Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • Vulnerabilidad en Joomla (CVE-2024-21727)
    Severidad: MEDIA
    Fecha de publicación: 15/02/2024
    Fecha de última actualización: 05/06/2025
    Vulnerabilidad XSS en el componente Calendario DP para Joomla.
  • Vulnerabilidad en Panabit Panalog 202103080942 (CVE-2024-2014)
    Severidad: ALTA
    Fecha de publicación: 21/03/2024
    Fecha de última actualización: 05/06/2025
    Una vulnerabilidad fue encontrada en Panabit Panalog 202103080942 y clasificada como crítica. Código desconocido del archivo /Maintain/sprog_upstatus.php es afectado por esta vulnerabilidad. La manipulación del argumento id conduce a la inyección de SQL. El ataque se puede iniciar de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador de esta vulnerabilidad es VDB-255268. NOTA: Se contactó primeramente con el proveedor sobre esta divulgación, pero no respondió de ninguna manera.
  • Vulnerabilidad en EyouCMS 1.6.5 (CVE-2024-3431)
    Severidad: MEDIA
    Fecha de publicación: 07/04/2024
    Fecha de última actualización: 05/06/2025
    Se encontró una vulnerabilidad en EyouCMS 1.6.5. Ha sido declarada crítica. Esta vulnerabilidad afecta a código desconocido del archivo /login.php?m=admin&c=Field&a=channel_edit del componente Backend. La manipulación del argumento channel_id conduce a la deserialización. El ataque se puede iniciar de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador de esta vulnerabilidad es VDB-259612. NOTA: Se contactó primeramente con el proveedor sobre esta divulgación, pero no respondió de ninguna manera.
  • Vulnerabilidad en wpDiscuz para WordPress (CVE-2024-2477)
    Severidad: MEDIA
    Fecha de publicación: 23/04/2024
    Fecha de última actualización: 05/06/2025
    El complemento wpDiscuz para WordPress es vulnerable a Cross-Site Scripting Almacenado a través del campo 'Texto alternativo' de una imagen cargada en todas las versiones hasta la 7.6.15 incluido debido a una sanitización de entrada y un escape de salida insuficientes. Esto hace posible que atacantes autenticados, con acceso a nivel de autor y superior, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
  • Vulnerabilidad en Blog2Social: Social Media Auto Post & Scheduler para WordPress (CVE-2024-3678)
    Severidad: MEDIA
    Fecha de publicación: 26/04/2024
    Fecha de última actualización: 05/06/2025
    El complemento Blog2Social: Social Media Auto Post & Scheduler para WordPress es vulnerable a la exposición de información confidencial en todas las versiones hasta la 7.4.2 incluida. Esto hace posible que atacantes no autenticados vean información limitada de publicaciones protegidas con contraseña.
  • Vulnerabilidad en Event Monster – Event Management, Tickets Booking, Upcoming Event para WordPress (CVE-2024-1895)
    Severidad: ALTA
    Fecha de publicación: 30/04/2024
    Fecha de última actualización: 05/06/2025
    El complemento Event Monster – Event Management, Tickets Booking, Upcoming Event para WordPress es vulnerable a la inyección de objetos PHP en todas las versiones hasta la 1.3.4 incluida a través de la deserialización mediante un código corto de entrada no confiable de un metavalor personalizado. Esto hace posible que atacantes autenticados, con acceso de colaborador y superior, inyecten un objeto PHP. No hay ninguna cadena POP presente en el complemento vulnerable. Si hay una cadena POP presente a través de un complemento o tema adicional instalado en el sistema de destino, podría permitir al atacante eliminar archivos arbitrarios, recuperar datos confidenciales o ejecutar código.
  • Vulnerabilidad en Analytify – Google Analytics Dashboard para WordPress (GA4 Analytics made easy) para WordPress (CVE-2024-1584)
    Severidad: MEDIA
    Fecha de publicación: 02/05/2024
    Fecha de última actualización: 05/06/2025
    El complemento Analytify – Google Analytics Dashboard para WordPress (GA4 Analytics made easy) para WordPress es vulnerable a modificaciones no autorizadas de datos debido a una falta de verificación de capacidad en la función 'wpa_check_authentication' en todas las versiones hasta la 5.2.1 incluida. Esto hace posible que atacantes no autenticados modifiquen el ID de seguimiento de Google Analytics del sitio.
  • Vulnerabilidad en Print Labels with Barcodes. Create price tags, product labels, order labels for WooCommerce para WordPress (CVE-2024-1677)
    Severidad: MEDIA
    Fecha de publicación: 02/05/2024
    Fecha de última actualización: 05/06/2025
    El complemento Print Labels with Barcodes. Create price tags, product labels, order labels for WooCommerce para WordPress es vulnerable al acceso no autorizado a los datos, a la modificación de datos y a la pérdida de datos debido a una verificación de capacidad inadecuada en 42 funciones AJAX separadas en todas las versiones hasta, e incluyendo, 3.4.6. Esto hace posible que los atacantes autenticados, con acceso de suscriptor y superior, controlen completamente el complemento, lo que incluye la capacidad de modificar la configuración y los perfiles del complemento, y crear, editar, recuperar y eliminar plantillas y códigos de barras.
  • Vulnerabilidad en Print Labels with Barcodes. Create price tags, product labels, order labels for WooCommerce para WordPress (CVE-2024-1679)
    Severidad: MEDIA
    Fecha de publicación: 02/05/2024
    Fecha de última actualización: 05/06/2025
    El complemento Print Labels with Barcodes. Create price tags, product labels, order labels for WooCommerce para WordPress es vulnerable a Cross-Site Scripting Almacenado a través de los campos de plantilla y etiqueta de JavaScript en todas las versiones hasta la 3.4.6 incluida debido a una sanitización de entrada y un escape de salida insuficientes. Esto hace posible que atacantes autenticados, con acceso de suscriptor y superior, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
  • Vulnerabilidad en Analytify – Google Analytics Dashboard para WordPress (GA4 Analytics Made Easy) para WordPress (CVE-2024-1809)
    Severidad: MEDIA
    Fecha de publicación: 02/05/2024
    Fecha de última actualización: 05/06/2025
    El complemento Analytify – Google Analytics Dashboard para WordPress (GA4 Analytics Made Easy) para WordPress es vulnerable al acceso no autorizado a los datos debido a una falta de verificación de capacidad en las funciones AJAX en combinación con la fuga de nonce en todas las versiones hasta la 5.2.3 incluida. Esto hace posible que atacantes autenticados, con acceso de suscriptor y superior, obtengan cierta información confidencial relacionada con la configuración del complemento.
  • Vulnerabilidad en All in One SEO – Best WordPress SEO Plugin – Easily Improve SEO Rankings & Increase Traffic para WordPress (CVE-2024-3554)
    Severidad: MEDIA
    Fecha de publicación: 02/05/2024
    Fecha de última actualización: 05/06/2025
    El complemento All in One SEO – Best WordPress SEO Plugin – Easily Improve SEO Rankings & Increase Traffic para WordPress es vulnerable a Cross-Site Scripting Almacenado a través de los códigos cortos del complemento en todas las versiones hasta la 4.6.0 incluida debido a una sanitización de entrada insuficiente y salida que se escapa en los atributos proporcionados por el usuario. Esto hace posible que atacantes autenticados, con acceso de nivel de colaborador y superior, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
  • Vulnerabilidad en Frontend Admin de DynamiApps para WordPress (CVE-2024-3729)
    Severidad: CRÍTICA
    Fecha de publicación: 02/05/2024
    Fecha de última actualización: 05/06/2025
    El complemento Frontend Admin de DynamiApps para WordPress es vulnerable a un manejo inadecuado de excepciones de cifrado faltante en la función 'fea_encrypt' en todas las versiones hasta la 3.19.4 incluida. Esto hace posible que atacantes no autenticados manipulen los formularios de procesamiento del usuario, que se pueden usar para agregar y editar usuarios administradores para escalar privilegios, o para iniciar sesión automáticamente en los usuarios para omitir la autenticación, o manipular el formulario de posprocesamiento que se puede utilizar para inyectar scripts web arbitrarios. Esto sólo puede explotarse si la extensión PHP 'openssl' no está cargada en el servidor.
  • Vulnerabilidad en BuddyPress para WordPress (CVE-2024-3974)
    Severidad: MEDIA
    Fecha de publicación: 14/05/2024
    Fecha de última actualización: 05/06/2025
    El complemento BuddyPress para WordPress es vulnerable a Cross-Site Scripting Almacenado a través del parámetro 'user_name' en versiones hasta la 12.4.0 incluida debido a una sanitización de entrada y un escape de salida insuficientes. Esto hace posible que atacantes autenticados, con permisos de nivel de suscriptor y superiores, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
  • Vulnerabilidad en El complemento WP Table Builder – WordPress Table Plugin para WordPress (CVE-2024-4700)
    Severidad: MEDIA
    Fecha de publicación: 21/05/2024
    Fecha de última actualización: 05/06/2025
    El complemento WP Table Builder – WordPress Table Plugin para WordPress es vulnerable a Cross Site Scripting Almacenado a través del elemento de botón en todas las versiones hasta la 1.4.14 incluida debido a una sanitización de entrada y un escape de salida insuficientes. Esto hace posible que atacantes autenticados inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada. De forma predeterminada, esto solo puede ser aprovechado por los administradores, pero la capacidad de usar y configurar WP Table Builder se puede extender a los contribuyentes.
  • Vulnerabilidad en Hash Elements para WordPress (CVE-2024-5177)
    Severidad: MEDIA
    Fecha de publicación: 23/05/2024
    Fecha de última actualización: 05/06/2025
    El complemento Hash Elements para WordPress es vulnerable a Cross-Site Scripting Almacenado a través del parámetro 'url' dentro de múltiples widgets en todas las versiones hasta la 1.3.8 incluida debido a una sanitización de entrada insuficiente y a un escape de salida en los atributos proporcionados por el usuario. Esto hace posible que atacantes autenticados, con acceso de nivel de colaborador y superior, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
  • Vulnerabilidad en ProfilePress para WordPress (CVE-2024-2861)
    Severidad: MEDIA
    Fecha de publicación: 23/05/2024
    Fecha de última actualización: 05/06/2025
    El complemento ProfilePress para WordPress es vulnerable a Cross-Site Scripting Almacenado a través del widget del panel de usuario de ProfilePress en todas las versiones hasta la 4.15.8 incluida debido a una sanitización de entrada insuficiente y a un escape de salida en los atributos proporcionados por el usuario. Esto hace posible que atacantes autenticados, con acceso de nivel de colaborador y superior, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
  • Vulnerabilidad en JFinalCMS (CVE-2024-5310)
    Severidad: MEDIA
    Fecha de publicación: 24/05/2024
    Fecha de última actualización: 05/06/2025
    Una vulnerabilidad ha sido encontrada en JFinalCMS hasta 20221020 y clasificada como problemática. Una parte desconocida del archivo /admin/content es afectada por esta vulnerabilidad. La manipulación del argumento Título conduce a cross site scripting. Es posible iniciar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse. A esta vulnerabilidad se le asignó el identificador VDB-266121.
  • Vulnerabilidad en JFinalCMS (CVE-2024-5379)
    Severidad: MEDIA
    Fecha de publicación: 26/05/2024
    Fecha de última actualización: 05/06/2025
    Una vulnerabilidad fue encontrada en JFinalCMS hasta 20240111 y ha sido calificada como problemática. Este problema afecta a algún procesamiento desconocido del archivo /admin/template. La manipulación del directorio de argumentos conduce a cross site scripting. El ataque puede iniciarse de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador asociado de esta vulnerabilidad es VDB-266291.
  • Vulnerabilidad en AppPresser para WordPress (CVE-2024-4611)
    Severidad: ALTA
    Fecha de publicación: 29/05/2024
    Fecha de última actualización: 05/06/2025
    El complemento AppPresser para WordPress es vulnerable a un manejo inadecuado de excepciones de cifrado faltantes en las funciones 'decrypt_value' y 'doCookieAuth' en todas las versiones hasta la 4.3.2 incluida. Esto hace posible que atacantes no autenticados inicien sesión como cualquier usuario existente en el sitio, como un administrador, si previamente utilizaron el inicio de sesión a través de la API del complemento. Esto sólo puede explotarse si la extensión PHP 'openssl' no está cargada en el servidor.
  • Vulnerabilidad en The POST SMTP – The #1 WordPress SMTP Plugin with Advanced Email Logging and Delivery Failure Notifications para WordPress (CVE-2024-5207)
    Severidad: ALTA
    Fecha de publicación: 30/05/2024
    Fecha de última actualización: 05/06/2025
    El complemento The POST SMTP – The #1 WordPress SMTP Plugin with Advanced Email Logging and Delivery Failure Notifications para WordPress es vulnerable a la inyección SQL basada en el tiempo a través del parámetro seleccionado en todas las versiones hasta la 2.9.3 incluida debido a un escape insuficiente en el parámetro proporcionado por el usuario y la falta de preparación suficiente en la consulta SQL existente. Esto hace posible que atacantes autenticados con acceso de administrador o superior agreguen consultas SQL adicionales a consultas ya existentes que pueden usarse para extraer información confidencial de la base de datos.
  • Vulnerabilidad en Blog2Social: Social Media Auto Post & Scheduler para WordPress (CVE-2024-3549)
    Severidad: CRÍTICA
    Fecha de publicación: 11/06/2024
    Fecha de última actualización: 05/06/2025
    El complemento Blog2Social: Social Media Auto Post & Scheduler para WordPress es vulnerable a la inyección SQL a través del parámetro 'b2sSortPostType' en todas las versiones hasta la 7.4.1 incluida debido a un escape insuficiente en el parámetro proporcionado por el usuario y a la falta de preparación suficiente en la consulta SQL existente. Esto hace posible que los atacantes autenticados, con acceso a nivel de suscriptor y superior, agreguen consultas SQL adicionales a consultas ya existentes que pueden usarse para extraer información confidencial de la base de datos.
  • Vulnerabilidad en Hotel Management System 91caab8 (CVE-2024-42552)
    Severidad: ALTA
    Fecha de publicación: 20/08/2024
    Fecha de última actualización: 05/06/2025
    Se descubrió que el commit de Hotel Management System 91caab8 contenía una vulnerabilidad de inyección SQL a través del parámetro book_id en admin_room_history.php.
  • Vulnerabilidad en Hotel Management System 91caab8 (CVE-2024-42554)
    Severidad: ALTA
    Fecha de publicación: 20/08/2024
    Fecha de última actualización: 05/06/2025
    Se descubrió que el commit de Hotel Management System 91caab8 contenía una vulnerabilidad de inyección SQL a través del parámetro room_type en admin_room_added.php.
  • Vulnerabilidad en Hotel Management System 91caab8 (CVE-2024-42556)
    Severidad: CRÍTICA
    Fecha de publicación: 20/08/2024
    Fecha de última actualización: 05/06/2025
    Se descubrió que el commit de Hotel Management System 91caab8 contenía una vulnerabilidad de inyección SQL a través del parámetro room_type en admin_room_removed.php.
  • Vulnerabilidad en Hotel Management System 91caab8 (CVE-2024-42557)
    Severidad: ALTA
    Fecha de publicación: 20/08/2024
    Fecha de última actualización: 05/06/2025
    Una Cross-Site Request Forgery (CSRF) en el componente admin_modify_room.php del commit de Hotel Management System 91caab8 permite a los atacantes escalar privilegios.
  • Vulnerabilidad en Hotel Management System 91caab8 (CVE-2024-42558)
    Severidad: CRÍTICA
    Fecha de publicación: 20/08/2024
    Fecha de última actualización: 05/06/2025
    Se descubrió que el commit de Hotel Management System 91caab8 contenía una vulnerabilidad de inyección SQL a través del parámetro book_id en admin_modify_room.php.
  • Vulnerabilidad en Pharmacy Management System a2efc8 (CVE-2024-42561)
    Severidad: ALTA
    Fecha de publicación: 20/08/2024
    Fecha de última actualización: 05/06/2025
    Se descubrió que el commit de Pharmacy Management System a2efc8 contenía una vulnerabilidad de inyección SQL a través del parámetro invoice_number en sales_report.php.
  • Vulnerabilidad en ERP 44bd04 (CVE-2024-42563)
    Severidad: CRÍTICA
    Fecha de publicación: 20/08/2024
    Fecha de última actualización: 05/06/2025
    Una vulnerabilidad de carga de archivos arbitrarios en el commit 44bd04 de ERP permite a los atacantes ejecutar código arbitrario cargando un archivo HTML manipulado.
  • Vulnerabilidad en School Management System bae5aa (CVE-2024-42571)
    Severidad: CRÍTICA
    Fecha de publicación: 20/08/2024
    Fecha de última actualización: 05/06/2025
    Se descubrió que el commit de School Management System bae5aa contenía una vulnerabilidad de inyección SQL a través del parámetro medio en insertattendance.php.
  • Vulnerabilidad en Hotel Management System 91caab8 (CVE-2024-42553)
    Severidad: ALTA
    Fecha de publicación: 20/08/2024
    Fecha de última actualización: 05/06/2025
    Una Cross-Site Request Forgery (CSRF) en el componente admin_room_added.php del commit de Hotel Management System 91caab8 permite a los atacantes escalar privilegios.
  • Vulnerabilidad en Hotel Management System 91caab8 (CVE-2024-42555)
    Severidad: ALTA
    Fecha de publicación: 20/08/2024
    Fecha de última actualización: 05/06/2025
    Una Cross-Site Request Forgery (CSRF) en el componente admin_room_removed.php del commit de Hotel Management System 91caab8 permite a los atacantes escalar privilegios.
  • Vulnerabilidad en Blood Bank And Donation Management System dc9e039 (CVE-2024-42560)
    Severidad: MEDIA
    Fecha de publicación: 20/08/2024
    Fecha de última actualización: 05/06/2025
    Una vulnerabilidad de cross-site scripting (XSS) en el componente update_page_details.php de el commit de Blood Bank And Donation Management System dc9e039 permite a los atacantes ejecutar scripts web o HTML arbitrario a través de un payload manipulado inyectado en el parámetro Detalles de la página.
  • Vulnerabilidad en Pharmacy Management System a2efc8 (CVE-2024-42562)
    Severidad: CRÍTICA
    Fecha de publicación: 20/08/2024
    Fecha de última actualización: 05/06/2025
    Se descubrió que el commit de Pharmacy Management System a2efc8 contenía una vulnerabilidad de inyección SQL a través del parámetro invoice_number en vista preview.php.
  • Vulnerabilidad en School Management System bae5aa (CVE-2024-42569)
    Severidad: CRÍTICA
    Fecha de publicación: 20/08/2024
    Fecha de última actualización: 05/06/2025
    Se descubrió que el commit de School Management System bae5aa contenía una vulnerabilidad de inyección SQL a través del parámetro medio enpaidclass.php.
  • Vulnerabilidad en JFinalCMS (CVE-2024-8694)
    Severidad: MEDIA
    Fecha de publicación: 11/09/2024
    Fecha de última actualización: 05/06/2025
    Hasta el 20240903 se encontró una vulnerabilidad clasificada como problemática en JFinalCMS. Afecta a la función update del archivo /admin/template/update del componente com.cms.controller.admin.TemplateController. La manipulación del argumento fileName provoca un path traversal. Es posible iniciar el ataque de forma remota. El exploit se ha hecho público y puede utilizarse.
  • Vulnerabilidad en JFinalCMS (CVE-2024-8706)
    Severidad: MEDIA
    Fecha de publicación: 12/09/2024
    Fecha de última actualización: 05/06/2025
    Se ha encontrado una vulnerabilidad en JFinalCMS hasta el 20240903. Se ha clasificado como problemática. Afecta a la función update del archivo /admin/template/update del componente com.cms.util.TemplateUtils. La manipulación del argumento fileName provoca un path traversal. Es posible iniciar el ataque de forma remota. El exploit se ha hecho público y puede utilizarse.
  • Vulnerabilidad en Langflow (CVE-2024-9277)
    Severidad: MEDIA
    Fecha de publicación: 27/09/2024
    Fecha de última actualización: 05/06/2025
    Se ha detectado una vulnerabilidad clasificada como problemática en Langflow hasta la versión 1.0.18. Esta vulnerabilidad afecta a una funcionalidad desconocida del archivo \src\backend\base\langflow\interface\utils.py del componente HTTP POST Request Handler. La manipulación del argumento remain_text genera una complejidad ineficiente en las expresiones regulares. La vulnerabilidad se ha hecho pública y puede utilizarse. Se contactó primeramente con el proveedor sobre esta revelación, pero no respondió de ninguna manera.
  • Vulnerabilidad en SiYuan (CVE-2024-55657)
    Severidad: ALTA
    Fecha de publicación: 12/12/2024
    Fecha de última actualización: 05/06/2025
    SiYuan es un sistema de gestión de conocimiento personal. Antes de la versión 3.1.16, existía una vulnerabilidad de lectura de archivos arbitrarios en el endpoint `/api/template/render` de Siyuan. La ausencia de una validación adecuada en el parámetro path permite a los atacantes acceder a archivos confidenciales en el sistema host. La versión 3.1.16 contiene un parche para el problema.
  • Vulnerabilidad en SiYuan (CVE-2024-55658)
    Severidad: ALTA
    Fecha de publicación: 12/12/2024
    Fecha de última actualización: 05/06/2025
    SiYuan es un sistema de gestión de conocimiento personal. Antes de la versión 3.1.16, el endpoint /api/export/exportResources de SiYuan era vulnerable a la lectura arbitraria de archivos mediante path traversal. Es posible manipular el parámetro paths para acceder y descargar archivos arbitrarios del sistema host mediante el recorrido de la estructura de directorios del espacio de trabajo. La versión 3.1.16 contiene un parche para el problema.
  • Vulnerabilidad en SiYuan (CVE-2024-55659)
    Severidad: ALTA
    Fecha de publicación: 12/12/2024
    Fecha de última actualización: 05/06/2025
    SiYuan es un sistema de gestión de conocimiento personal. Antes de la versión 3.1.16, el endpoint `/api/asset/upload` en Siyuan era vulnerable tanto a la escritura arbitraria de archivos en el host como a Cross-Site Scripting almacenado (a través de la escritura de archivos). La versión 3.1.16 contiene un parche para solucionar el problema.
  • Vulnerabilidad en SiYuan (CVE-2024-55660)
    Severidad: MEDIA
    Fecha de publicación: 12/12/2024
    Fecha de última actualización: 05/06/2025
    SiYuan es un sistema de gestión de conocimiento personal. Antes de la versión 3.1.16, el endpoint `/api/template/renderSprig` de SiYuan era vulnerable a Server-Side Template Injection (SSTI) a través del motor de plantillas Sprig. Aunque el motor tiene limitaciones, permite a los atacantes acceder a las variables del entorno. La versión 3.1.16 contiene un parche para el problema.
  • Vulnerabilidad en Tyche Softwares Print Invoice & Delivery Notes for WooCommerce (CVE-2022-46795)
    Severidad: MEDIA
    Fecha de publicación: 13/12/2024
    Fecha de última actualización: 05/06/2025
    La vulnerabilidad de autorización faltante en Tyche Softwares Print Invoice & Delivery Notes for WooCommerce permite explotar niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a Print Invoice y Delivery Notes para WooCommerce: desde n/a hasta 4.7.2.
  • Vulnerabilidad en Analytify Analytify (CVE-2023-41695)
    Severidad: BAJA
    Fecha de publicación: 13/12/2024
    Fecha de última actualización: 05/06/2025
    Vulnerabilidad de autorización faltante en Analytify Analytify permite explotar niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a Analytify: desde n/a hasta 5.1.0.
  • Vulnerabilidad en Team Heat o Super Socializer (CVE-2023-41802)
    Severidad: MEDIA
    Fecha de publicación: 13/12/2024
    Fecha de última actualización: 05/06/2025
    La vulnerabilidad de autorización faltante en Team Heat o Super Socializer permite explotar niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a Super Socializer: desde n/a hasta 7.13.54.
  • Vulnerabilidad en FormFacade FormFacade (CVE-2024-54301)
    Severidad: ALTA
    Fecha de publicación: 13/12/2024
    Fecha de última actualización: 05/06/2025
    Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en FormFacade FormFacade permite XSS reflejado. Este problema afecta a FormFacade: desde n/a hasta 1.3.6.
  • Vulnerabilidad en vCita.com Online Booking & Scheduling Calendar for WordPress by vcita (CVE-2024-54356)
    Severidad: MEDIA
    Fecha de publicación: 16/12/2024
    Fecha de última actualización: 05/06/2025
    La vulnerabilidad de Cross-Site Request Forgery (CSRF) en vCita.com Online Booking & Scheduling Calendar for WordPress by vcita permite Cross Site Request Forgery. Este problema afecta al calendario de reservas y programación en línea vCita.com para WordPress de vcita: desde n/a hasta 4.5.
  • Vulnerabilidad en Optimizely Configured Commerce (CVE-2024-56173)
    Severidad: MEDIA
    Fecha de publicación: 18/12/2024
    Fecha de última actualización: 05/06/2025
    En Optimizely Configured Commerce anterior a la versión 5.2.2408, se pueden almacenar payloads y posteriormente ejecutarlos en los navegadores de los usuarios bajo condiciones específicas: XSS desde JavaScript en un documento SVG.
  • Vulnerabilidad en Optimizely Configured Commerce (CVE-2024-56174)
    Severidad: ALTA
    Fecha de publicación: 18/12/2024
    Fecha de última actualización: 05/06/2025
    En Optimizely Configured Commerce anterior a la versión 5.2.2408, se pueden almacenar payloads y posteriormente ejecutarlos en los navegadores de los usuarios bajo condiciones específicas: XSS a partir de client-side template injection en el historial de búsqueda.
  • Vulnerabilidad en Optimizely Configured Commerce (CVE-2024-56175)
    Severidad: MEDIA
    Fecha de publicación: 18/12/2024
    Fecha de última actualización: 05/06/2025
    En Optimizely Configured Commerce anterior a la versión 5.2.2408, se pueden almacenar payloads y posteriormente ejecutarlos en los navegadores de los usuarios bajo condiciones específicas: XSS a partir de client-side template injection en los nombres de elementos de la lista.
  • Vulnerabilidad en Searchiq SearchIQ (CVE-2024-56229)
    Severidad: MEDIA
    Fecha de publicación: 31/12/2024
    Fecha de última actualización: 05/06/2025
    Vulnerabilidad de Cross-Site Request Forgery (CSRF) en Searchiq SearchIQ. Este problema afecta a SearchIQ: desde n/a hasta 4.6.
  • Vulnerabilidad en goodlayers-core (CVE-2024-11357)
    Severidad: MEDIA
    Fecha de publicación: 02/01/2025
    Fecha de última actualización: 05/06/2025
    El complemento de WordPress goodlayers-core anterior a la versión 2.0.10 no desinfecta ni escapa de algunas de sus configuraciones, lo que podría permitir que los usuarios con el rol de colaborador y superior realicen ataques de Cross-Site Scripting almacenado.
  • Vulnerabilidad en Groundhogg Inc. Groundhogg (CVE-2024-37235)
    Severidad: MEDIA
    Fecha de publicación: 02/01/2025
    Fecha de última actualización: 05/06/2025
    Vulnerabilidad de Cross-Site Request Forgery (CSRF) en Groundhogg Inc. Groundhogg permite Cross-Site Request Forgery . Este problema afecta a Groundhogg: desde n/a hasta 3.4.2.3.
  • Vulnerabilidad en Analytify (CVE-2022-45830)
    Severidad: MEDIA
    Fecha de publicación: 02/01/2025
    Fecha de última actualización: 05/06/2025
    Vulnerabilidad de autorización faltante en Analytify. Este problema afecta a Analytify: desde n/a hasta 4.2.3.
  • Vulnerabilidad en tourmaster para WordPress (CVE-2024-11356)
    Severidad: MEDIA
    Fecha de publicación: 06/01/2025
    Fecha de última actualización: 05/06/2025
    El complemento tourmaster para WordPress anterior a la versión 5.3.4 no desinfecta ni escapa algunos parámetros al mostrarlos en la página, lo que podría permitir que usuarios no autenticados realicen ataques de Cross-Site Scripting.
  • Vulnerabilidad en ywoa (CVE-2025-1226)
    Severidad: MEDIA
    Fecha de publicación: 12/02/2025
    Fecha de última actualización: 05/06/2025
    Se ha detectado una vulnerabilidad en ywoa hasta la versión 2024.07.03. Se ha declarado como crítica. Esta vulnerabilidad afecta al código desconocido del archivo /oa/setup/setup.jsp. La manipulación conduce a una autorización incorrecta. El ataque puede iniciarse de forma remota. El exploit se ha hecho público y puede utilizarse. La actualización a la versión 2024.07.04 puede solucionar este problema. Se recomienda actualizar el componente afectado.
  • Vulnerabilidad en ywoa (CVE-2025-1227)
    Severidad: MEDIA
    Fecha de publicación: 12/02/2025
    Fecha de última actualización: 05/06/2025
    Se encontró una vulnerabilidad en ywoa hasta la versión 2024.07.03. Se ha calificado como crítica. Este problema afecta a la función selectList del archivo com/cloudweb/oa/mapper/xml/AddressDao.xml. La manipulación conduce a una inyección SQL. El ataque puede iniciarse de forma remota. El exploit se ha divulgado al público y puede utilizarse. La actualización a la versión 2024.07.04 puede solucionar este problema. Se recomienda actualizar el componente afectado.
  • Vulnerabilidad en PHPJabbers Car Park Booking System v3.0 (CVE-2023-51308)
    Severidad: MEDIA
    Fecha de publicación: 20/02/2025
    Fecha de última actualización: 05/06/2025
    PHPJabbers Car Park Booking System v3.0 es vulnerable a la inyección de HTML múltiple en los parámetros "name, plugin_sms_api_key, plugin_sms_country_code, title, plugin_sms_api_key, title".
  • Vulnerabilidad en PHPJabbers Car Park Booking System v3.0 (CVE-2023-51309)
    Severidad: MEDIA
    Fecha de publicación: 20/02/2025
    Fecha de última actualización: 05/06/2025
    La falta de limitación de velocidad en la función 'Email Settings' de PHPJabbers Car Park Booking System v3.0 permite a los atacantes enviar una cantidad excesiva de correo electrónico a un usuario legítimo, lo que lleva a una posible denegación de servicio (DoS) a través de una gran cantidad de mensajes de correo electrónico generados.
  • Vulnerabilidad en PHPJabbers Car Park Booking System v3.0 (CVE-2023-51310)
    Severidad: MEDIA
    Fecha de publicación: 20/02/2025
    Fecha de última actualización: 05/06/2025
    La falta de limitación de velocidad en las funciones 'Forgot Password', 'Email Settings' de PHPJabbers Car Park Booking System v3.0 permite a los atacantes enviar una cantidad excesiva de correo electrónico a un usuario legítimo, lo que lleva a una posible denegación de servicio (DoS) a través de una gran cantidad de mensajes de correo electrónico generados.
  • Vulnerabilidad en PHPJabbers Car Park Booking System v3.0 (CVE-2023-51311)
    Severidad: ALTA
    Fecha de publicación: 20/02/2025
    Fecha de última actualización: 05/06/2025
    PHPJabbers Car Park Booking System v3.0 es afectado por una vulnerabilidad de inyección CSV que permite a un atacante ejecutar código remoto. La vulnerabilidad existe debido a una validación de entrada insuficiente en la sección Idiomas. Etiqueta cualquier campo de parámetros en System Options que se utiliza para construir el archivo CSV.
  • Vulnerabilidad en zj1983 zz (CVE-2025-1812)
    Severidad: MEDIA
    Fecha de publicación: 02/03/2025
    Fecha de última actualización: 05/06/2025
    Se ha encontrado una vulnerabilidad clasificada como crítica en zj1983 zz hasta 2024-08. La función GetUserOrg del archivo com/futvan/z/framework/core/SuperZ.java está afectada. La manipulación del argumento userId conduce a una inyección SQL. Es posible lanzar el ataque de forma remota. Se ha hecho público el exploit y puede que sea utilizado. Se contactó al proveedor con anticipación sobre esta revelación, pero no respondió de ninguna manera.
  • Vulnerabilidad en ESAFENET CDG 5.6.3.154.205 (CVE-2025-1840)
    Severidad: MEDIA
    Fecha de publicación: 03/03/2025
    Fecha de última actualización: 05/06/2025
    Se ha encontrado una vulnerabilidad en ESAFENET CDG 5.6.3.154.205. Se ha calificado como crítica. Este problema afecta a algunas funciones desconocidas del archivo /CDGServer3/workflowE/useractivate/updateorg.jsp. La manipulación del argumento flowId provoca una inyección SQL. El ataque puede ejecutarse de forma remota. Se ha hecho público el exploit y puede que sea utilizado.
  • Vulnerabilidad en FreeFloat FTP Server 1.0 (CVE-2025-5073)
    Severidad: MEDIA
    Fecha de publicación: 22/05/2025
    Fecha de última actualización: 05/06/2025
    Se ha detectado una vulnerabilidad clasificada como crítica en FreeFloat FTP Server 1.0. Este problema afecta a un procesamiento desconocido del componente MKDIR Command Handler. La manipulación provoca un desbordamiento del búfer. El ataque podría iniciarse remotamente. Se ha hecho público el exploit y puede que sea utilizado.
  • Vulnerabilidad en FreeFloat FTP Server 1.0 (CVE-2025-5074)
    Severidad: MEDIA
    Fecha de publicación: 22/05/2025
    Fecha de última actualización: 05/06/2025
    Se encontró una vulnerabilidad clasificada como crítica en FreeFloat FTP Server 1.0. Se ve afectada una función desconocida del componente PROMPT Command Handler. La manipulación provoca un desbordamiento del búfer. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado.