Vulnerabilidades

Secuencias de comandos en sitios cruzados (XSS) por parte de un colaborador en Location Weather en versiones <= 3.0.6.

El plugin Location Weather para WordPress es vulnerable a la modificación no autorizada de datos debido a la falta de comprobaciones de capacidad en las funciones 'splw_update_block_options()' y 'lwp_clean_weather_transients()' en todas las versiones hasta la 3.0.2, inclusive. Esto permite a atacantes autenticados,…

El 11 de mayo de 2026, entre aproximadamente las 19:20 y las 19:26 UTC, se publicaron en el registro de npm 84 versiones maliciosas de 42 paquetes @tanstack/*. Las publicaciones se autenticaron mediante la vinculación OIDC de editor de confianza de GitHub Actions, legítima para TanStack/router, pero el propio flujo de…

El plugin WP NG Weather para WordPress es vulnerable a cross-site scripting almacenado a través del shortcode 'ng-weather' del plugin en todas las versiones hasta la 1.0.9, inclusive, debido a una sanitización de entrada y un escape de salida insuficientes en los atributos proporcionados por el usuario. Esto hace…

Una webshell sin usar en MicroServer permite intentos de inicio de sesión ilimitados, con derechos de sudo en ciertos archivos y directorios. Un atacante con acceso de administrador a MicroServer puede obtener acceso limitado a la shell, lo que permite la persistencia a través de shells inversas, y la capacidad de…

Una función no utilizada en MicroServer puede iniciar una conexión SSH inversa a un dominio registrado por el proveedor, sin autenticación mutua. Un atacante en la red local con acceso de administrador al servidor web, y la capacidad de manipular respuestas DNS, puede redirigir la conexión SSH a un dispositivo…

Vulnerabilidad de limitación incorrecta de una ruta a un directorio restringido ('Path Traversal') en machouinard Aviation Weather from NOAA permite Path Traversal. Este problema afecta a Aviation Weather de la NOAA desde n/d hasta la versión 0.7.2.

La vulnerabilidad de control incorrecto del nombre de archivo para la instrucción Include/Require en un programa PHP («Inclusión remota de archivos en PHP») en John Russell National Weather Service Alerts permite la inclusión local de archivos en PHP. Este problema afecta a las Alertas del Servicio Meteorológico…

Existe una vulnerabilidad de cross site scripting en el widget AccuWeather y Custom RSS que permite que un usuario no autenticado reemplace la URL de la fuente RSS por una maliciosa.

Personal Weather Station Dashboard 12_lts permite a atacantes remotos no autenticados leer archivos arbitrarios a través del directory traversal ../ en el parámetro de prueba a /others/_test.php, como se demuestra al leer la clave SSL privada del servidor en texto plano.

La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en MorganF Weather Layer permite XSS almacenado. Este problema afecta a Weather Layer desde n/d hasta la versión 4.2.1.

Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en matt_mcbrien WP SimpleWeather permite XSS almacenado. Este problema afecta a WP SimpleWeather: desde n/a hasta 0.2.5.

Se ha identificado una vulnerabilidad de seguridad en Visual Weather de IBL Software Engineering y productos derivados (NAMIS, Aero Weather, Satellite Weather). La vulnerabilidad está presente en el componente Product Delivery Service (PDS) en configuraciones de servidor específicas donde la canalización PDS utiliza…

La vulnerabilidad de Cross-Site Request Forgery (CSRF) en Eduardo Chiaro addWeather permite Cross Site Request Forgery. Este problema afecta a addWeather: desde n/a hasta 2.5.1.

Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en Weather Atlas El widget Weather Atlas permite XSS reflejado. Este problema afecta al widget Weather Atlas: desde n/a hasta 3.0.1.

La vulnerabilidad de neutralización inadecuada de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en El tiempo Weather Widget Pro permite XSS Almacenado. Este problema afecta a Weather Widget Pro: desde n/a hasta 1.1.40.

Se informó una vulnerabilidad de intención implícita para la aplicación Time Weather Widget de Motorola que podría permitir que una aplicación local adquiera la ubicación del dispositivo sin autorización.

** NO SOPORTADO CUANDO ASIGNÓ ** Una vulnerabilidad clasificada como problemática fue encontrada en jurecapuder AndroidWeatherApp 1.0.0 en Android. Una función desconocida del archivo androidmanifest.xml del componente Backup File Handler es afectada por esta vulnerabilidad. La manipulación conduce a la exposición del…

El complemento Weather Atlas Widget para WordPress es vulnerable a Cross-Site Scripting Almacenado a través del código abreviado 'shortcode-weather-atlas' en versiones hasta la 1.2.1 incluida debido a una sanitización de entrada insuficiente y a un escape de salida en los atributos proporcionados por el usuario. Esto…

Vulnerabilidad de Cross-Site Request Forgery (CSRF) en el complemento Webcodin WCP OpenWeather en versiones <= 2.5.0.

La neutralización inadecuada de Elementos Especiales utilizados en una vulnerabilidad de comando SQL ('inyección SQL') en Ncode Ncep permite la inyección SQL. Este problema afecta a Ncep: antes de 20230914.

El complemento Awesome Weather Widget para WordPress es vulnerable a Cross-Site Scripting (XSS) almacenado a través del código corto 'awesome-weather' en versiones hasta la 3.0.2 inclusive debido a una sanittización de entrada insuficiente y a un escape de salida en los atributos proporcionados por el usuario. Esto…

Vulnerabilidad de Cross-Site Scripting (XSS) Reflejada en el plugin WCP OpenWeather de Webcodin que afecta a las versiones 2.5.0 e inferiores. Para explotar esta vulnerabilidad no hace falta estar autenticado.

Vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) en el plugin Weather Station de Jason Rouet, versiones <= 3.8.12.

Un problema detectado en BestWeather v.7.3.1 para Android permite que aplicaciones no autorizadas provoquen un ataque de denegación de servicio persistente mediante la manipulación de la base de datos.