Vulnerabilidades

The Envo's Templates & Widgets for Elementor and WooCommerce plugin for WordPress is vulnerable to unauthorized access of data due to a missing authorization check on the Envo Tabs (and Off Canvas) widget's template rendering in versions up to, and including, 1.4.26. The render() method of the Tabs widget passes a…

Contributor SQL Injection in WP Post Author <= 3.9.1 versions.

Subscriber Broken Access Control in MasterStudy LMS <= 3.7.30 versions.

Subscriber PHP Object Injection in RealHomes <= 4.5.3 versions.

The Blocksy Companion plugin for WordPress is vulnerable to Stored Cross-Site Scripting via admin settings in all versions up to, and including, 2.1.45 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with editor-level permissions and above, to inject…

Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in StylemixThemes Motors allows PHP Local File Inclusion. This issue affects Motors: from n/a through 1.4.109.

Unauthenticated PHP Object Injection in Thrive Apprentice < 10.8.10.2 versions.

Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in StylemixThemes Motors motors-car-dealership-classified-listings allows Blind SQL Injection.This issue affects Motors: from n/a through 1.4.109.

Vulnerabilidad de Autorización Faltante en Rara Themes Metro Magazine permite Explotar Niveles de Seguridad de Control de Acceso Incorrectamente Configurados. Este problema afecta a Metro Magazine: desde n/a hasta 1.3.7.

Vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) en Extend Themes Skyline WP permite falsificación de petición en sitios cruzados. Este problema afecta a Skyline WP: desde n/a hasta 1.0.10.

Missing Authorization vulnerability in Rara Themes Metro Magazine allows Exploiting Incorrectly Configured Access Control Security Levels. This issue affects Metro Magazine: from n/a through 1.4.1.

Vulnerabilidad de autorización faltante en StylemixThemes MasterStudy LMS Pro permite Acceder a Funcionalidad No Restringida Adecuadamente por ACLs. Este problema afecta a MasterStudy LMS Pro: desde n/a antes de 4.7.16.

Exposure of Sensitive System Information to an Unauthorized Control Sphere vulnerability in HashThemes Hash Elements allows Retrieve Embedded Sensitive Data. This issue affects Hash Elements: from n/a through 1.5.4.

El plugin aThemes Addons for Elementor para WordPress es vulnerable a cross-site scripting almacenado a través de la configuración del widget 'title_tag' en todas las versiones hasta la 1.1.8, inclusive, debido a una sanitización de entrada y un escape de salida insuficientes. Esto permite a atacantes autenticados,…

El tema Blocksy para WordPress es vulnerable a la inyección de objetos PHP que conduce a la ejecución remota de código a través del campo de la API REST 'blocksy_meta' y la migración de la base de datos V200 en versiones hasta la 2.1.35 inclusive. Esto se debe a una sanitización insuficiente de la entrada en la…

Neutralización Incorrecta de la Entrada Durante la Generación de Páginas Web ('cross-site scripting') vulnerabilidad en Fox-themes Prague permite XSS Reflejado. Este problema afecta a Prague: desde n/a hasta 2.2.8.

Vulnerabilidad de deserialización de datos no confiables en Elated-Themes Askka permite la inyección de objetos. Este problema afecta a Askka: desde n/a hasta 1.3.1.

La vulnerabilidad de control inadecuado del nombre de fichero para la declaración include/require en un programa PHP ('Inclusión Remota de Ficheros PHP') en Select-Themes WaveRide permite la Inclusión Local de Ficheros PHP. Este problema afecta a WaveRide: desde n/d hasta 1.4.

Control inadecuado del nombre de fichero para la declaración Include/Require en un programa PHP (vulnerabilidad de 'Inclusión remota de ficheros de PHP') en Axiomthemes Racquet permite la inclusión local de ficheros de PHP. Este problema afecta a Racquet: desde n/a hasta 1.12.0.

Control inadecuado del nombre de fichero para la declaración include/require en un programa PHP ('inclusión remota de ficheros PHP') vulnerabilidad en androThemes Cookiteer permite la inclusión local de ficheros PHP. Este problema afecta a Cookiteer: desde n/a hasta 1.4.8.

Control inadecuado del nombre de fichero para la sentencia include/require en un programa PHP ('vulnerabilidad de inclusión remota de ficheros PHP') en Axiomthemes Fermentio permite la inclusión local de ficheros PHP. Este problema afecta a Fermentio: desde n/a hasta 1.5.0.

Control inadecuado del nombre de fichero para la declaración include/require en programa PHP ('PHP Inclusión remota de ficheros') vulnerabilidad en Axiomthemes Spin permite PHP Inclusión local de ficheros. Este problema afecta a Spin: desde n/a hasta 1.8.

Vulnerabilidad de deserialización de datos no confiables en Elated-Themes Töbel permite la inyección de objetos. Este problema afecta a Töbel: desde n/a hasta 1.8.1.

Vulnerabilidad de deserialización de datos no confiables en Elated-Themes Aperitif permite la inyección de objetos. Este problema afecta a Aperitif: desde n/a hasta 1.6.

La vulnerabilidad de control inadecuado del nombre de fichero para la declaración include/require en un programa PHP ('Inclusión remota de ficheros PHP') en Axiomthemes Crafti permite la inclusión local de ficheros PHP. Este problema afecta a Crafti: desde n/a hasta 1.12.