Reports

Resultados para “dos”

66 resultado(s)

MEDIA#3689633

Discourse: un editor de etiquetas podía modificar etiquetas ocultas usando su ID en las rutas de sinónimos

Los endpoints de sinónimos y de ajustes de etiquetas de Discourse solo comprobaban permisos sobre la etiqueta visible, así que un editor sin acceso podía convertir etiquetas ocultas en sinónimos indicando su ID numérico.

[IDOR / BOLA]discourse
28 sep 2026
2 min
MEDIA#3893632

Secure Custom Fields: fuga sin autenticación de títulos e IDs de entradas en borrador, privadas o pendientes

Los manejadores AJAX públicos de los campos post_object, relationship y page_link de Secure Custom Fields 6.9.2 consultaban entradas con post_status "any", y cualquier visitante anónimo podía listar y buscar contenido no publicado.

[IDOR / BOLA]wordpress
28 sep 2026
3 min
CRÍTICA#3778282

Inyección SQL sin autenticación en la API WDMProduct (Essity)

Un parámetro de búsqueda sin sanear en GET /api/WDMProduct permitía inyección SQL ciega y consultas apiladas contra un SQL Server, exponiendo lectura y escritura de datos de producción sin autenticarse.

[SQL INJECTION]essity18 visitas
28 sep 2026
4 min
CRÍTICA#3729501

XSS almacenado sin autenticación en la API de contacto de Essity (Umbraco) con salto de reCAPTCHA

La API pública de contacto de Essity aceptaba tickets sin autenticar con HTML y JavaScript en más de 12 campos, saltándose reCAPTCHA, CSRF y límite de peticiones. El código se ejecutaba en la sesión del operador del back-office de Umbraco.

[XSS]essity
28 sep 2026
4 min
CRÍTICA#3931771

WordPress: XSS almacenado de Autor a Administrador mediante el nombre de fichero de una miniatura en wp-admin

El endpoint REST finalize guardaba sin sanear el nombre de fichero de los tamaños de imagen, y get_media_item() lo pintaba sin escapar en wp-admin: un Autor podía ejecutar JavaScript en la sesión de un administrador.

[XSS]wordpress
28 sep 2026
7 min
CRÍTICA#3931777

Un autor de WordPress podía borrar cualquier fichero del servidor abusando del endpoint /finalize

Un fallo de path traversal en el endpoint de medios de Gutenberg/WordPress permitía a un usuario con rol Autor borrar archivos arbitrarios del disco, incluido wp-config.php, y quedarse con el control del sitio.

[APIS]wordpress
27 sep 2026
6 min
ALTA#3869124

Weblate: IDOR sin autenticación permitía modificar los datos de facturación asociados a un pago

La página de edición de pagos de Weblate no comprobaba ni la sesión ni los permisos: bastaba con conocer el UUID de un pago para cambiar el nombre y la dirección de facturación del cliente.

[IDOR / BOLA]weblate
27 sep 2026
2 min
ALTA#1534465

Ticket Trick en un portal de soporte del programa de Rockstar Games: leer enlaces de acceso para entrar en cuentas ajenas

Un portal de soporte incluido en el programa de Rockstar Games no verificaba la propiedad del email al registrarse, así que un atacante podía leer como tickets los enlaces de acceso enviados a direcciones corporativas.

[AUTENTICACIÓN]rockstargames
27 sep 2026
2 min
BAJA#3916059

curl: use-after-free en el pool de conexiones compartido al recibir un HTTP/2 server push (CVE-2026-18924)

Si una aplicación comparte conexiones con CURLSH y acepta un server push de HTTP/2, libcurl libera una conexión que sigue enlazada en el pool compartido y después vuelve a leerla.

[CORRUPCIÓN DE MEMORIA]curl11 visitas
27 sep 2026
5 min
ALTA#3887969

SSRF en el cliente wlc de Weblate por discrepancia entre analizadores de URL en normalize_request_url

wlc valida el origen de las URL con urlparse, pero requests las resuelve con urllib3. Una barra invertida antes de la @ hace que ambos vean hosts distintos, y un servidor malicioso puede redirigir las peticiones del cliente a cualquier host.

[SSRF]weblate
27 sep 2026
5 min
MEDIA#3969820

wcurl en Windows: una barra invertida literal en la URL escribe ficheros fuera del directorio elegido

get_url_filename() de wcurl neutralizaba las secuencias %2F y %5C, pero dejaba pasar la barra invertida literal. En Windows eso permitía crear un fichero fuera de la carpeta elegida por el usuario (CVE-2026-80256).

[PATH TRAVERSAL]curl
27 sep 2026
2 min
MEDIA#3599383

Nextcloud Deck: la API de configuración acepta preferencias de tableros ajenos sin comprobar permisos

El endpoint de configuración de Deck guardaba claves del tipo board:<id>:<clave> para cualquier ID de tablero, sin verificar que el usuario tuviera acceso a ese tablero.

[IDOR / BOLA]nextcloud
27 sep 2026
2 min