Vulnerabilidades

Secuencias de comandos en sitios cruzados (XSS) sin autenticación en WP Mailster en versiones <= 1.9.0.0.

Control de acceso roto (con rol de suscriptor) en Delete All Comments of wordpress en versiones <= 7.1.

Escalada de privilegios (con rol de suscriptor) en WP User Profiles en versiones <= 2.7.3.

Vulnerabilidad de omisión sin autenticación en Zero Spam en versiones <= 5.7.11.

Secuencias de comandos en sitios cruzados (XSS) sin autenticación en Form Block en versiones <= 1.8.1.

Escalada de privilegios (con rol de editor) en Import and export users and customers en versiones <= 2.5.5.

Inyección de objetos PHP sin autenticación en Haaken en versiones <= 1.5.

Secuencias de comandos en sitios cruzados (XSS) sin autenticación en GiveWP en versiones <= 4.17.0.

Secuencias de comandos en sitios cruzados (XSS) sin autenticación en LearnPress en versiones <= 4.4.9.

Control de acceso roto sin autenticación en picu en versiones <= 3.10.1.

Escalada de privilegios sin autenticación en GiveWP en versiones <= 4.17.0.

Vulnerabilidad de inserción de información sensible en los datos enviados en StylemixThemes Motors que permite recuperar datos sensibles incrustados. Este problema afecta a Motors: desde n/a hasta 1.4.124.

Secuencias de comandos en sitios cruzados (XSS) sin autenticación en picu en versiones <= 3.10.1.

Secuencias de comandos en sitios cruzados (XSS) sin autenticación en Charitable en versiones <= 1.8.12.3.

Control de acceso roto sin autenticación en PowerPress Podcasting en versiones <= 11.17.9.

Exposición de datos sensibles sin autenticación en Groundhogg en versiones <= 4.8.3.

Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('secuencias de comandos en sitios cruzados') en Tomlister Payflex Payment Gateway payflex-payment-gateway que permite XSS reflejado. Este problema afecta a Payflex Payment Gateway: desde n/a hasta 2.7.1.

Control de acceso roto (con rol de suscriptor) en WPO365 en versiones <= 44.1.

Exposición de datos sensibles sin autenticación en Xserver Migrator en versiones <= 1.6.6.

Autenticación rota sin autenticación en Advanced Google reCAPTCHA en versiones <= 5.40.

Esta vulnerabilidad existe en la aplicación Schmooze debido al uso de credenciales y claves criptográficas codificadas de forma fija en la aplicación cliente. Un atacante remoto no autenticado podría explotar esta vulnerabilidad descompilando el paquete de la aplicación distribuida y extrayendo las credenciales y…

Se ha encontrado una vulnerabilidad en SourceCodester Simple Student Information System 1.0. Afecta a una parte desconocida del archivo searchquery.php. Realizar una manipulación provoca inyección SQL. El ataque puede iniciarse de forma remota.

Se ha encontrado un fallo en la implementación de OIDC de Keycloak, concretamente en el flujo Device Authorization Grant. Este componente permite a dispositivos con capacidades de entrada limitadas obtener tokens de seguridad. El problema se produce porque el flujo no comprueba el nivel mínimo de autenticación exigido…

El plugin elegro Crypto Payment de WordPress hasta la versión 1.0.1 no exige que se configure un secreto compartido antes de confiar en las solicitudes entrantes de notificación de pago, lo que permite a atacantes no autenticados falsificar confirmaciones de pago y cambiar el estado de pedidos arbitrarios en cualquier…

Un atacante remoto no autenticado puede modificar los datos de submodelos de Asset Administration Shell mediante solicitudes PATCH y puede leer todos los datos expuestos por los endpoints GET.