Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • Vulnerabilidad en TOBY-L2 (CVE-2023-0011)
    Severidad: Pendiente de análisis
    Fecha de publicación: 20/12/2023
    Fecha de última actualización: 04/01/2024
    Un fallo en la validación de entrada en TOBY-L2 permite a un usuario ejecutar comandos arbitrarios del sistema operativo utilizando comandos AT específicamente manipulados. Esta vulnerabilidad requiere acceso físico a la interfaz serie del módulo o la capacidad de modificar el sistema o software que utiliza su interfaz serie para enviar comandos AT maliciosos. La explotación de la vulnerabilidad otorga privilegios administrativos (root) completos al atacante para ejecutar cualquier comando del sistema operativo en TOBY-L2, lo que puede conducir a la modificación del comportamiento del módulo en sí, así como de los componentes conectados con él (dependiendo de sus derechos en otros sistemas conectados). Además, puede proporcionar la capacidad de leer archivos a nivel del sistema y también obstaculizar la disponibilidad del módulo. Este problema afecta a la serie TOBY-L2: TOBY-L200, TOBY-L201, TOBY-L210, TOBY-L220, TOBY-L280.
  • Vulnerabilidad en Apache Pulsar WebSocket Proxy (CVE-2023-37544)
    Severidad: Pendiente de análisis
    Fecha de publicación: 20/12/2023
    Fecha de última actualización: 04/01/2024
    Vulnerabilidad de autenticación incorrecta en Apache Pulsar WebSocket Proxy permite a un atacante conectarse al endpoint /pingpong sin autenticación. Este problema afecta a Apache Pulsar WebSocket Proxy: desde 2.8.0 hasta 2.8.*, desde 2.9.0 hasta 2.9.*, desde 2.10.0 hasta 2.10.4, desde 2.11.0 hasta 2.11.1, 3.0.0. Los riesgos conocidos incluyen una denegación de servicio debido a que WebSocket Proxy acepta cualquier conexión y una transferencia excesiva de datos debido al mal uso de la función de ping/pong de WebSocket. 2.10 Los usuarios de Pulsar WebSocket Proxy deben actualizar al menos a 2.10.5. 2.11 Los usuarios de Pulsar WebSocket Proxy deben actualizar al menos a 2.11.2. 3.0 Los usuarios de Pulsar WebSocket Proxy deben actualizar al menos a 3.0.1. 3.1 Los usuarios de Pulsar WebSocket Proxy no se ven afectados. Cualquier usuario que ejecute Pulsar WebSocket Proxy para 2.8, 2.9 y versiones anteriores debe actualizar a una de las versiones parcheadas anteriores.
  • Vulnerabilidad en ClickHouse server (CVE-2023-47118)
    Severidad: Pendiente de análisis
    Fecha de publicación: 20/12/2023
    Fecha de última actualización: 04/01/2024
    ClickHouse® es un sistema de gestión de bases de datos orientado a columnas de código abierto que permite generar informes de datos analíticos en tiempo real. Se descubrió un problema de desbordamiento de búfer de almacenamiento dinámico en el servidor ClickHouse. Un atacante podría enviar un payload especialmente manipulado a la interfaz nativa expuesta de forma predeterminada en el puerto 9000/tcp, lo que desencadenaría un error en la lógica de descompresión del códec T64 que bloquearía el proceso del servidor ClickHouse. Este ataque no requiere autenticación. Tenga en cuenta que esta explotación también se puede activar a través del protocolo HTTP; sin embargo, el atacante necesitará unas credenciales válidas ya que la autenticación HTTP se realiza primero. Este problema se solucionó en la versión 23.10.2.13-stable, 23.9.4.11-stable, 23.8.6.16-lts y 23.3.16.7-lts.
  • Vulnerabilidad en Windows Local Session Manager (CVE-2022-44684)
    Severidad: Pendiente de análisis
    Fecha de publicación: 20/12/2023
    Fecha de última actualización: 04/01/2024
    Vulnerabilidad de denegación de servicio de Windows Local Session Manager (LSM)
  • Vulnerabilidad en SmarterTools SmarterMai (CVE-2023-48114)
    Severidad: Pendiente de análisis
    Fecha de publicación: 21/12/2023
    Fecha de última actualización: 04/01/2024
    SmarterTools SmarterMail 8495 a 8664 antes de 8747 permite XSS almacenado usando image/svg+xml y un documento SVG cargado. Esto ocurre porque la aplicación intenta permitir las URL de youtube.com, pero en realidad permite youtube.com seguido de un carácter @ y un nombre de dominio controlado por el atacante.
  • Vulnerabilidad en SmarterTools SmarterMai (CVE-2023-48115)
    Severidad: Pendiente de análisis
    Fecha de publicación: 21/12/2023
    Fecha de última actualización: 04/01/2024
    SmarterTools SmarterMail 8495 a 8664 antes de 8747 permite DOM XSS almacenado porque se omite un mecanismo de protección XSS cuando messageHTML y messagePlainText se configuran en la misma solicitud.
  • Vulnerabilidad en SmarterTools SmarterMai (CVE-2023-48116)
    Severidad: Pendiente de análisis
    Fecha de publicación: 21/12/2023
    Fecha de última actualización: 04/01/2024
    SmarterTools SmarterMail 8495 a 8664 antes de 8747 permite almacenar XSS a través de una descripción manipulada de una cita del Calendario.
  • Vulnerabilidad en Devolutions Remote Desktop Manager (CVE-2023-7047)
    Severidad: Pendiente de análisis
    Fecha de publicación: 21/12/2023
    Fecha de última actualización: 04/01/2024
    La validación inadecuada de permisos al emplear herramientas remotas y macros a través del menú contextual dentro de las versiones 2023.3.31 y anteriores de Devolutions Remote Desktop Manager permite a un usuario iniciar una conexión sin los derechos de ejecución adecuados a través de la función de herramientas remotas. Esto afecta sólo a las fuentes de datos SQL.
  • Vulnerabilidad en XWiki Platform (CVE-2023-50732)
    Severidad: Pendiente de análisis
    Fecha de publicación: 21/12/2023
    Fecha de última actualización: 04/01/2024
    XWiki Platform es una plataforma wiki genérica que ofrece servicios de ejecución para aplicaciones creadas sobre ella. Es posible ejecutar un script de Velocity sin script directamente a través del árbol de documentos. Esto ha sido parcheado en XWiki 14.10.7 y 15.2RC1.
  • Vulnerabilidad en Sandbox Accounts for Event (CVE-2023-51386)
    Severidad: Pendiente de análisis
    Fecha de publicación: 22/12/2023
    Fecha de última actualización: 04/01/2024
    Sandbox Accounts for Events proporciona múltiples cuentas temporales de AWS a varios usuarios autenticados simultáneamente a través de una GUI basada en navegador. Los usuarios autenticados podrían leer datos de la tabla de eventos enviando payloads de solicitudes a la API de eventos, recopilando información sobre eventos planificados, plazos, presupuestos y direcciones de correo electrónico de los propietarios. Este acceso a los datos puede permitir a los usuarios obtener información sobre los próximos eventos y unirse a eventos a los que no han sido invitados. Este problema se solucionó en la versión 1.10.0.
  • Vulnerabilidad en Red Hat Enterprise Linux (CVE-2023-7008)
    Severidad: Pendiente de análisis
    Fecha de publicación: 23/12/2023
    Fecha de última actualización: 04/01/2024
    Se encontró una vulnerabilidad en systemd-resolved. Este problema puede permitir que systemd-resolved acepte registros de dominios firmados por DNSSEC incluso cuando no tienen firma, lo que permite que los intermediarios (o el solucionador de DNS ascendente) manipulen los registros.
  • Vulnerabilidad en OpenSSH (CVE-2023-51767)
    Severidad: Pendiente de análisis
    Fecha de publicación: 24/12/2023
    Fecha de última actualización: 04/01/2024
    OpenSSH hasta 9.6, cuando se utilizan tipos comunes de DRAM, podría permitir row hammer attacks (para omitir la autenticación) porque el valor entero de autenticado en mm_answer_authpassword no resiste cambios de un solo bit. NOTA: esto es aplicable a un determinado modelo de amenaza de ubicación conjunta entre atacante y víctima en el que el atacante tiene privilegios de usuario.
  • Vulnerabilidad en icret EasyImages 2.8.3 (CVE-2023-7098)
    Severidad: BAJA
    Fecha de publicación: 25/12/2023
    Fecha de última actualización: 04/01/2024
    ** NO SOPORTADO CUANDO SE ASIGNÓ ** Una vulnerabilidad clasificada como problemática fue encontrada en icret EasyImages 2.8.3. Esta vulnerabilidad afecta a un código desconocido del archivo app/hide.php. La manipulación de la clave del argumento conduce a path traversal: '../filedir'. El ataque se puede iniciar de forma remota. La complejidad de un ataque es bastante alta. La explotación parece difícil. La explotación ha sido divulgada al público y puede utilizarse. VDB-248950 es el identificador asignado a esta vulnerabilidad. NOTA: Esta vulnerabilidad solo afecta a productos que ya no son compatibles con el fabricante.
  • Vulnerabilidad en WP Mail Log WordPress plugin (CVE-2023-5674)
    Severidad: Pendiente de análisis
    Fecha de publicación: 26/12/2023
    Fecha de última actualización: 04/01/2024
    El complemento WP Mail Log WordPress anterior a 1.1.3 no sanitiza ni escapa adecuadamente un parámetro antes de usarlo en una declaración SQL, lo que lleva a una inyección SQL explotable por usuarios con un rol tan bajo como Colaborador.
  • Vulnerabilidad en rtMedia for WordPress, BuddyPress and bbPress WordPress plugin (CVE-2023-5931)
    Severidad: Pendiente de análisis
    Fecha de publicación: 26/12/2023
    Fecha de última actualización: 04/01/2024
    El complemento rtMedia para WordPress, BuddyPress y bbPress WordPress anterior a 4.6.16 no valida los archivos que se cargarán, lo que podría permitir a atacantes con una cuenta con pocos privilegios (por ejemplo, suscriptores) cargar archivos arbitrarios como PHP en el servidor.
  • Vulnerabilidad en rtMedia for WordPress, BuddyPress and bbPress WordPress plugin (CVE-2023-5939)
    Severidad: Pendiente de análisis
    Fecha de publicación: 26/12/2023
    Fecha de última actualización: 04/01/2024
    El complemento rtMedia para WordPress, BuddyPress y bbPress WordPress anterior a 4.6.16 carga el contenido del archivo de importación de forma insegura, lo que provoca la ejecución remota de código por parte de usuarios privilegiados.
  • Vulnerabilidad en hutool-core v5.8.23 (CVE-2023-51080)
    Severidad: Pendiente de análisis
    Fecha de publicación: 27/12/2023
    Fecha de última actualización: 04/01/2024
    Se descubrió que el método NumberUtil.toBigDecimal en hutool-core v5.8.23 contenía un desbordamiento de pila.
  • Vulnerabilidad en hyavijava v6.0.07.1 (CVE-2023-51084)
    Severidad: Pendiente de análisis
    Fecha de publicación: 27/12/2023
    Fecha de última actualización: 04/01/2024
    Se descubrió que hyavijava v6.0.07.1 contenía un desbordamiento de pila mediante el método ResultConverter.convert2Xml.
  • Vulnerabilidad en ArtistScope ArtisBrowser (CVE-2023-49000)
    Severidad: Pendiente de análisis
    Fecha de publicación: 27/12/2023
    Fecha de última actualización: 04/01/2024
    Un problema en ArtistScope ArtisBrowser v.34.1.5 y anteriores permite a un atacante omitir las restricciones de acceso previstas mediante la interacción con el componente com.artis.browser.IntentReceiverActivity.
  • Vulnerabilidad en Indi Browser v.12.11.23 (CVE-2023-49001)
    Severidad: Pendiente de análisis
    Fecha de publicación: 27/12/2023
    Fecha de última actualización: 04/01/2024
    Un problema en Indi Browser (aka kvbrowser) v.12.11.23 permite a un atacante omitir las restricciones de acceso previstas mediante la interacción con el componente com.example.gurry.kvbrowswer.webview.
  • Vulnerabilidad en simplemobiletools Simple Dialer 5.18.1 (CVE-2023-49003)
    Severidad: Pendiente de análisis
    Fecha de publicación: 27/12/2023
    Fecha de última actualización: 04/01/2024
    Un problema en simplemobiletools Simple Dialer 5.18.1 permite a un atacante omitirlas restricciones de acceso previstas mediante la interacción con com.simplemobiletools.dialer.activities.DialerActivity.
  • Vulnerabilidad en SourceCodester Medicine Tracking System 1.0 (CVE-2023-7123)
    Severidad: MEDIA
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Una vulnerabilidad fue encontrada en SourceCodester Medicine Tracking System 1.0 y clasificada como crítica. Este problema afecta algún procesamiento desconocido del archivo /classes/Master.php? f=save_medicine. La manipulación del argumento id/name/description conduce a la inyección de SQL. El ataque puede iniciarse de forma remota. La explotación ha sido divulgada al público y puede utilizarse. El identificador asociado de esta vulnerabilidad es VDB-249095.
  • Vulnerabilidad en code-projects E-Commerce Site 1.0 (CVE-2023-7124)
    Severidad: MEDIA
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Una vulnerabilidad clasificada como problemática fue encontrada en code-projects E-Commerce Site 1.0. Una función desconocida del archivo search.php es afectada por esta vulnerabilidad. La manipulación del argumento palabra clave con la entrada conduce a cross site scripting. Es posible lanzar el ataque de forma remota. La explotación ha sido divulgada al público y puede utilizarse. El identificador de esta vulnerabilidad es VDB-249096.
  • Vulnerabilidad en Peplink Balance Two (CVE-2023-49228)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Se descubrió un problema en Peplink Balance Two antes de 8.4.0. La autenticación del puerto de consola utiliza credenciales codificadas, lo que permite a un atacante con acceso físico y conocimiento suficiente ejecutar comandos arbitrarios como root.
  • Vulnerabilidad en Peplink Balance Two (CVE-2023-49229)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Se descubrió un problema en Peplink Balance Two antes de 8.4.0. Una verificación de autorización faltante en el servicio web de administración permite a los usuarios sin privilegios y de solo lectura obtener información confidencial sobre la configuración del dispositivo.
  • Vulnerabilidad en JIZHICMS v.2.5 (CVE-2023-50692)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Vulnerabilidad de carga de archivos en JIZHICMS v.2.5, permite a un atacante remoto ejecutar código arbitrario a través de un archivo manipulado cargado y descargado en el parámetro download_url en el directorio app/admin/exts/.
  • Vulnerabilidad en HCL Launch (CVE-2023-45701)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    HCL Launch podría permitir a un atacante remoto obtener información confidencial cuando se devuelve un mensaje de error técnico detallado en el navegador. Esta información podría usarse en futuros ataques contra el sistema.
  • Vulnerabilidad en textpattern cms v4.8.8 (CVE-2023-50038)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Existe una vulnerabilidad de carga de archivos arbitraria en el background de textpattern cms v4.8.8, lo que provoca la pérdida de permisos del servidor.
  • Vulnerabilidad en HCL UrbanCode (CVE-2023-45702)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Un agente de implementación HCL UrbanCode instalado como un servicio de Windows en una ubicación no estándar podría estar sujeto a un ataque de denegación de servicio por parte de cuentas locales.
  • Vulnerabilidad en Talent Software ECOP (CVE-2023-4671)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Vulnerabilidad de neutralización inadecuada de elementos especiales utilizados en un comando SQL ('inyección SQL') en Talent Software ECOP permite la ejecución de línea de comando mediante inyección SQL. Este problema afecta a ECOP: anterior a 32255.
  • Vulnerabilidad en Talent Software ECOP (CVE-2023-4672)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('cross-site Scripting') en Talent Software ECOP permite XSS reflejado. Este problema afecta a ECOP: anterior a 32255.
  • Vulnerabilidad en Darren Cooney WordPress Infinite Scroll – Ajax Load More (CVE-2023-50874)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en Darren Cooney WordPress Infinite Scroll – Ajax Load More permite XSS almacenado. Este problema afecta a WordPress Infinite Scroll – Ajax Load More: desde n/a hasta 6.1.0.1 .
  • Vulnerabilidad en Undsgn Uncode - Creative & WooCommerce WordPress Theme (CVE-2023-51501)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en Undsgn Uncode - Creative & WooCommerce WordPress Theme permite XSS reflejado. Este problema afecta a Uncode - Creative & WooCommerce WordPress Theme: desde n/a hasta 2.8.6.
  • Vulnerabilidad en VeronaLabs WP SMS – Messaging & SMS Notification for WordPress, WooCommerce, GravityForms, etc. (CVE-2023-27447)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Vulnerabilidad de exposición de información confidencial a un actor no autorizado en VeronaLabs WP SMS – Messaging & SMS Notification for WordPress, WooCommerce, GravityForms, etc. Este problema afecta a WP SMS – Messaging & SMS Notification for WordPress, WooCommerce, GravityForms, etc: de n/a hasta 6.0.4.
  • Vulnerabilidad en GiveWP GiveWP – Donation Plugin and Fundraising Platform (CVE-2023-32513)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Vulnerabilidad de deserialización de de datos no confiables en GiveWP GiveWP – Donation Plugin and Fundraising Platform. Este problema afecta a GiveWP – Donation Plugin and Fundraising Platform: desde n/a hasta 2.25.3.
  • Vulnerabilidad en WooCommerce Product Add-Ons (CVE-2023-32795)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Vulnerabilidad de deserialización de datos no confiables en WooCommerce Product Add-Ons. Este problema afecta a Product Add-Ons: desde n/a hasta 6.1.3.
  • Vulnerabilidad en Gesundheit Bewegt GmbH Zippy (CVE-2023-36381)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Vulnerabilidad de deserialización de datos no confiables en Gesundheit Bewegt GmbH Zippy. Este problema afecta a Zippy: desde n/a hasta 1.6.5.
  • Vulnerabilidad en ibericode HTML Forms (CVE-2023-50836)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('cross-site Scripting') en ibericode HTML Forms permite almacenar XSS. Este problema afecta a HTML Forms: desde n/a hasta 1.3.28.
  • Vulnerabilidad en FunnelKit Funnel Builder for WordPress by FunnelKit – Customize WooCommerce Checkout Pages, Create Sales Funnels & Maximize Profits (CVE-2023-50856)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Neutralización incorrecta de elementos especiales utilizados en una vulnerabilidad de comando SQL ('inyección SQL') en FunnelKit Funnel Builder for WordPress by FunnelKit – Customize WooCommerce Checkout Pages, Create Sales Funnels & Maximize Profits. Este problema afecta a Funnel Builder for WordPress by FunnelKit – Customize WooCommerce Checkout Pages, Create Sales Funnels & Maximize Profits: desde n/a hasta 2.14.3.
  • Vulnerabilidad en FunnelKit Recover WooCommerce Cart Abandonment, Newsletter, Email Marketing, Marketing Automation By FunnelKit (CVE-2023-50857)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Neutralización inadecuada de elementos especiales utilizados en una vulnerabilidad de comando SQL ('inyección SQL') en FunnelKit Recover WooCommerce Cart Abandonment, Newsletter, Email Marketing, Marketing Automation By FunnelKit. Este problema afecta a Recover WooCommerce Cart Abandonment, Newsletter, Email Marketing, Marketing Automation By FunnelKit: desde n/a hasta 2.6.1.
  • Vulnerabilidad en Themeum WP Crowdfunding (CVE-2023-50859)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Una vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en Themeum WP Crowdfunding permite almacenar XSS. Este problema afecta a WP Crowdfunding: desde n/a hasta 2.1.6.
  • Vulnerabilidad en TMS Booking for Appointments and Events Calendar – Amelia (CVE-2023-50860)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('cross-site Scripting') en TMS Booking for Appointments and Events Calendar – Amelia permite almacenar XSS. Este problema afecta a Booking for Appointments and Events Calendar – Amelia: desde n/a hasta 1.0. 85.
  • Vulnerabilidad en Marios Alexandrou Add Any Extension to Pages (CVE-2023-50873)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Vulnerabilidad de Cross-Site Request Forgery (CSRF) en Marios Alexandrou Add Any Extension to Pages. Este problema afecta a Add Any Extension to Pages: desde n/a hasta 1.4.
  • Vulnerabilidad en Aaron J 404 Solution (CVE-2023-50848)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Neutralización incorrecta de elementos especiales utilizados en una vulnerabilidad de comando SQL ("inyección SQL") en Aaron J 404 Solution. Este problema afecta a 404 Solution: desde n/a hasta 2.34.0.
  • Vulnerabilidad en N Squared Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin (CVE-2023-50851)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Neutralización incorrecta de elementos especiales utilizados en una vulnerabilidad de comando SQL ('inyección SQL') en N Squared Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin. Este problema afecta a Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin: desde n/a antes de 1.6. 6.1.
  • Vulnerabilidad en MeterSphere (CVE-2023-50267)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    MeterSphere es una plataforma integral de pruebas continuas de código abierto. Antes de 2.10.10-lts, los atacantes autenticados pueden actualizar recursos que no le pertenecen si conocen el ID del recurso. Este problema se solucionó en 2.10.10-lts. No se conocen workarounds.
  • Vulnerabilidad en msgpackr (CVE-2023-52079)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    msgpackr es una implementación rápida de MessagePack NodeJS/JavaScript. Antes de la versión 1.10.1, al decodificar mensajes MessagePack proporcionados por el usuario, los usuarios podían activar hilos atascados creando mensajes que mantuvieran el decodificador atascado en un bucle. La solución está disponible en v1.10.1. Las explotaciones parecen requerir una clonación estructurada; reemplazar la extensión 0x70 con la suya propia (que arroja un error o hace algo más que una referencia recursiva) debería mitigar el problema.
  • Vulnerabilidad en Lychee (CVE-2023-52082)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Lychee es una herramienta gratuita de gestión de fotografías. Antes de 5.0.2, Lychee es vulnerable a una inyección SQL en cualquier enlace cuando se usa mysql/mariadb. Esta inyección solo está activa para usuarios con la configuración `.env` configurada en DB_LOG_SQL=true y DB_LOG_SQL_EXPLAIN=true. La configuración predeterminada de Lychee es segura. El parche se proporciona en la versión 5.0.2. Para solucionar este problema, deshabilite el registro SQL EXPLAIN.
  • Vulnerabilidad en code-projects Voting System 1.0 (CVE-2023-7129)
    Severidad: MEDIA
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Una vulnerabilidad clasificada como crítica fue encontrada en code-projects Voting System 1.0. Una función desconocida del componente Voters Login es afectada por esta función. La manipulación del argumento voter conduce a la inyección de SQL. La explotación ha sido divulgada al público y puede utilizarse. El identificador de esta vulnerabilidad es VDB-249132.
  • Vulnerabilidad en D-Link D-View 8 (CVE-2023-7163)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Existe un problema de seguridad en D-Link D-View 8 v2.0.2.89 y anteriores que podría permitir a un atacante manipular el inventario de sonda del servicio D-View. Esto podría dar como resultado la divulgación de información de otras sondas, la denegación de condiciones de servicio debido a que el inventario de la sonda se llena o la ejecución de tareas en otras sondas.
  • Vulnerabilidad en wpdevelop, oplugins Booking Manager (CVE-2023-50840)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Neutralización incorrecta de elementos especiales utilizados en una vulnerabilidad de comando SQL ('inyección SQL') en wpdevelop, oplugins Booking Manager. Este problema afecta a Booking Manager: desde n/a hasta 2.1.5.
  • Vulnerabilidad en Repute Infosystems BookingPress – Appointment Booking Calendar Plugin and Online Scheduling Plugin (CVE-2023-50841)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Neutralización incorrecta de elementos especiales utilizados en una vulnerabilidad de comando SQL ('inyección SQL') en Repute Infosystems BookingPress – Appointment Booking Calendar Plugin and Online Scheduling Plugin. Este problema afecta a BookingPress – Appointment Booking Calendar Plugin and Online Scheduling Plugin: desde n/a hasta 1.0.72.
  • Vulnerabilidad en Matthew Fries MF Gig Calendar (CVE-2023-50842)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Neutralización incorrecta de elementos especiales utilizados en una vulnerabilidad de comando SQL ("Inyección SQL") en Matthew Fries MF Gig Calendar. Este problema afecta a MF Gig Calendar: desde n/a hasta 1.2.1.
  • Vulnerabilidad en Clockwork Clockwork SMS Notfications (CVE-2023-50843)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Neutralización incorrecta de elementos especiales utilizados en una vulnerabilidad de comando SQL ("inyección SQL") en Clockwork Clockwork SMS Notfications. Este problema afecta a Clockwork SMS Notfications: desde n/a hasta 3.0.4.
  • Vulnerabilidad en James Ward Mail logging – WP Mail Catcher (CVE-2023-50844)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Neutralización incorrecta de elementos especiales utilizados en una vulnerabilidad de comando SQL ('inyección SQL') en James Ward Mail logging – WP Mail Catcher. Este problema afecta a Mail logging – WP Mail Catcher: desde n/a hasta 2.1.3.
  • Vulnerabilidad en AyeCode - WordPress Business Directory Plugins GeoDirectory – WordPress Business Directory Plugin, or Classified Directory (CVE-2023-50845)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Neutralización incorrecta de elementos especiales utilizados en una vulnerabilidad de comando SQL ('inyección SQL') en AyeCode - WordPress Business Directory Plugins GeoDirectory – WordPress Business Directory Plugin, or Classified Directory. Este problema afecta a GeoDirectory – WordPress Business Directory Plugin, or Classified Directory: de n/a hasta el 2.3.28.
  • Vulnerabilidad en RegistrationMagic RegistrationMagic – Custom Registration Forms, User Registration, Payment, and User Login (CVE-2023-50846)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Neutralización incorrecta de elementos especiales utilizados en una vulnerabilidad de comando SQL ('inyección SQL') en RegistrationMagic RegistrationMagic – Custom Registration Forms, User Registration, Payment, and User Login. Este problema afecta a RegistrationMagic – Custom Registration Forms, User Registration, Payment, and User Login: desde n/a hasta 5.2.4.5.
  • Vulnerabilidad en Collne Inc. Welcart e-Commerce (CVE-2023-50847)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Neutralización incorrecta de elementos especiales utilizados en una vulnerabilidad de comando SQL ("Inyección SQL") en Collne Inc. Welcart e-Commerce. Este problema afecta a Welcart e-Commerce: desde n/a hasta 2.9.3.
  • Vulnerabilidad en Basix NEX-Forms – Ultimate Form Builder – Contact forms and much more (CVE-2023-50838)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Neutralización incorrecta de elementos especiales utilizados en una vulnerabilidad de comando SQL ('Inyección SQL') en Basix NEX-Forms – Ultimate Form Builder – Contact forms and much more. Este problema afecta a NEX-Forms – Ultimate Form Builder – Contact forms and much more: desde n/a hasta 8.5.5.
  • Vulnerabilidad en JS Help Desk JS Help Desk – Best Help Desk & Support Plugin (CVE-2023-50839)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Neutralización incorrecta de elementos especiales utilizados en una vulnerabilidad de comando SQL ('inyección SQL') en JS Help Desk JS Help Desk – Best Help Desk & Support Plugin. Este problema afecta a JS Help Desk – Best Help Desk & Support Plugin: de n/a hasta 2.8.1.
  • Vulnerabilidad en BoxyStudio Booked - Appointment Booking for WordPress | Calendars (CVE-2022-36399)
    Severidad: Pendiente de análisis
    Fecha de publicación: 28/12/2023
    Fecha de última actualización: 04/01/2024
    Vulnerabilidad de exposición de información confidencial a un actor no autorizado en BoxyStudio Booked - Appointment Booking for WordPress | Calendars. Este problema afecta a Booked - Appointment Booking for WordPress | Calendars: desde n/a antes de 2.4.4.
  • Vulnerabilidad en BinaryStash WP Booklet (CVE-2023-22677)
    Severidad: Pendiente de análisis
    Fecha de publicación: 29/12/2023
    Fecha de última actualización: 04/01/2024
    Vulnerabilidad de control inadecuado de la generación de código ("inyección de código") en BinaryStash WP Booklet. Este problema afecta a WP Booklet: desde n/a hasta 2.1.8.
  • Vulnerabilidad en David F. Carr RSVPMaker (CVE-2023-25054)
    Severidad: Pendiente de análisis
    Fecha de publicación: 29/12/2023
    Fecha de última actualización: 04/01/2024
    Vulnerabilidad de control inadecuado de generación de código ("inyección de código") en David F. Carr RSVPMaker. Este problema afecta a RSVPMaker: desde n/a hasta 10.6.6.
  • Vulnerabilidad en Milan Dini? Rename Media Files (CVE-2023-32095)
    Severidad: Pendiente de análisis
    Fecha de publicación: 29/12/2023
    Fecha de última actualización: 04/01/2024
    Vulnerabilidad de control inadecuado de generación de código ("inyección de código") en Milan Dini? Rename Media Files. Este problema afecta a Rename Media Files: desde n/a hasta 1.0.1.
  • Vulnerabilidad en Kanban for WordPress Kanban Boards for WordPress (CVE-2023-40606)
    Severidad: Pendiente de análisis
    Fecha de publicación: 29/12/2023
    Fecha de última actualización: 04/01/2024
    Vulnerabilidad de control inadecuado de la generación de código ("inyección de código") en Kanban for WordPress Kanban Boards for WordPress. Este problema afecta a Kanban Boards for WordPress: desde n/a hasta 2.5.21.
  • Vulnerabilidad en POSIMYTH Nexter Extension (CVE-2023-45751)
    Severidad: Pendiente de análisis
    Fecha de publicación: 29/12/2023
    Fecha de última actualización: 04/01/2024
    Vulnerabilidad de control inadecuado de generación de código ("inyección de código") en POSIMYTH Nexter Extension. Este problema afecta a Nexter Extension: desde n/a hasta 2.0.3.
  • Vulnerabilidad en TienCOP WP EXtra (CVE-2023-46623)
    Severidad: Pendiente de análisis
    Fecha de publicación: 29/12/2023
    Fecha de última actualización: 04/01/2024
    Vulnerabilidad de control inadecuado de generación de código ("inyección de código") en TienCOP WP EXtra. Este problema afecta a WP EXtra: desde n/a hasta 6.2.
  • Vulnerabilidad en Qode Interactive Qode Essential Addons (CVE-2023-47840)
    Severidad: Pendiente de análisis
    Fecha de publicación: 29/12/2023
    Fecha de última actualización: 04/01/2024
    Vulnerabilidad de control inadecuado de la generación de código ("inyección de código") en Qode Interactive Qode Essential Addons. Este problema afecta a Qode Essential Addons: desde n/a hasta 1.5.2.