejecutar código de forma remota a través de mensajes de RabbitMQ. Los usuarios pueden…

El plugin Active Directory de Jenkins 2.30 y anteriores ignora las opciones "Require TLS" y "StartTls" y siempre realiza la prueba de conexión con Active Directory sin cifrar, lo que permite a atacantes capaces de capturar el tráfico de red entre el controlador de Jenkins y los servidores de Active Directory obtener…

El plugin Image Protector para WordPress hasta la versión 1.1 no sanea correctamente algunos de sus ajustes, lo que podría permitir a usuarios con privilegios elevados llevar a cabo ataques de secuencias de comandos en sitios cruzados (XSS) almacenadas, incluso cuando la capacidad unfiltered_html está deshabilitada…

El plugin de WordPress Ninja Forms Google Sheet Connector en versiones anteriores a la 1.2.7, y el plugin de WordPress gsheetconnector-ninja-forms-pro hasta la versión 1.2.7 incluida, no escapa un parámetro antes de devolverlo en un atributo, lo que provoca una secuencia de comandos en sitios cruzados (XSS) reflejada…

El plugin de WordPress Elementor Forms Google Sheet Connector en versiones anteriores a la 1.0.7, y el plugin de WordPress gsheetconnector-for-elementor-forms-pro hasta la versión 1.0.7 inclusive, no escapan algunos parámetros antes de devolverlos en atributos, lo que provoca una secuencia de comandos en sitios…

El plugin de WordPress WPForms Google Sheet Connector anterior a 3.4.6, y el plugin de WordPress gsheetconnector-wpforms-pro hasta la versión 3.4.6 incluida, no escapan un parámetro antes de devolverlo en un atributo, lo que provoca una secuencia de comandos en sitios cruzados (XSS) reflejada que podría utilizarse…

El plugin CF7 Google Sheets Connector para WordPress, en versiones anteriores a la 5.0.2, y el plugin cf7-google-sheets-connector-pro para WordPress, hasta la versión 5.0.2 incluida, no escapan un parámetro antes de mostrarlo de nuevo en un atributo, lo que provoca una secuencia de comandos en sitios cruzados (XSS)…

El plugin Staff Directory Plugin para WordPress es vulnerable a falsificación de petición en sitios cruzados (CSRF) en las versiones hasta la 3.6, inclusive. Esto se debe a una validación de nonce ausente o incorrecta en la función saveCustomFields(). Esto hace posible que atacantes no autenticados guarden campos…