Vulnerabilidades

Vulnerabilidad no especificada en TikiWiki CMS/Groupware antes de 2.0 permite a atacantes obtener "la ruta y la configuración PHP" mediante vectores desconocidos.

Vulnerabilidad de secuencia de comandos en sitios cruzados (XSS) en ScrewTurn Wiki 2.0.29 y 2.0.30, que permite a los atacantes remotos insertar arbitrariamente una secuencia de comandos web o HTML a través de mensajes de error en la página "/admin.aspx - System Log"

Vulnerabilidad de salto de directorio en index.php en Easy-Script Wysi Wiki Wyg 1.0, permite a los atacantes remotos leer arbitrariamente archivos a través de .. (punto punto) en el parámetro c.

Vulnerabilidad de ejecución de comandos en sitios cruzados (XSS) en FreeStyle Wiki 3.6.2 y anteriores, y 3.6.3 dev3 y versiones de desarrollo previas, cuando se visualizan con Internet Explorer, permite a atacantes remotos inyectar secuencias de comandos web o HTML de su elección a través de vectores no especificados,…

Vulnerabilidad de ejecución de secuencias de comandos en sitios cruzados en la funcionalidad de búsqueda en MindTouch DekiWiki anterior a 8.05.1, permite a atacantes remotos ejecutar secuencias de comandos web o HTML de su elección a través de vectores no especificados.

Múltiples vulnerabilidades de salto de directorio en ErfurtWiki R1.02b y anteriores, cuando register_globals está habilitado, permiten a atacantes remotos incluir y ejecutar archivos locales de su elección a través de un .. (punto punto) en los parámetros (1) ewiki_id y (2) ewiki_action para fragments/css.php y…

Plugin/passwordauth.pm (también conocido como plugin passwordauth) en ikiwiki versiones de la 1.34 hasta la 2.47, permite a atacantes remotos saltarse la autenticación y login de cualquier cuenta en la que se configura una identidad OpenID y no se configura una contraseña, especificando una contraseña vacía durante la…

Vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) en Ikiwiki versiones anteriores a 2.42 permite a atacantes remotos modificar preferencias de usuarios, incluyendo contraseñas, a través de los formularios (1) preferences y (2) edit.

Una vulnerabilidad no especificada en MediaWiki versiones 1.11 en versiones anteriores a la 1.11.2, permite a los atacantes remotos obtener información confidencial de "cross-site" por medio del parámetro callback en una llamada de la API para resultados formateados JavaScript Object Notation (JSON).

Vulnerabilidad de subidas de archivos sin restringir en JSPWiki 2.4.104 y 2.5.139, permite a atacantes remotos subir y ejecutar archivos .jsp a través de una manipulación no especificada que adjunta el archivo .jsp a una "entry page".

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en Edit.jsp en JSPWiki 2.4.104 y 2.5.139, permite a atacantes remotos inyectar secuencias de comandos web o HTML de su elección mediante el parámetro editor. Es un vector diferente de CVE-2007-5120.b.

Vulnerabilidad de salto de directorio en Edit.jsp de JSPWiki 2.4.104 y 2.5.139, que permite a atacantes remotos incluir y ejecutar archivos locales .jsp de su elección y obtener información sensible, a través de .. (punto punto) en el editor de parámetros.

Múltiples vulnerabilidades de inclusión de archivos PHP remotos en KCWiki 1.0 permiten a atacantes remotos ejecutar código PHP de su elección a través de un URL en el parámetro page a (1) minimal/wiki.php y (2) simplest/wiki.php.

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en tiki-edit_article.php de TikiWiki before 1.9.10.1 permite a atacantes remotos inyectar web script o HTML de su elección a través de vectores no especificados.

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en el meta plugin de Ikiwiki antes de 1.1.47 permite a atacantes remotos inyectar secuencias de comandos web o HTML de su elección a través de meta tags (etiquetas).

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en el htmlscrubber de Ikiwiki antes de 1.1.46 permite a atacantes remotos inyectar secuencias de comandos web o HTML de su elección a través de los contenidos del título.

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en el fichero api.php de (1)MediaWiki 1.11 hasta 1.11.0rc1, 1.10 hasta 1.10.2, 1.9 hasta 1.9.4, y 1.8; y de (2) la extensión BotQuery para MediaWiki 1.7 y anteriores; cuando se está usando Internet Explorer, permite a atacantes remotos inyectar, a su…

Vulnerabilidad de salto de directorio en tiki-listmovies.php en TikiWiki versiones anteriores a 1.9.9 permite a atacantes remotos leer ficheros de su elección mediante un .. (punto punto) y un nombre de fichero modificado en el parámetro movie.

Múltiples vulnerabilidades no especificadas en TikiWiki anterior a 1.9.9 tienen impacto y vectores de ataque desconocidos involucrando (1) tiki-edit_css.php, (2) tiki-list_games.php, o (3) tiki-g-admin_shared_source.php.

Vulnerabilidad de comandos en sitios cruzados (XSS), en el archivo tiki-special_chars.php de TikiWiki, en versiones anteriores a la 1.9.9. Permite que atacantes remotos injecten, a su elección, códigos web o HTML, a través del parámetro area_name.

Vulnerabilidad de inclusión remota de archivo en PHP en includes/common.php en scWiki 1.0 Beta 2 permite a atacantes remotos ejecutar código PHP de su elección a través de una URL en el parámetro pathdot.

Una vulnerabilidad de lista negra incompleta en el archivo tiki-graph_formula.php en TikiWiki versiones anteriores a 1.9.8.2, permite a atacantes remotos ejecutar código arbitrario mediante el uso de funciones variables y variables variantes para escribir variables cuyos nombres coincidan con la lista blanca, una…

Múltiples vulnerabilidades de secuencias de comandos en sitios cruzados (XSS) en el TikiWiki 1.9.8.1 y versiones anteriores permiten a atacantes remotos la inyección de secuencias de comandos web o HTML de su elección a través de (1) el parámetro username a la página que recuerda las contraseñas…

Múltiples vulnerabilidades de escalado de directorio en el TikiWiki 1.9.8.1 y versiones anteriores permiten a atacantes remotos incluir y ejecutar ficheros de su elección a través de un nombre de ruta absoluta en los parámetros (1) error_handler_file y (2) local_php en el a) tiki-index.php, o en las secuencias (3)…

El archivo tiki-graph_formula.php en TikiWiki versión 1.9.8, permite a atacantes remotos ejecutar código arbitrario por medio de secuencias PHP en el parámetro array f, que son procesadas mediante create_function.