Vulnerabilidades

Se informó de una posible vulnerabilidad en las cámaras web Lenovo 510 FHD y Performance FHD que podría permitir a un atacante con acceso físico escribir actualizaciones de firmware arbitrarias en el dispositivo a través de una conexión USB.

Una vulnerabilidad de cross-site scripting (XSS) reflejado en Liferay Portal 7.4.0 a 7.4.3.132, y Liferay DXP 2025.Q1.0 a 2025.Q1.8, 2024.Q4.0 a 2024.Q4.7, 2024.Q3.1 a 2024.Q3.13, 2024.Q2.0 a 2024.Q2.13, 2024.Q1.1 a 2024.Q1.16 y 7.4 GA hasta la actualización 92 permite que un usuario autenticado remoto inyecte…

Liferay Portal 7.4.0 a 7.4.3.132, y Liferay DXP 2025.Q1.0 a 2025.Q1.10, 2024.Q4.0 a 2024.Q4.7, 2024.Q3.1 a 2024.Q3.13, 2024.Q2.1 a 2024.Q2.13, 2024.Q1.1 a 2024.Q1.17 y 7.4 GA hasta la actualización 92 son vulnerables a una Referencia Directa a Objetos Insegura (IDOR) en el parámetro groupId del…

Una vulnerabilidad de cross-site scripting (XSS) reflejado en Liferay Portal 7.4.3.132 y Liferay DXP 2025.Q1.0 a 2025.Q1.7 permite a un atacante remoto autenticado inyectar código JavaScript a través del campo de nombre de la página de contenido. Este payload malicioso se refleja y se ejecuta en el navegador del…

Se identificó una vulnerabilidad en Acrel Environmental Monitoring Cloud Platform hasta la versión 20250804. Esta afecta a una parte desconocida del archivo /NewsManage/UploadNewsImg. La manipulación del argumento "File" permite la carga sin restricciones. El ataque puede ejecutarse en remoto. Se ha hecho público el…

Se encontró una vulnerabilidad en Euro Information CIC banque et compte en ligne App 12.56.0 para Android. Esta vulnerabilidad afecta a una funcionalidad desconocida del archivo AndroidManifest.xml del componente com.cic_prod.bad. Esta manipulación provoca la exportación incorrecta de componentes de la aplicación…

El complemento Drag and Drop Multiple File Upload for Contact Form 7 para WordPress es vulnerable a Directory traversal en todas las versiones hasta la 1.3.9.0 incluida, a través de la cookie wpcf7_guest_user_id. Esto permite que atacantes no autenticados suban y eliminen archivos fuera del directorio original. El…

El complemento Bit Form Builder para WordPress es vulnerable a la carga de archivos arbitrarios debido a la falta de validación del tipo de archivo en todas las versiones hasta la 2.20.4 incluida. Esto permite que atacantes no autenticados carguen archivos arbitrarios en el servidor del sitio afectado, lo que podría…

La vulnerabilidad de carga sin restricciones de archivos con tipo peligroso en elepiphyt Form Block permite cargar un shell web a un servidor web. Este problema afecta a Form Block desde n/d hasta la versión 1.5.5.

La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en CRM Perks Integration for Contact Form 7 and Constant Contact permite XSS almacenado. Este problema afecta a Integration for Contact Form 7 and Constant Contact desde n/d hasta la versión 1.1.7.

Cross-Site Request Forgery (CSRF) en CRM Perks Connector para Gravity Forms y Google Sheets permite Cross Site Request Forgery. Este problema afecta al Conector para Gravity Forms y Hojas de Cálculo de Google desde la versión n/d hasta la 1.2.4.

La vulnerabilidad de redirección de URL a un sitio no confiable ('Open Redirect') en CRM Perks Connector for Gravity Forms and Google Sheets permite el phishing. Este problema afecta a Connector for Gravity Forms and Google Sheets: desde n/d hasta la versión 1.2.4.

La vulnerabilidad de neutralización incorrecta de elementos especiales utilizados en un comando SQL ('Inyección SQL') en hassantafreshi Easy Form Builder permite la inyección SQL ciega. Este problema afecta a Easy Form Builder desde n/d hasta la versión 3.8.15.

La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en Alvind Billplz Addon for Contact Form 7 permite XSS reflejado. Este problema afecta a Billplz Addon for Contact Form 7 desde n/d hasta la versión 1.2.0.

La vulnerabilidad de carga sin restricciones de archivos con tipos peligrosos en Made I.T. Forms permite cargar un shell web a un servidor web. Este problema afecta a Forms desde n/d hasta la versión 2.9.0.

Se ha encontrado una vulnerabilidad en projectworlds Online Notes Sharing Platform 1.0. Esta vulnerabilidad afecta al código desconocido del archivo /login.php. La manipulación del argumento "User" provoca una inyección SQL. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado.

NVIDIA Merlin Transformers4Rec para todas las plataformas contiene una vulnerabilidad en una dependencia de Python, donde un atacante podría causar un problema de inyección de código. Una explotación exitosa de esta vulnerabilidad podría provocar la ejecución de código, la escalada de privilegios, la divulgación de…

El complemento Contact Form 7, WPforms, Elementor forms para WordPress es vulnerable a la inyección de objetos PHP en todas las versiones hasta la 1.4.3 incluida, mediante la deserialización de entradas no confiables en la función get_lead_detail. Esto permite a atacantes no autenticados inyectar un objeto PHP. La…

Una vulnerabilidad cross-site scripting (XSS) reflejado en Liferay Portal (versiones 7.4.0 a 7.4.3.132) y Liferay DXP (versiones 2025.Q1.0 a 2025.Q1.10, 2024.Q4.0 a 2024.Q4.7, 2024.Q3.1 a 2024.Q3.13, 2024.Q2.1 a 2024.Q2.13, 2024.Q1.1 a 2024.Q1.16) y 7.4 GA (versión 7.4 GA) hasta la actualización 92 permite a un…

La exposición de información confidencial a un actor no autorizado para algún software Edge Orchestrator anterior a la versión 24.11.1 para Intel(R) Tiber(TM) Edge Platform puede permitir que un usuario autenticado potencialmente habilite la denegación de servicio a través del acceso adyacente.

El consumo descontrolado de recursos de algunos programas Edge Orchestrator anteriores a la versión 24.11.1 para Intel(R) Tiber(TM) Edge Platform puede permitir que un usuario no autenticado habilite potencialmente la denegación de servicio a través del acceso local.

La validación de entrada incorrecta para algunos programas Edge Orchestrator anteriores a la versión 24.11.1 para Intel(R) Tiber(TM) Edge Platform puede permitir que un usuario autenticado habilite potencialmente la escalada de privilegios a través del acceso adyacente.

El consumo descontrolado de recursos de algunos programas Edge Orchestrator anteriores a la versión 24.11.1 para Intel(R) Tiber(TM) Edge Platform puede permitir que un usuario autenticado habilite potencialmente la denegación de servicio a través del acceso adyacente.

El consumo descontrolado de recursos de algunos programas Edge Orchestrator anteriores a la versión 24.11.1 para Intel(R) Tiber(TM) Edge Platform puede permitir que un usuario autenticado habilite potencialmente la denegación de servicio a través del acceso adyacente.

La neutralización incorrecta de algún software Edge Orchestrator anterior a la versión 24.11.1 para Intel(R) Tiber(TM) Edge Platform puede permitir que un usuario no autenticado potencialmente habilite la divulgación de información a través del acceso adyacente.