[IDOR / BOLA]9[XSS]5[SSRF]2[SQL INJECTION]2[OAUTH Y SESIONES]2[RCE]6[APIS]4[LÓGICA DE NEGOCIO]9[AUTENTICACIÓN]9[CONFIGURACIÓN]3[CORRUPCIÓN DE MEMORIA]7[DENEGACIÓN DE SERVICIO]2[TLS Y CRIPTOGRAFÍA]2[PATH TRAVERSAL]2[OTRAS INYECCIONES]1[EXPOSICIÓN DE DATOS]1[OTROS]1
Programa: essity
3 reportes publicados, del más reciente al más antiguo.
CRÍTICA#3778282
Inyección SQL sin autenticación en la API WDMProduct (Essity)
Un parámetro de búsqueda sin sanear en GET /api/WDMProduct permitía inyección SQL ciega y consultas apiladas contra un SQL Server, exponiendo lectura y escritura de datos de producción sin autenticarse.
[SQL INJECTION]essity15 visitas
28 sep 2026
4 min
4 min
CRÍTICA#3729501
XSS almacenado sin autenticación en la API de contacto de Essity (Umbraco) con salto de reCAPTCHA
La API pública de contacto de Essity aceptaba tickets sin autenticar con HTML y JavaScript en más de 12 campos, saltándose reCAPTCHA, CSRF y límite de peticiones. El código se ejecutaba en la sesión del operador del back-office de Umbraco.
[XSS]essity
28 sep 2026
4 min
4 min
CRÍTICA#4020767
Essity: API sin autenticación de un chatbot interno de Teams permitía leer, escribir y borrar chats de empleados
Las rutas de datos de un chatbot corporativo con Azure OpenAI no pedían credenciales. Con un truco de doble Content-Type para saltar el WAF, se podía además escribir en conversaciones privadas ajenas.
[APIS]essity
26 sep 2026
6 min
6 min