Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

Vulnerabilidad en el paquete freeopcua/freeopcua (CVE-2022-24298)
Severidad: ALTA
Fecha de publicación: 23/08/2022
Fecha de última actualización: 03/03/2026
Todas las versiones del paquete freeopcua/freeopcua son vulnerables a una Denegación de Servicio (DoS) cuando son omitidas las limitaciones por consumo excesivo de memoria mediante el envío de múltiples peticiones CloseSession con el parámetro deleteSubscription igual a False.
Vulnerabilidad en TSplus Remote Access (CVE-2023-31069)
Severidad: CRÍTICA
Fecha de publicación: 11/09/2023
Fecha de última actualización: 03/03/2026
Se descubrió un problema en TSplus Remote Access hasta 16.0.2.14. Las credenciales se almacenan como texto sin cifrar dentro del código fuente HTML de la página de inicio de sesión.
Vulnerabilidad en TSplus Remote Access (CVE-2023-31068)
Severidad: CRÍTICA
Fecha de publicación: 11/09/2023
Fecha de última actualización: 03/03/2026
Se descubrió un problema en TSplus Remote Access hasta 16.0.2.14. Hay permisos de control total para Todos en algunos directorios en %PROGRAMFILES(X86)%\TSplus\UserDesktop\themes.
Vulnerabilidad en WordPress (CVE-2023-4549)
Severidad: MEDIA
Fecha de publicación: 25/09/2023
Fecha de última actualización: 03/03/2026
El complemento DoLogin Security para WordPress anterior a 3.7 no sanitiza adecuadamente las direcciones IP provenientes del encabezado X-Forwarded-For, que los atacantes pueden utilizar para realizar ataques XSS almacenados a través del formulario de inicio de sesión de WordPress.
Vulnerabilidad en WordPress (CVE-2023-4631)
Severidad: MEDIA
Fecha de publicación: 25/09/2023
Fecha de última actualización: 03/03/2026
El complemento DoLogin Security de WordPress anterior a 3.7 utiliza encabezados como X-Forwarded-For para recuperar la dirección IP de la solicitud, lo que podría provocar una suplantación de IP.
Vulnerabilidad en httpsig-hyper (CVE-2026-26275)
Severidad: ALTA
Fecha de publicación: 19/02/2026
Fecha de última actualización: 03/03/2026
httpsig-hyper es una extensión hyper para firmas de mensajes HTTP. Se descubrió un problema en 'httpsig-hyper' anterior a la versión 0.0.23 donde la verificación del encabezado Digest podría ser exitosa, aunque de forma indebida, por el mal funcionamiento de la macro 'matches!' de Rust. Específicamente, la comparación 'if matches!(digest, _expected_digest)' trataba '_expected_digest' como una vinculación de patrón en lugar de una comparación de valor, lo que resultaba en el éxito incondicional de la expresión de coincidencia. Como consecuencia, la verificación del digest podía devolver éxito incorrectamente incluso cuando el digest calculado no coincidía con el valor esperado. Por lo tanto, las aplicaciones que dependen de la verificación de Digest como parte de la validación de firmas de mensajes HTTP, pueden no detectar la modificación del cuerpo del mensaje. La gravedad depende de cómo se integra la biblioteca y si se aplican capas adicionales de validación de firmas. Este problema ha sido solucionado en 'httpsig-hyper' 0.0.23. La solución reemplaza el uso incorrecto de 'matches!' por una comparación de valor adecuada y adicionalmente introduce una comparación de tiempo constante para la verificación del digest como defensa en profundidad. También se han añadido pruebas de regresión para evitar la reintroducción de este problema. Se recomienda encarecidamente a los usuarios que actualicen a la versión parcheada. No hay una solución alternativa fiable sin actualizar. Los usuarios que no puedan actualizar inmediatamente deben evitar depender únicamente de la verificación de Digest para la integridad del mensaje y asegurarse de que la verificación completa de la firma de mensajes HTTP se aplique en la capa de aplicación.
Vulnerabilidad en Flare de FlintSH (CVE-2026-26993)
Severidad: MEDIA
Fecha de publicación: 20/02/2026
Fecha de última actualización: 03/03/2026
Flare es una plataforma autoalojable para compartir archivos basada en Next.js que se integra con herramientas de captura de pantalla. Las versiones 1.7.0 e inferiores permiten a los usuarios subir archivos sin una validación o saneamiento de contenido adecuados. Al incrustar JavaScript malicioso dentro de un SVG (u otros formatos de contenido activo como HTML o XML), un atacante puede lograr la ejecución de scripts en el contexto del origen de la aplicación cuando una víctima ve el archivo en modo 'raw'. Esto resulta en una vulnerabilidad de cross-site scripting (XSS) almacenado que puede ser explotada para exfiltrar datos de usuario. Este problema ha sido solucionado en la versión 1.7.1.
Vulnerabilidad en Formwork (CVE-2026-27198)
Severidad: ALTA
Fecha de publicación: 21/02/2026
Fecha de última actualización: 03/03/2026
Formwork es un Sistema de Gestión de Contenidos (CMS) basado en archivos planos. En las versiones 2.0.0 a 2.3.3, la aplicación no logra aplicar correctamente la autorización basada en roles durante la creación de cuentas. Aunque el sistema valida que el rol especificado existe, no verifica si el usuario actual tiene privilegios suficientes para asignar roles altamente privilegiados como 'admin'. Como resultado, un usuario autenticado con el rol de 'editor' puede crear una nueva cuenta con privilegios administrativos, lo que lleva a un acceso administrativo completo y a un compromiso total del CMS. Este problema ha sido solucionado en la versión 2.3.4.
Vulnerabilidad en Werkzeug (CVE-2026-27199)
Severidad: MEDIA
Fecha de publicación: 21/02/2026
Fecha de última actualización: 03/03/2026
Werkzeug es una completa biblioteca de aplicaciones web WSGI. Las versiones 3.1.5 e inferiores, la función safe_join permite nombres de dispositivos de Windows como nombres de archivo si van precedidos por otros segmentos de ruta. Esto fue reportado previamente como GHSA-hgf8-39gv-g3f2, pero el filtrado añadido no tuvo en cuenta el hecho de que safe_join acepta rutas con múltiples segmentos, como example/NUL. La función send_from_directory utiliza safe_join para servir archivos de forma segura en rutas especificadas por el usuario bajo un directorio. Si la aplicación se está ejecutando en Windows, y la ruta solicitada termina con un nombre de dispositivo especial, el archivo se abrirá con éxito, pero la lectura se colgará indefinidamente. Este problema ha sido solucionado en la versión 3.1.6.
Vulnerabilidad en asn1-ts de JonathanWilbur (CVE-2026-27452)
Severidad: CRÍTICA
Fecha de publicación: 21/02/2026
Fecha de última actualización: 03/03/2026
Biblioteca ESM de TypeScript para ASN.1, incluyendo códecs para las Reglas Básicas de Codificación (BER) y las Reglas de Codificación Distinguida (DER). En las versiones 11.0.5 e inferiores, en algunos casos, la decodificación de un INTEGER podría filtrar el ArrayBuffer subyacente. Se espera que este problema se solucione en la versión 11.0.6.
Vulnerabilidad en new-api de QuantumNous (CVE-2026-25591)
Severidad: ALTA
Fecha de publicación: 24/02/2026
Fecha de última actualización: 03/03/2026
La nueva API es un portal de modo de lenguaje grande (LLM) y un sistema de gestión de activos de inteligencia artificial (IA). Antes de la versión 0.10.8-alpha.10, una vulnerabilidad de inyección de comodines SQL LIKE en el endpoint '/api/token/search' permite a usuarios autenticados causar denegación de servicio a través del agotamiento de recursos al crear patrones de búsqueda maliciosos. El endpoint de búsqueda de tokens acepta parámetros 'keyword' y 'token' suministrados por el usuario que se concatenan directamente en cláusulas SQL LIKE sin escapar caracteres comodín ('%', '_'). Esto permite a los atacantes inyectar patrones que desencadenan consultas costosas a la base de datos. La versión 0.10.8-alpha.10 contiene un parche.
Vulnerabilidad en a54552239 pearProjectApi (CVE-2026-3057)
Severidad: MEDIA
Fecha de publicación: 24/02/2026
Fecha de última actualización: 03/03/2026
Se ha descubierto una vulnerabilidad de seguridad en a54552239 pearProjectApi hasta la versión 2.8.10. Afecta a la función dateTotalForProject del archivo application/common/Model/Task.PHP del componente Interfaz de Backend. Si se manipula el argumento projectCode se puede provocar una inyección SQL. El ataque puede lanzarse de forma remota. El exploit ha sido publicado y puede ser utilizado para ataques. El proveedor fue contactado con antelación sobre esta divulgación, pero no respondió de ninguna manera.
Vulnerabilidad en wger (CVE-2026-27835)
Severidad: MEDIA
Fecha de publicación: 26/02/2026
Fecha de última actualización: 03/03/2026
wger es un gestor de entrenamientos y fitness gratuito y de código abierto. En versiones hasta la 2.4 inclusive, 'RepetitionsConfigViewSet' y 'MaxRepetitionsConfigViewSet' devuelven los datos de configuración de repeticiones de todos los usuarios porque su 'get_queryset()' llama a '.all()' en lugar de filtrar por el usuario autenticado. Cualquier usuario registrado puede enumerar la estructura de entrenamiento de cualquier otro usuario. El commit 1fda5690b35706bb137850c8a084ec6a13317b64 contiene una solución para el problema.
Vulnerabilidad en SteVe (CVE-2026-28230)
Severidad: ALTA
Fecha de publicación: 26/02/2026
Fecha de última actualización: 03/03/2026
SteVe es un sistema de gestión de estaciones de carga de vehículos eléctricos de código abierto. En versiones hasta la 3.11.0 inclusive, cuando un cargador envía un mensaje StopTransaction, SteVe busca la transacción únicamente por transactionId (un entero secuencial que comienza en 1) sin verificar que el cargador solicitante coincida con el cargador que inició originalmente la transacción. Cualquier cargador autenticado puede terminar la sesión activa de cualquier otro cargador en toda la red. La causa raíz se encuentra en OcppServerRepositoryImpl.getTransaction() que consulta únicamente por transactionId sin una verificación de propiedad de chargeBoxId. El validador verifica que la transacción existe y no está ya detenida, pero nunca verifica la identidad. Como un atacante que controla un único cargador registrado, podría enumerar IDs de transacción secuenciales y enviar mensajes StopTransaction dirigidos a sesiones activas en todos los demás cargadores de la red simultáneamente. Combinado con FINDING-014 (endpoints SOAP no autenticados), ni siquiera se requiere un cargador registrado; el ataque es ejecutable con un solo comando curl que requiere solo un chargeBoxId conocido. El commit 7f169c6c5b36a9c458ec41ce8af581972e5c724e contiene una solución para el problema.
Vulnerabilidad en Kiteworks (CVE-2026-28269)
Severidad: MEDIA
Fecha de publicación: 26/02/2026
Fecha de última actualización: 03/03/2026
Kiteworks es una red de datos privada (PDN). Antes de la versión 9.2.0, una vulnerabilidad en la funcionalidad de ejecución de comandos de Kiteworks permite a usuarios autenticados redirigir la salida de comandos a ubicaciones de archivo arbitrarias. Esto podría ser explotado para sobrescribir archivos críticos del sistema y obtener acceso elevado. La versión 9.2.0 contiene un parche.
Vulnerabilidad en go2ismail Free-CRM (CVE-2026-3264)
Severidad: MEDIA
Fecha de publicación: 26/02/2026
Fecha de última actualización: 03/03/2026
Se determinó una vulnerabilidad en go2ismail Free-CRM hasta b83c40a90726d5e58f0cc680ffdcaa28a03fb5d1. Afectada por este problema es alguna funcionalidad desconocida del componente Interfaz Administrativa. Ejecutar una manipulación puede llevar a la ejecución después de redirección. El ataque puede ser ejecutado remotamente. El exploit ha sido divulgado públicamente y puede ser utilizado. Este producto implementa una publicación continua para entrega en curso, lo que significa que la información de la versión para las publicaciones afectadas o actualizadas no está disponible. El proveedor fue contactado tempranamente sobre esta divulgación, pero no respondió de ninguna manera.
Vulnerabilidad en go2ismail Free-CRM (CVE-2026-3265)
Severidad: MEDIA
Fecha de publicación: 26/02/2026
Fecha de última actualización: 03/03/2026
Se identificó una vulnerabilidad en go2ismail Free-CRM hasta b83c40a90726d5e58f0cc680ffdcaa28a03fb5d1. Esto afecta una parte desconocida del archivo /api/Security/ del componente Security API. La manipulación conduce a una autorización indebida. El ataque es posible de llevar a cabo remotamente. El exploit está disponible públicamente y podría ser utilizado. Este producto adopta una estrategia de lanzamiento continuo para mantener la entrega continua. Por lo tanto, los detalles de la versión para las versiones afectadas o actualizadas no pueden especificarse. El proveedor fue contactado con antelación sobre esta divulgación, pero no respondió de ninguna manera.
Vulnerabilidad en Apache::SessionX (CVE-2025-40932)
Severidad: ALTA
Fecha de publicación: 27/02/2026
Fecha de última actualización: 03/03/2026
Las versiones de Apache::SessionX hasta la 2.01 para Perl crean un ID de sesión inseguro. Apache::SessionX genera IDs de sesión de forma insegura. El generador de ID de sesión predeterminado en Apache::SessionX::Generate::MD5 devuelve un hash MD5 sembrado con la función rand() incorporada, el tiempo de época y el PID. El PID provendrá de un pequeño conjunto de números, y el tiempo de época puede ser adivinado, si no se filtra del encabezado HTTP Date. La función rand incorporada no es adecuada para uso criptográfico. Los IDs de sesión predecibles podrían permitir a un atacante obtener acceso a los sistemas.
Vulnerabilidad en Crypt::SysRandom::XS (CVE-2026-2597)
Severidad: ALTA
Fecha de publicación: 27/02/2026
Fecha de última actualización: 03/03/2026
Las versiones de Crypt::SysRandom::XS anteriores a la 0.010 para Perl son vulnerables a un desbordamiento de búfer de montón en la función XS random_bytes(). La función no valida que el parámetro de longitud no sea negativo. Si se proporciona un valor negativo (p. ej., -1), la expresión length + 1u causa un desbordamiento de enteros, lo que resulta en una asignación de cero bytes. La llamada subsiguiente a la función aleatoria elegida (p. ej., getrandom) pasa el valor negativo original, que se convierte implícitamente a un valor sin signo grande (típicamente SIZE_MAX). Esto puede resultar en escrituras más allá del búfer asignado, lo que lleva a corrupción de memoria de montón y a un fallo de la aplicación (denegación de servicio). En el uso común, el argumento de longitud suele estar codificado de forma rígida por el llamador, lo que reduce la probabilidad de explotación controlada por el atacante. Las aplicaciones que pasan entrada no confiable a este parámetro pueden verse afectadas.
Vulnerabilidad en psi-probe PSI Probe (CVE-2026-3269)
Severidad: MEDIA
Fecha de publicación: 27/02/2026
Fecha de última actualización: 03/03/2026
Se ha encontrado un fallo en psi-probe PSI Probe hasta la versión 5.3.0. El elemento afectado es la función handleRequestInternal del archivo psi-probe-core/src/main/java/psiprobe/controllers/sessions/ExpireSessionsController.java del componente Gestor de Sesiones. La ejecución de una manipulación puede llevar a una denegación de servicio. El ataque puede ser lanzado remotamente. El exploit ha sido publicado y puede ser utilizado. El proveedor fue contactado tempranamente sobre esta divulgación pero no respondió de ninguna manera.
Vulnerabilidad en psi-probe PSI Probe (CVE-2026-3270)
Severidad: MEDIA
Fecha de publicación: 27/02/2026
Fecha de última actualización: 03/03/2026
Una vulnerabilidad ha sido encontrada en psi-probe PSI Probe hasta 5.3.0. Esto afecta la función lookup del archivo psi-probe-core/src/main/java/psiprobe/tools/Whois.java del componente Whois. La manipulación conduce a falsificación de petición del lado del servidor. El ataque puede ser iniciado remotamente. El exploit ha sido divulgado al público y puede ser utilizado. El proveedor fue contactado tempranamente sobre esta divulgación pero no respondió de ninguna manera.
Vulnerabilidad en Net::CIDR (CVE-2021-4456)
Severidad: MEDIA
Fecha de publicación: 27/02/2026
Fecha de última actualización: 03/03/2026
Las versiones de Net::CIDR anteriores a la 0.24 para Perl manejan incorrectamente los ceros iniciales en las direcciones IP CIDR, lo que puede tener un impacto no especificado. Las funciones `addr2cidr` y `cidrlookup` pueden devolver ceros iniciales en una cadena CIDR, que a su vez pueden ser interpretados como números octales por usuarios posteriores. En algunos casos, un atacante podría aprovechar esto para eludir los controles de acceso basados en direcciones IP. La documentación aconseja validar cadenas CIDR no confiables con la función `cidrvalidate`. Sin embargo, esta mitigación es opcional y no se aplica por defecto. En la práctica, los usuarios pueden llamar a `addr2cidr` o `cidrlookup` con entrada no confiable y sin validación, asumiendo incorrectamente que esto es seguro.
Vulnerabilidad en Tenda F453 (CVE-2026-3376)
Severidad: ALTA
Fecha de publicación: 28/02/2026
Fecha de última actualización: 03/03/2026
Se ha detectado una vulnerabilidad de seguridad en Tenda F453 1.0.0.3, la cual afecta a la función fromSafeMacFilter del archivo /goform/SafeMacFilter. Manipular el argumento page conduce a un desbordamiento de búfer. Es posible lanzar el ataque de forma remota. El exploit ha sido divulgado públicamente y puede ser utilizado.
Vulnerabilidad en Tenda F453 (CVE-2026-3377)
Severidad: ALTA
Fecha de publicación: 01/03/2026
Fecha de última actualización: 03/03/2026
Se detectó una vulnerabilidad en Tenda F453 1.0.0.3, la cual afecta a la función fromSafeUrlFilter del archivo /goform/SafeUrlFilter. Manipular el argumento page resulta en un desbordamiento de búfer. El ataque puede iniciarse de forma remota. El exploit es ahora público y puede ser utilizado.
Vulnerabilidad en Tenda F453 (CVE-2026-3378)
Severidad: ALTA
Fecha de publicación: 01/03/2026
Fecha de última actualización: 03/03/2026
Se ha encontrado una vulnerabilidad en Tenda F453 1.0.0.3, la cual afecta a la función fromqossetting del archivo /goform/qossetting. Manipular el argumento qos puede conducir a un desbordamiento de búfer. El ataque puede lanzarse en remoto. El exploit ha sido publicado y puede ser utilizado.
Vulnerabilidad en Tenda F453 (CVE-2026-3379)
Severidad: ALTA
Fecha de publicación: 01/03/2026
Fecha de última actualización: 03/03/2026
Se ha encontrado una vulnerabilidad en Tenda F453 1.0.0.3, la cual afeacta a la función fromSetIpBind del archivo /goform/SetIpBind. Manipular el argumento page conduce a desbordamiento de búfer. El ataque puede ser iniciado en remoto. El exploit ha sido divulgado al público y puede ser usado.
Vulnerabilidad en Tenda F453 (CVE-2026-3380)
Severidad: ALTA
Fecha de publicación: 01/03/2026
Fecha de última actualización: 03/03/2026
Se encontró una vulnerabilidad en Tenda F453 1.0.0.3, la cual afecta a la función frmL7ImForm del archivo /goform/L7Im. Manipular el argumento page provoca un desbordamiento de búfer. El ataque puede lanzarse de forma remota. El exploit se ha hecho público y podría ser usado.
Vulnerabilidad en Tenda F453 (CVE-2026-3398)
Severidad: ALTA
Fecha de publicación: 01/03/2026
Fecha de última actualización: 03/03/2026
Se ha descubierto una vulnerabilidad en Tenda F453 1.0.0.3, la cual afecta a la función fromAdvSetWan del archivo /goform/AdvSetWan del componente httpd. Al manipular el argumento wanmode/PPPOEPassword se puede provocar un desbordamiento de búfer. El ataque puede ser lanzado en remoto. El exploit ha sido divulgado públicamente y puede ser utilizado.
Vulnerabilidad en Tenda F453 (CVE-2026-3399)
Severidad: ALTA
Fecha de publicación: 01/03/2026
Fecha de última actualización: 03/03/2026
Se ha descubierto una vulnerabilidad en Tenda F453 1.0.0.3, la cual afecta a la función fromGstDhcpSetSer del archivo /goform/GstDhcpSetSer del componente httpd. Si se manipula el argumento dips se provoca un desbordamiento del búfer. El ataque puede ser iniciado en remoto. El exploit está disponible públicamente y podría ser utilizado.
Vulnerabilidad en Tenda AC15 (CVE-2026-3400)
Severidad: ALTA
Fecha de publicación: 02/03/2026
Fecha de última actualización: 03/03/2026
Se ha descubierto una falla de seguridad en Tenda AC15 hasta la versión 15.13.07.13. La cual afecta a alguna funcionalidad desconocida del archivo /goform/TextEditingConversion. Si se manipula el argumento wpapsk_crypto2_4g se provoca un desbordamiento de búfer basado en pila. El ataque puede ser lanzado en remoto. El exploit ha sido publicado y puede ser utilizado para ataques.
Vulnerabilidad en SourceCodester Web-based Pharmacy Product Management System (CVE-2026-3401)
Severidad: BAJA
Fecha de publicación: 02/03/2026
Fecha de última actualización: 03/03/2026
Se ha identificado una debilidad en SourceCodester Web-based Pharmacy Product Management System 1.0, la cual afecta a una parte desconocida. Si se manipula se provoca que la sesión expire. Es posible explotar el ataque en remoto. El ataque es de complejidad bastante alta y difícil de explotar. El exploit se ha puesto a disposición del público y podría utilizarse para ataques.
Vulnerabilidad en PHPGurukul Student Record Management System (CVE-2026-3402)
Severidad: MEDIA
Fecha de publicación: 02/03/2026
Fecha de última actualización: 03/03/2026
Se ha encontrado una vulnerabilidad de seguridad en PHPGurukul Student Record Management System hasta la versión 1.0, la cual afecta a código desconocido del archivo /edit-course.php. Manipular el argumento Course Short Name provoca un cross site scripting. El ataque puede ser ejecutado en remoto. El exploit ha sido divulgado públicamente y puede ser usado.
Vulnerabilidad en PHPGurukul Student Record Management System (CVE-2026-3403)
Severidad: MEDIA
Fecha de publicación: 02/03/2026
Fecha de última actualización: 03/03/2026
Se detectó una vulnerabilidad en PHPGurukul Student Record Management System 1.0, la cual afeacta a algún procesamiento desconocido del archivo /edit-subject.php. Manipular el argumento Subject 1 provoca un cross-site scripting. Es posible lanzar el ataque en remoto. El exploit ahora es público y puede ser usado.
Vulnerabilidad en thinkgem JeeSite (CVE-2026-3405)
Severidad: BAJA
Fecha de publicación: 02/03/2026
Fecha de última actualización: 03/03/2026
Se ha encontrado una vulnerabilidad en thinkgem JeeSite hasta la versión 5.15.1, la cual afecta a una función desconocida del componente Connection Handler. Su manipulación conduce a un salto de ruta. Es posible iniciar el ataque de forma remota. El ataque es de complejidad alta y difícil de explotar. El exploit ha sido divulgado al público y puede ser utilizado. Antes de divulgar esta vulnerabilidad se contactó con el proveedor, pero no respondió de ninguna manera.
Vulnerabilidad en Online Art Gallery Shop (CVE-2026-3406)
Severidad: MEDIA
Fecha de publicación: 02/03/2026
Fecha de última actualización: 03/03/2026
Se ha descubierto una vulnerabilidad en projectworlds Online Art Gallery Shop 1.0, la cual afecta a una función desconocida del archivo /admin/registration.php del componente Gestor de Registro. Al manipular el argumento fname se provoca una inyección SQL. Es posible lanzar el ataque de forma remota. El exploit ha sido hecho público y podría ser utilizado.
Vulnerabilidad en itsourcecode University Management System (CVE-2026-3410)
Severidad: MEDIA
Fecha de publicación: 02/03/2026
Fecha de última actualización: 03/03/2026
Se ha identificado una vulnerabilidad en itsourcecode Society Management System 1.0, la cual afeacta a una funcionalidad desconocida del archivo /admin/check_studid.php. Si se maipula el argumento student_id se puede provocar una inyección SQL. El ataque puede lanzarse de forma remota. El exploit se ha puesto a disposición del público y podría usarse para ataques.
Vulnerabilidad en itsourcecode University Management System (CVE-2026-3411)
Severidad: MEDIA
Fecha de publicación: 02/03/2026
Fecha de última actualización: 03/03/2026
Se ha detectado una vulnerabilidad de seguridad en itsourcecode University Management System 1.0. La cual afecta a alguna funcionalidad desconocida del archivo /admin_single_student_update.PHP. Manipular el argumento ID provoca una inyección SQL. Es posible explotar el ataque en remoto. El exploit ha sido divulgado públicamente y puede ser usado.
Vulnerabilidad en itsourcecode University Management System (CVE-2026-3412)
Severidad: MEDIA
Fecha de publicación: 02/03/2026
Fecha de última actualización: 03/03/2026
Se detectó una vulnerabilidad en itsourcecode University Management System 1.0. Esto afecta una parte desconocida del archivo /att_single_view.PHP. Al manipular el argumento dt se logra un cross site scripting. El ataque puede ser ejecutado en remoto. El exploit es ahora público y puede ser usado.
Vulnerabilidad en tsourcecode University Management System (CVE-2026-3413)
Severidad: MEDIA
Fecha de publicación: 02/03/2026
Fecha de última actualización: 03/03/2026
Se ha encontrado una falla en itsourcecode University Management System 1.0. Esta vulnerabilidad afecta a código desconocido del archivo /admin_single_student.PHP. Esta manipulación del argumento ID causa inyección SQL. El ataque es posible de llevar a cabo remotamente. El exploit ha sido publicado y puede ser usado.