Vulnerabilidades

El plugin de WordPress Add User Autocomplete anterior a 1.2 no realiza ninguna comprobación de capacidad ni de nonce antes de crear una invitación pendiente de pertenencia al sitio con un rol proporcionado por quien realiza la llamada, lo que permite a cualquier usuario autenticado, como un suscriptor, otorgarse a sí…

Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ("Cross-site Scripting") en Drupal Search API Autocomplete que permite XSS reflejado. Este problema afecta a las versiones de Search API Autocomplete: desde 0.0.0 hasta 1.12.0.

La vulnerabilidad de Cross Site Request Forgery (CSRF) en PluginsCafe Address Autocomplete via Google for Gravity Forms permite Cross Site Request Forgery. Este problema afecta al autocompletado de direcciones a través de Google para Gravity Forms desde n/d hasta la versión 1.3.4.

La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en NotFound Authors Autocomplete Meta Box permite XSS reflejado. Este problema afecta al cuadro de metadatos de autocompletar de autores: desde n/a hasta 1.2.

La vulnerabilidad de Cross-Site Request Forgery (CSRF) en Nik Chankov Autocompleter permite XSS almacenado. Este problema afecta a Autocompleter: desde n/a hasta 1.3.5.2.

El complemento Autocomplete Location field Contact Form 7 de WordPress anterior a 3.0, el complemento autocomplete-location-field-contact-form-7-pro de WordPress anterior a 2.0 no sanitiza ni escapa a algunas de sus configuraciones, lo que podría permitir a usuarios con privilegios elevados, como el administrador,…

ux-autocomplete es una funcionalidad de Autocompletar de JavaScript para Symfony. En determinadas circunstancias, un atacante podría enviar con éxito una identificación de entidad para un "EntityType" que *no* forma parte de las opciones válidas. El problema se ha solucionado en `symfony/ux-autocomplete` versión…

Vulnerabilidad de inyección SQL en el módulo City Autocomplete (cityautocomplete) de ebewe.net para PrestaShop, anterior a la versión 1.8.12 (para PrestaShop versión 1.5/1.6) o anterior a la 2.0.3 (para PrestaShop versión 1.7), que permite a atacantes remotos ejecutar comandos SQL arbitrarios mediante los parámetros…

El complemento WP AutoComplete Search de WordPress hasta la versión 1.0.4 no sanitiza ni escapa un parámetro antes de usarlo en una declaración SQL a través de un AJAX disponible para usuarios no autenticados, lo que lleva a una inyección SQL no autenticado.

El plugin Jenkins Autocomplete Parameter versiones 1.1 y anteriores, hace referencia a los nombres de los parámetros Dropdown Autocomplete y Autocomplete String de forma no segura desde Javascript incrustado en las definiciones de las visualizaciones, resultando en una vulnerabilidad de tipo cross-site scripting (XSS)…

Una vulnerabilidad de tipo cross-site request forgery (CSRF) en el plugin Jenkins Autocomplete Parameter versiones 1.1 y anteriores, permite a atacantes ejecutar código arbitrario sin protección de sandbox si la víctima es un administrador

El plugin Jenkins Autocomplete Parameter versiones 1.1 y anteriores, no escapa del nombre de los parámetros Dropdown Autocomplete y Auto Complete String en las vistas que muestran parámetros, resultando en una vulnerabilidad de tipo cross-site scripting (XSS) almacenada que puede ser explotada por atacantes con…

En el módulo de terceros Search Autocomplete de Drupal, en versiones anteriores a la 7.x-4.8, hay una vulnerabilidad Cross-Site Scripting (XSS). Este módulo permite autocompletar campos de texto utilizando datos de un sitio web (nodos, comentarios, etc.). El módulo no filtra totalmente el texto introducido por el…

Vulnerabilidad de XSS en el módulo Search API Autocomplete 7.x-1.x en versiones anteriores a 7.x-1.3 para Drupal, cuando el índice de búsqueda está configurado para utilizar el procesador de filtro HTML, permite a usuarios remotos autenticados con ciertos permisos inyectar secuencias de comandos web o HTML arbitrarios…

Vulnerabilidad no especificada en la rellamada de autocompletado AJAX en el módulo Biblio Autocomplete 6.x-1.x anterior a 6.x-1.1 y 7.x-1.x anterior a 7.x-1.5 para Drupal permite a atacantes remotos acceder a datos a través de vectores no especificados.

Vulnerabilidad de inyección SQL en el submódulo 'Biblio self autocomplete' en el módulo Biblio Autocomplete 6.x-1.x anterior a 6.x-1.1 y 7.x-1.x anterior a 7.x-1.5 para Drupal permite a atacantes remotos ejecutar comandos SQL arbitrarios a través de vectores no especificados.

La rellamada de autocompletar en Autocomplete Widgets for Text and Number Fields (autocomplete_widgets) módulo 6.x-1.x anterior a 6.x-1.4 y 7.x-1.x anterior a 7.x-1.0-rc1 no maneja debidamente permisos de nodo, loque permite a usuarios remotos autenticados obtener valores de campos sensibles a través de vectores no…

Múltiples vulnerabilidades de cross-site scripting (XSS) en el módulo Apache Solr Autocomplete v6.x-1.x antes de v6.x-1.4 y v7.x-1.x antes de v7.x-1.3 para Drupal que permite a atacantes remotos inyectar código arbitrario o HTML a través de vectores de autocompletado.

Vulnerabilidad de inyección SQL en el autocompletado de jQuery para la extensión indexed_search (rzautocomplete) antes de v0.0.9 de TYPO3 que permite a atacantes remotos ejecutar comandos SQL a través de vectores no especificados.

El módulo de Autocompletar Búsqueda ("Search Autocomplete") v7.x-2.x antes de v7.x-2.4 para Drupal no restringe adecuadamente el acceso a la página de administración del módulo, lo que permite a atacantes remotos deshabilitar el autocompletado o cambiar el orden de prioridad a través de vectores no especificados.

Vulnerabilidad de inyección SQL en el módulo Search Autocomplete anterior a la v7.x-2.1 para Drupal, permite a usuarios remotos autenticados con los permisos para usar "search_autocomplete", ejecutar comandos SQL de su elección a través de vectores no especificados.

Una vulnerabilidad de ejecución de comandos en sitios cruzaods (XSS) en el componente de autocompletado v3.0 de SquirrelMail permite a atacantes remotos inyectar HTML o scripts web a través de vectores no especificados.