[IDOR / BOLA]17 [XSS]18 [SSRF]11 [SQL INJECTION]11 [OAUTH Y SESIONES]8 [RCE]15 [APIS]9 [LÓGICA DE NEGOCIO]22 [AUTENTICACIÓN]43 [CONFIGURACIÓN]20 [CORRUPCIÓN DE MEMORIA]30 [DENEGACIÓN DE SERVICIO]40 [TLS Y CRIPTOGRAFÍA]27 [PATH TRAVERSAL]7 [OTRAS INYECCIONES]20 [EXPOSICIÓN DE DATOS]25 [OTROS]12

Resultados para “php”

39 resultado(s)

BAJA#3533697

Nextcloud Collectives: un enlace público permitía crear páginas aunque la edición estuviera limitada a administradores

La API de creación de páginas de Nextcloud Collectives no aplicaba la restricción «Allow editing for = Admins only», así que quien entraba por un enlace público de edición podía crear páginas llamando al endpoint directamente.

[APIS]nextcloud11 visitas

24 sep 2026
2 min

BAJA#3913012

Roundcube: inyección de cabeceras SMTP persistente a través del campo "organización" de la identidad

El campo organization de las identidades de Roundcube se guardaba sin quitar saltos de línea y se copiaba tal cual a la cabecera Organization, lo que permitía añadir cabeceras como Bcc o From a todos los correos enviados.

[OTRAS INYECCIONES]nextcloud11 visitas

23 sep 2026
3 min

MEDIA#3301553

Nextcloud files_lock: bloquear y desbloquear ficheros de otros usuarios usando su ruta WebDAV absoluta

El plugin DAV de files_lock abría el fichero del usuario indicado en la URL sin compararlo con el usuario autenticado, y además devolvía el token de bloqueo a quien no estaba autorizado.

[IDOR / BOLA]nextcloud16 visitas

23 sep 2026
5 min