[IDOR / BOLA]17 [XSS]18 [SSRF]11 [SQL INJECTION]11 [OAUTH Y SESIONES]8 [RCE]15 [APIS]9 [LÓGICA DE NEGOCIO]22 [AUTENTICACIÓN]43 [CONFIGURACIÓN]20 [CORRUPCIÓN DE MEMORIA]30 [DENEGACIÓN DE SERVICIO]40 [TLS Y CRIPTOGRAFÍA]27 [PATH TRAVERSAL]7 [OTRAS INYECCIONES]20 [EXPOSICIÓN DE DATOS]25 [OTROS]12

Resultados para “exposicion-de-datos”

3 resultado(s)

ALTA#4152553

Secure Custom Fields (WordPress) entregaba sin login entradas privadas, borradores y contraseñas de posts protegidos

Los campos de referencia de Secure Custom Fields resolvían IDs de entradas con acf_get_posts(), que no comprueba permisos de lectura: un visitante anónimo podía leer posts privados, borradores y la contraseña en claro de los protegidos.

[EXPOSICIÓN DE DATOS]wordpress

06 nov 2026
4 min

BAJA#3027405

Departamento de Defensa de EE. UU.: el endpoint /users devolvía datos personales y auth_data sin autenticación

Un endpoint de la API de un sitio del Departamento de Defensa de EE. UU. devolvía a cualquier visitante, sin iniciar sesión, el nombre, email, rol y datos de autenticación de los usuarios.

[EXPOSICIÓN DE DATOS]deptofdefense

30 oct 2026
2 min

MEDIA#3737516

Registro abierto y reseteo de contraseña saltan la verificación de email en un portal Craft CMS de Essity

Un portal interno de Essity montado en Craft CMS permitía registrarse sin autenticación, activar la cuenta mediante el flujo de reseteo de contraseña (saltando la verificación por email) y leer un directorio de 2.480 empleados desde una API sin control de acceso.

[AUTENTICACIÓN]essity

18 oct 2026
5 min