Vulnerabilidades

Exposición de información confidencial a una vulnerabilidad de actor no autorizado en Osamaesh WP Visitor Statistic (tráfico en tiempo real) de Osamaesh. Este problema afecta a WP Visitor Statistics (tráfico en tiempo real): desde n/a hasta 6.9.4.

El plugin de WordPress WP Visitor Statistics (Real Time Traffic), en versiones anteriores a la 6.9, no escapa la entrada del usuario que se concatena a una consulta SQL, lo que permite a visitantes no autenticados llevar a cabo ataques de inyección SQL.

El plugin de WordPress WP Visitor Statistics (Real Time Traffic) anterior a la versión 6.5 no valida ni escapa uno de los atributos de su shortcode, lo que podría permitir que usuarios con un rol tan bajo como el de colaborador lleven a cabo un ataque de secuencias de comandos en sitios cruzados (XSS) almacenadas.

Múltiples vulnerabilidades de inyección SQL no autenticada (SQLi) en el plugin Osamaesh WP Visitor Statistics versiones anteriores a 5.7 incluyéndola, en WordPress

El plugin WP Visitor Statistics (Real Time Traffic) de WordPress versiones anteriores a 5.6, no sanea y escapa del parámetro id antes de usarlo en una sentencia SQLpor medio de la acción AJAX refUrlDetails, disponible para cualquier usuario autenticado, conllevando a una inyección SQL

El plugin WP Visitor Statistics (Real Time Traffic) de WordPress versiones anteriores a 5.5, no presenta comprobaciones de autorización y CSRF en la acción AJAX updateIpAddress, permitiendo a cualquier usuario autenticado llamarla, o hacer que un usuario conectado lo haga por medio de un ataque de tipo CSRF y añada…

El plugin WP Visitor Statistics (Real Time Traffic) de WordPress versiones anteriores a 4.8, no sanea y escapa correctamente de la refUrl en la acción refDetails AJAX, disponible para cualquier usuario autenticado, que podría permitir a usuarios con un rol tan bajo como el de suscriptor llevar a cabo ataques de…

Vulnerabilidad de inyección de eval (evaluación directa de código dinámico) en codepress.html de CodePress versiones anteriores a 0.9.4 permite a atacantes remotos ejecutar código de su elección mediante una entrada concreta que se usa en una llamada a la función eval.