Vulnerabilidades

Vulnerabilidad de neutralización inadecuada de la entrada durante la generación de páginas web ('Cross-site Scripting') en shinetheme Traveler traveler que permite XSS reflejado. Este problema afecta a Traveler: desde n/a hasta < 3.2.6.

Vulnerabilidad de control impropio del nombre de archivo en una sentencia Include/Require en un programa PHP ('PHP Remote File Inclusion') en AncoraThemes UniTravel unitravel que permite la inclusión local de archivos PHP (PHP Local File Inclusion). Este problema afecta a UniTravel: desde n/a hasta <= 1.4.2.

Neutralización Incorrecta de Elementos Especiales utilizados en un Comando SQL (Inyección SQL) vulnerabilidad en shinetheme Traveler traveler permite Inyección SQL Ciega. Este problema afecta a Traveler: desde n/a hasta menor que 3.2.6.

Auth0-PHP es un SDK de PHP para las API de autenticación y gestión de Auth0. En aplicaciones construidas con el SDK de Auth0-PHP, la validación de audiencia en los tokens de acceso se realiza de forma incorrecta. Sin una validación adecuada, las aplicaciones afectadas pueden aceptar tokens de ID como tokens de acceso.…

Vulnerabilidad de Inserción de Información Sensible en Datos Enviados en shinetheme Traveler Option Tree custom-option-tree permite Recuperar Datos Sensibles Incrustados. Este problema afecta a Traveler Option Tree: desde n/a hasta menor o igual que 2.8.

Vulnerabilidad de autorización faltante en shinetheme Traveler traveler permite explotar niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a Traveler: desde n/a hasta menor o igual que 3.2.6.

alexusmai laravel-file-manager 3.3.1 y anteriores es vulnerable a un recorrido de directorios (Directory Traversal). La funcionalidad de descompresión o extracción de archivos ZIP permite de forma indebida que el contenido del archivo se escriba en ubicaciones arbitrarias del sistema de archivos debido a una…

alexusmai laravel-file-manager 3.3.1 y versiones anteriores es vulnerable a un recorrido de directorios (Directory Traversal). La funcionalidad de comprimir y archivar (zip) permite a un atacante crear archivos que contienen ficheros y directorios situados fuera del ámbito previsto, debido a una validación de rutas…

Se detectó una vulnerabilidad en ashraf-kabir travel-agency hasta 1f25aa03544bc5fb7a9e846f8a7879cecdb0cad3. Este problema afecta a una funcionalidad desconocida del archivo /results.php del componente Search. La manipulación del argumento user_query provoca una inyección SQL. El ataque puede lanzarse de forma remota.…

Se ha detectado una vulnerabilidad de seguridad en ashraf-kabir travel-agency hasta 1f25aa03544bc5fb7a9e846f8a7879cecdb0cad3. Esta vulnerabilidad afecta a una funcionalidad desconocida del archivo /admin_area/index.php. La manipulación del argumento edit_pack conduce a una inyección SQL. El ataque puede iniciarse de…

Se ha identificado una debilidad en ashraf-kabir travel-agency hasta 1f25aa03544bc5fb7a9e846f8a7879cecdb0cad3. Se ve afectada una función desconocida del archivo /customer_register.php. La manipulación ejecutada puede conducir a una carga sin restricciones. Es posible lanzar el ataque de forma remota. El exploit se ha…

Vulnerabilidad de neutralización inadecuada de la entrada durante la generación de páginas web ('Cross-site Scripting') en Camille V Travelers' Map travelers-map que permite XSS almacenado. Este problema afecta a Travelers' Map: desde n/a hasta <= 2.3.2.

alexusmai laravel-file-manager 3.3.1 es vulnerable a secuencias de comandos en sitios cruzados (XSS). La aplicación permite al usuario subir, crear y renombrar archivos de tipo HTML y SVG, y sirve esos archivos en línea sin una validación adecuada del tipo de contenido (content-type) ni una sanitización de la salida.

En las versiones de Brave Navegador de Escritorio anteriores a la 1.83.10 que tienen la función de vista dividida habilitada, el elemento del menú contextual 'Abrir enlace en vista dividida' no respetaba el atributo de cookie SameSite. Por lo tanto, las cookies SameSite=Strict se enviarían en una navegación entre…

Statmatic es un sistema de gestión de contenido (CMS) impulsado por Laravel y Git. Las vulnerabilidades de XSS almacenado en Colecciones y Taxonomías permiten a usuarios autenticados con permisos de creación de contenido inyectar JavaScript malicioso que se ejecuta cuando es visto por usuarios con mayores privilegios.…

Sharp es un framework de gestión de contenido construido para Laravel como un paquete. Antes de la versión 9.11.1, una vulnerabilidad de Cross-Site Scripting (XSS) fue descubierta en code16/sharp al renderizar contenido usando el componente SharpShowTextField. En las versiones afectadas, las expresiones envueltas en…

alexusmai laravel-file-manager 3.3.1 y versiones anteriores permite a un atacante autenticado lograr la Ejecución Remota de Código (RCE) a través de una carga de archivo manipulada. Un archivo con una extensión '.png' que contiene código PHP puede ser cargado a través de la interfaz del gestor de archivos. Aunque la…

Neutralización Incorrecta de la Entrada Durante la Generación de Páginas Web ('Cross-site Scripting') vulnerabilidad en WP Travel WP Travel Gutenberg Blocks wp-travel-blocks. Este problema afecta a WP Travel Gutenberg Blocks: desde n/a hasta menor o igual que 3.9.2.

HCL Traveler para Microsoft Outlook (HTMO) es susceptible a una fuga de credenciales lo que podría permitir a un atacante acceder a otros equipos o aplicaciones.

El plugin WP Travel Engine - Tour Booking Plugin - Tour Operator Software para WordPress es vulnerable a inclusión local de ficheros en todas las versiones hasta la 6.6.7, inclusive, a través del parámetro mode. Esto hace posible que atacantes no autenticados incluyan y ejecuten ficheros .php arbitrarios en el…

El plugin WP Travel Engine - Tour Booking Plugin - Tour Operator Software para WordPress es vulnerable a la eliminación arbitraria de archivos (mediante renombramiento) debido a una validación insuficiente de la ruta de archivo en la función set_user_profile_image en todas las versiones hasta la 6.6.7, inclusive. Esto…

Una vulnerabilidad de seguridad ha sido detectada en Projectworlds Online Tours and Travels 1.0. Afectada por esta vulnerabilidad es una funcionalidad desconocida del archivo /admin/change-image.PHP. La manipulación del argumento packageimage lleva a una carga sin restricciones. El ataque puede ser iniciado…

Vulnerabilidad de Neutralización Incorrecta de la Entrada Durante la Generación de Páginas Web ('cross-site scripting') en shinetheme Traveler permite XSS Reflejado. Este problema afecta a Traveler: desde n/a hasta n/a.

Vulnerabilidad de autorización faltante en shinetheme Traveler permite la explotación de niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a Traveler: desde n/a hasta n/a.

Vulnerabilidad de neutralización inadecuada de la entrada durante la generación de páginas web ('Cross-site Scripting') en WP Travel Engine WP Travel Engine wte-elementor-widgets que permite XSS almacenado. Este problema afecta a WP Travel Engine: desde n/a hasta <= 1.4.2.