Vulnerabilidades

JavaScript::Minifier::XS versions before 0.16 for Perl crash with a NULL pointer dereference when the first meaningful token of the input is a slash. The regexp versus division disambiguator in JsTokenizeString (XS.xs) inspects the previous token's last byte to choose between a regexp literal and a division operator.…

Unauthenticated Broken Access Control in Subscriptions for WooCommerce <= 1.9.5 versions.

Jenkins Script Security Plugin 1402.v94c9ce464861 and earlier does not reject Groovy AST transformation annotations carrying an extensions member, allowing attackers able to run sandboxed Groovy scripts to execute code outside the sandbox if a suitable script is present on the classpath of the component that evaluates…

Jenkins Script Security Plugin 1402.v94c9ce464861 and earlier does not intercept the implicit type casts applied to the elements of typed for-each loops in sandboxed Groovy scripts, allowing attackers able to provide such scripts to invoke arbitrary constructors and bypass the sandbox protection.

The Email JavaScript Cloak plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin's 'email' shortcode in all versions up to, and including, 1.03 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with…

Unauthenticated Cross Site Scripting (XSS) in Paid Member Subscriptions <= 2.17.3 versions.

JavaScript Cookie es una API de JavaScript para manejar cookies, del lado del cliente. Antes de la versión 3.0.7, la función auxiliar interna assign() de js-cookie copia propiedades con for...in + asignación simple. Cuando el objeto fuente es producido por JSON.parse, el miembro __proto__ del objeto JSON es una…

El script de listado de directorios PHP Evoluted hasta la versión 4.0.5 contiene una vulnerabilidad de cross-site scripting reflejado en index.php donde el valor del parámetro dir se refleja sin codificación HTML dentro del elemento HTML title y dentro de los atributos href de los anclajes en la navegación de migas de…

Neutralización incorrecta de la entrada durante la generación de páginas web ('cross-site scripting') en Microsoft Exchange Server permite a un atacante no autorizado realizar suplantación a través de una red.

Control inadecuado de la generación de código ('inyección de código') en Microsoft Exchange Server permite a un atacante no autorizado ejecutar código a través de una red.

Falsificación de petición del lado del servidor (SSRF) en Microsoft Exchange Server permite a un atacante autorizado elevar privilegios a través de una red.

Falsificación de petición del lado del servidor (SSRF) en Microsoft Exchange Server permite a un atacante autorizado divulgar información a través de una red.

Falsificación de petición del lado del servidor (SSRF) en Microsoft Exchange Server permite a un atacante autorizado divulgar información a través de una red.

Neutralización incorrecta de la entrada durante la generación de páginas web ('cross-site scripting') en Microsoft Exchange Server permite a un atacante no autorizado realizar suplantación de identidad a través de una red.

Neutralización incorrecta de la entrada durante la generación de páginas web ('cross-site scripting') en Microsoft Exchange Server permite a un atacante no autorizado realizar suplantación a través de una red.

PHP EI-Tube Script 3 contiene una vulnerabilidad de inyección SQL que permite a atacantes no autenticados ejecutar consultas SQL arbitrarias inyectando código malicioso a través del parámetro search. Los atacantes pueden enviar solicitudes GET al endpoint search con payloads SQL manipulados en el parámetro query para…

El Script del simulador web MOGG contiene una vulnerabilidad de inyección SQL que permite a atacantes no autenticados ejecutar comandos SQL arbitrarios inyectando código malicioso a través del parámetro id. Los atacantes pueden enviar solicitudes GET a play.php con cargas útiles SQL manipuladas en el parámetro id para…

typescript-utcp es una implementación de UTCP en typescript. Antes de la versión 1.1.2, el paquete @utcp/http es vulnerable a una falsificación de petición del lado del servidor (SSRF) ciega causada por una inconsistencia en el límite de confianza entre el descubrimiento manual y la invocación de herramientas.…

FacturaScripts is an open source accounting and invoicing software. In 2025.92 and earlier, a stored Cross-Site Scripting (XSS) vulnerability exists in the product search modal of sales (Core/Lib/AjaxForms/SalesModalHTML.php) and purchases documents (Core/Lib/AjaxForms/PurchasesModalHTML.php). An authenticated user…

FacturaScripts is an open source accounting and invoicing software. In 2025.81 and earlier, an authenticated unrestricted file upload vulnerability exists in FacturaScripts' product image upload functionality. An attacker with valid credentials can upload a PHP file disguised as a GIF image (using a GIF89a header),…

FacturaScripts is an open source accounting and invoicing software. Prior to v2026, an unauthenticated information disclosure vulnerability in the Installer controller allows any remote attacker to trigger phpinfo() on a fresh FacturaScripts deployment by requesting /?phpinfo=TRUE, exposing full PHP configuration,…

Una vulnerabilidad ha sido encontrada en itsourcecode Student Transcript Processing System 1.0. Este problema afecta a algún procesamiento desconocido del archivo /admin/modules/class/index.php?view=view. La manipulación del argumento ID conduce a inyección SQL. El ataque puede ser iniciado remotamente. El exploit ha…

Se ha encontrado una falla en itsourcecode Student Transcript Processing System 1.0. Esta vulnerabilidad afecta código desconocido del archivo /admin/modules/student/trans.php. La ejecución de una manipulación del argumento studentId/cid puede llevar a una inyección SQL. El ataque puede ser lanzado remotamente. El…

Una vulnerabilidad fue detectada en itsourcecode Student Transcript Processing System 1.0. Esto afecta una parte desconocida del archivo /admin/modules/student/index.php?view=view. Realizar una manipulación del argumento studentId resulta en inyección SQL. El ataque puede ser iniciado remotamente. El exploit es ahora…

Vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) en Convers Lab WPSubscription permite la falsificación de petición en sitios cruzados. Este problema afecta a WPSubscription: desde n/a hasta 1.9.1.