[IDOR / BOLA]9 [XSS]5 [SSRF]2 [SQL INJECTION]2 [OAUTH Y SESIONES]2 [RCE]6 [APIS]4 [LÓGICA DE NEGOCIO]9 [AUTENTICACIÓN]9 [CONFIGURACIÓN]3 [CORRUPCIÓN DE MEMORIA]7 [DENEGACIÓN DE SERVICIO]2 [TLS Y CRIPTOGRAFÍA]2 [PATH TRAVERSAL]2 [OTRAS INYECCIONES]1 [EXPOSICIÓN DE DATOS]1 [OTROS]1

Programa: essity

3 reportes publicados, del más reciente al más antiguo.

CRÍTICA#3778282

Inyección SQL sin autenticación en la API WDMProduct (Essity)

Un parámetro de búsqueda sin sanear en GET /api/WDMProduct permitía inyección SQL ciega y consultas apiladas contra un SQL Server, exponiendo lectura y escritura de datos de producción sin autenticarse.

[SQL INJECTION]essity15 visitas

28 sep 2026
4 min

CRÍTICA#3729501

XSS almacenado sin autenticación en la API de contacto de Essity (Umbraco) con salto de reCAPTCHA

La API pública de contacto de Essity aceptaba tickets sin autenticar con HTML y JavaScript en más de 12 campos, saltándose reCAPTCHA, CSRF y límite de peticiones. El código se ejecutaba en la sesión del operador del back-office de Umbraco.

[XSS]essity

28 sep 2026
4 min

CRÍTICA#4020767

Essity: API sin autenticación de un chatbot interno de Teams permitía leer, escribir y borrar chats de empleados

Las rutas de datos de un chatbot corporativo con Azure OpenAI no pedían credenciales. Con un truco de doble Content-Type para saltar el WAF, se podía además escribir en conversaciones privadas ajenas.

[APIS]essity

26 sep 2026
6 min