Vulnerabilidades

El framework AIL es una plataforma de código abierto para recopilar, rastrear, procesar y analizar datos no estructurados. Antes de la versión 6.8, se identificó una vulnerabilidad de cross-site scripting (XSS) almacenado en la funcionalidad de vista previa de elementos modales. Cuando se procesaba contenido de un…

Kamailio es una implementación de código abierto de un servidor de señalización SIP. Antes de 6.0.5 y 5.8.7, una lectura fuera de límites en el módulo auth de Kamailio (anteriormente OpenSER y SER) permite a atacantes remotos causar una denegación de servicio (caída del proceso) a través de un paquete SIP…

Kamailio es una implementación de código abierto de un Servidor de Señalización SIP. Antes de 6.1.1, 6.0.6 y 5.8.8, un acceso fuera de límites en el núcleo de Kamailio (anteriormente OpenSER y SER) permite a atacantes remotos causar una denegación de servicio (caída del proceso) mediante un paquete de datos…

OpenAirInterface v2.2.0 acepta el Modo de Seguridad Completo sin ninguna protección de integridad. La configuración ha soportado integridad NIA1 y NIA2. Pero si un UE envía una solicitud de registro inicial con solo la capacidad de seguridad IA0, OpenAirInterface acepta y procede. Este contexto de seguridad degradado…

OpenAirInterface Versión 2.2.0 tiene una vulnerabilidad de desbordamiento de búfer al procesar UplinkNASTransport que contiene una Respuesta de Autenticación que contiene una PDU NAS con una respuesta de tamaño excesivo (por ejemplo, 100 bytes). La respuesta es decodificada por el AMF y pasada al componente AUSF para…

rfc3161-client es una biblioteca Python que implementa el Protocolo de Sellado de Tiempo (TSP) descrito en la RFC 3161. Antes de la versión 1.0.6, una vulnerabilidad de omisión de autorización en la verificación de firma de rfc3161-client permite a cualquier atacante suplantar a una Autoridad de Sellado de Tiempo…

Vulnerabilidad por falta de autorización en mailercloud Mailercloud - Integrate webforms and synchronize website contacts mailercloud-integrate-webforms-synchronize-contacts permite la explotación de niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a Mailercloud - Integrate…

Vulnerabilidad de autorización faltante en massiveshift AI Workflow Automation ai-workflow-automation-lite permite la explotación de niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a AI Workflow Automation: desde n/a hasta <= 1.4.2.

Vulnerabilidad por falta de autorización en HBSS Technologies MAIO &#8211; The new AI GEO / SEO tool maio-the-new-ai-geo-seo-tool permite explotar niveles de seguridad de control de acceso mal configurados. Este problema afecta a MAIO &#8211; The new AI GEO / SEO tool: desde n/a hasta <= 6.2.8.

Vulnerabilidad de Inserción de Información Sensible en Datos Enviados en Ateeq Rafeeq RepairBuddy tienda de reparación de computadoras permite Recuperar Datos Sensibles Incrustados. Este problema afecta a RepairBuddy: desde n/a hasta <= 4.1132.

Vulnerabilidad por falta de autorización en Jordy Meow AI Engine (Pro) ai-engine-pro permite explotar niveles de seguridad de control de acceso mal configurados. Este problema afecta a AI Engine (Pro): desde n/a hasta < 3.4.2.

Vulnerabilidad de neutralización incorrecta de elementos especiales utilizados en un comando SQL ('inyección SQL') en YayCommerce YayMail yaymail permite inyección SQL ciega. Este problema afecta a YayMail: desde n/a hasta <= 4.3.3.

Neutralización Inadecuada de Elementos Especiales utilizados en un Comando SQL ('Inyección SQL') vulnerabilidad en Brainstorm Force OttoKit suretriggers permite Inyección SQL Ciega. Este problema afecta a OttoKit: desde n/a hasta <= 1.1.20.

Vulnerabilidad por ausencia de autorización en Brainstorm Force CartFlows cartflows permite la explotación de niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a CartFlows: desde n/a hasta <= 2.2.3.

El plugin MainWP Child Reports para WordPress es vulnerable a la falta de autorización en todas las versiones hasta la 2.2.6 inclusive. Esto se debe a una verificación de capacidad faltante en la función heartbeat_received() de la clase Live_Update. Esto hace posible que atacantes autenticados, con acceso de nivel…

IBM Verify Identity Access Contenedor 11.0 hasta 11.0.2 y IBM Security Verify Access Contenedor 10.0 hasta 10.0.9.1 y IBM Verify Identity Access 11.0 hasta 11.0.2 y IBM Security Verify Access 10.0 hasta 10.0.9.1 podrían permitir a un usuario autenticado localmente escalar sus privilegios a root debido a la ejecución…

IBM Verify Identity Access Contenedor 11.0 hasta 11.0.2 y IBM Security Verify Access Contenedor 10.0 hasta 10.0.9.1 y IBM Verify Identity Access 11.0 hasta 11.0.2 y IBM Security Verify Access 10.0 hasta 10.0.9.1 permite a un atacante contactar puntos finales de autenticación internos que están protegidos por el Proxy…

IBM Verify Identity Access Contenedor 11.0 hasta 11.0.2 y IBM Security Verify Access Contenedor 10.0 hasta 10.0.9.1 y IBM Verify Identity Access 11.0 hasta 11.0.2 y IBM Security Verify Access 10.0 hasta 10.0.9.1 podrían permitir a un usuario autenticado localmente ejecutar scripts maliciosos desde fuera de su esfera…

Neutralización incorrecta de la entrada durante la generación de páginas web ('cross-site scripting') vulnerabilidad en la extensión CampaignEvents de Mediawiki de The Wikimedia Foundation permite Cross-Site Scripting (XSS). Este problema afecta a la extensión CampaignEvents de Mediawiki: 1.43.7, 1.44.4, 1.45.2.

Aardvark-dns es un servidor DNS autoritativo para registros de contenedor A/AAAA. Desde 1.16.0 hasta 1.17.0, una consulta DNS TCP truncada seguida de un reinicio de conexión provoca que aardvark-dns entre en un bucle de error infinito irrecuperable al 100% de CPU. Esta vulnerabilidad está corregida en 1.17.1.

PraisonAI is a multi-agent teams system. Prior to 1.5.113, PraisonAI's recipe registry publish endpoint writes uploaded recipe bundles to a filesystem path derived from the bundle's internal manifest.json before it verifies that the manifest name and version match the HTTP route. A malicious publisher can place ../…

PraisonAI is a multi-agent teams system. Prior to 1.5.113, The PraisonAI templates installation feature is vulnerable to a "Zip Slip" Arbitrary File Write attack. When downloading and extracting template archives from external sources (e.g., GitHub), the application uses Python's zipfile.extractall() without verifying…

PraisonAI is a multi-agent teams system. Prior to 1.5.113, PraisonAI's recipe registry pull flow extracts attacker-controlled .praison tar archives with tar.extractall() and does not validate archive member paths before extraction. A malicious publisher can upload a recipe bundle that contains ../ traversal entries…

PraisonAI is a multi-agent teams system. Prior to 1.5.113, the Action Orchestrator feature contains a Path Traversal vulnerability that allows an attacker (or compromised agent) to write to arbitrary files outside of the configured workspace directory. By supplying relative path segments (../) in the target path,…

PraisonAI is a multi-agent teams system. Prior to 1.5.113, _validate_path() calls os.path.normpath() first, which collapses .. sequences, then checks for '..' in normalized. Since .. is already collapsed, the check always passes. This makes the check completely useless and allows trivial path traversal to any file on…