Editoria
IA, produtos, segurança digital e inovação.
Atualização contínua
Em ordem cronológica
Este conteúdo foi publicado originalmente em 20 de abril de 2025. No Serviço de Relais de Mídia (MRS) de Extração de Informações 7.1.0.0, o servidor web MRS (na porta 12654 ) permite ler arquivos arbitrários através do../ diretório atravessar no campo de nome de usuário. Ler ServerParameters.xml pode revelar credenciais de administrador em texto claro ou com MD 5 Hassing.
Este conteúdo foi publicado originalmente em 21 de abril de 2025. libheif antes 1.19.6 tem uma dereferência de ponteiro NULL em ImageItem_ Grid::get_decoder em image- items/ grid.cc porque uma imagem de grade pode fazer referência a um item de imagem inexistente.
Este conteúdo foi publicado originalmente em 21 de abril de 2025. Traefik (pronunciado tráfego) é um proxy inverso HTTP e balanceador de carga. Em versões anteriores ao 2.11.24, 3.3.6, e 3.4.0 -rc 2. Existe uma vulnerabilidade potencial no Traefik gerenciando as solicitações usando um matcher PathPrefix, Path ou PathRegex. Quando o Traefik está configurado para encaminhar os pedidos para um backend usando um matcher.
Este conteúdo foi publicado originalmente em 22 de abril de 2025. Uma vulnerabilidade classificada como problemática foi encontrada no YXJ 2018 Exame On-line SpringBoot-Vue 1.0. Esta vulnerabilidade afeta o código desconhecido do arquivo /api/studentPWD. A manipulação do argumento studentId leva a uma mudança de senha não verificada. O ataque pode ser iniciado remotamente. A exploração foi divulgada ao público e.
Este conteúdo foi publicado originalmente em 22 de abril de 2025. Neutralização inadequada da entrada durante a geração da página web ('Cross-site Scripting') vulnerabilidade em Vikas Ratudi VPSUForm V-form permite armazenar XSS.Este problema afeta VPSUForm: de n/a até <= 3.1.14.
Este conteúdo foi publicado originalmente em 22 de abril de 2025. TOTOLINK A 810 R V 4.1.2 Cu. 5182 _B 20201026 foi encontrado que contêm uma vulnerabilidade de sobrecarga de buffer no cstecgi.cgi
Este conteúdo foi publicado originalmente em 22 de abril de 2025. A plataforma CUBA é um framework de alto nível para o desenvolvimento de aplicativos corporativos. Antes da versão 7.2.23, a implementação local de armazenamento de arquivos não restringe o tamanho dos arquivos carregados. Um atacante pode explorar isso carregando arquivos excessivamente grandes, potencialmente causando que o servidor fique sem espaço.
Este conteúdo foi publicado originalmente em 22 de abril de 2025. Uma vulnerabilidade no serviço cmdb do HPE Performance Cluster Manager (HPMC) pode permitir que um atacante obtenha acesso a um arquivo arbitrário no servidor hospedeiro.
Este conteúdo foi publicado originalmente em 23 de abril de 2025. No processamento de imagens MIFF no ImageMagick antes 7.1.1 - 44, a profundidade da imagem é manipulada de forma errada após o SetQuantumFormat ser usado.
Este conteúdo foi publicado originalmente em 23 de abril de 2025. TOTOLINK A 800 R V 4.1.2 Cu. 5032 _B 20200408 é vulnerável a Injeção de Comandos no downloadFile. cgi através do parâmetro QUERY_ STRING.
Este conteúdo foi publicado originalmente em 23 de abril de 2025. BEC Technologies Multiplos Rotadores Autenticação Bypass Vulnerabilidade. Esta vulnerabilidade permite que os atacantes remotos contornem a autenticação nas instalações afetadas dos routers BEC Technologies. A autenticação não é necessária para explorar esta vulnerabilidade. A falha específica existe dentro da interface de usuário baseada na web. O.
Este conteúdo foi publicado originalmente em 24 de abril de 2025. Versão do sistema operacional do tecido de brocados começando com 9.1.0 ter o acesso à raiz removido, no entanto, um usuário local com privilégio de administrador pode potencialmente executar código arbitrário com privilégios de raiz completos nas versões do Sistema Operativo do Tecido 9.1.0 através 9.1.1 d 6.
Este conteúdo foi publicado originalmente em 24 de abril de 2025. O plugin Flynax Bridge para WordPress é vulnerável ao aumento de privilégios através da tomada de conta em todas as versões até, incluindo, 2.2.0. Isto se deve ao plugin não validar corretamente a identidade do usuário antes de atualizar seus detalhes como senha. Isto torna possível que atacantes não autênticos alterem as senhas arbitrárias do.
Este conteúdo foi publicado originalmente em 24 de abril de 2025. Neutralização incorreta de elementos especiais usados em uma vulnerabilidade de Comando SQL ('SQL Injection') em weDevs Appsero Helper appsero-helper permite a injeção SQL. Este problema afeta o Ajudante Appsero: de n/a até <= 1.3.4.
Este conteúdo foi publicado originalmente em 24 de abril de 2025. Neutralização incorreta da entrada durante a geração da página web ('Cross-site Scripting') vulnerabilidade em wowDevs Sky Addons para Elementor Sky-elementor-addons permite armazenar XSS.Este problema afeta Sky Addons para Elementor: de n/a até <= 3.0.1.
Este conteúdo foi publicado originalmente em 24 de abril de 2025. Vulnerabilidade do Forgery de Pedido de Intercâmbio (CSRF) no Trân Minh-Quân WPVN wpvn-username-changer permite o Forgery de Solicitação de Intercâmbio de Site.Este problema afeta o WPVN: desde n/a até <= 0.7.8.
Este conteúdo foi publicado originalmente em 24 de abril de 2025. Vulnerabilidade da Autorização Faltada em vinodvaswani 9 Atribuição de Atributos em Bulk Produtos Linkados Para o WooCommerce wc-bulk-assend-linked-products permite acessar a funcionalidade não adequadamente limitada pelos ACLs.Este problema afeta a atribuição de Atributos em Bulk Produtos Linkados Para o WooCommerce: desde n/a até <= 2.1.
Este conteúdo foi publicado originalmente em 24 de abril de 2025. Vulnerabilidade de falsificação de solicitação de sites cruzados (CSRF) no plugin Funções personalizadas do Shamim Hasan permite que as funções personalizadas do XSS armazenado.Este problema afeta o plugin Funções personalizadas: desde n/a até <= 1.1.
Este conteúdo foi publicado originalmente em 24 de abril de 2025. Neutralização inadequada da entrada durante a geração da página web ('Cross-site Scripting') vulnerabilidade em RichardHarrison Carousel-of-post-images carousel-of-post-images permite XSS baseado em DOM. Este problema afeta Carousel-of-post-images: de n/a até <= 1.07.
Este conteúdo foi publicado originalmente em 25 de abril de 2025. Albedo Telecom Net.Time - relógio PTP/NTP (Número de série. NBC 0081 P) versão de software 1.4.4 é vulnerável a uma vulnerabilidade insuficiente de expiração de sessão, o que pode permitir que um atacante transmita senhas sobre conexões não cifradas, resultando em que o produto se torne vulnerável à intercepção.
Este conteúdo foi publicado originalmente em 25 de abril de 2025. O plug-in Upsell Funnel Builder for WooCommerce para WordPress é vulnerável à manipulação de pedidos em todas as versões até, inclusive, 3.0.0. Isto se deve ao plug- in que permite que o ID adicional do produto e o campo de desconto sejam manipulados antes do processamento através da função 'add_offre_in_cart'. Isto torna possível que os atacantes não.
Este conteúdo foi publicado originalmente em 25 de abril de 2025. O Craft é um CMS flexível e fácil de usar para criar experiências digitais personalizadas na web e além. Começando da versão 3.0.0 - RC 1 para antes 3.9.15, 4.0.0 - RC 1 para antes 4.14.15, e 5.0.0 - RC 1 para antes 5.6.17, Ofício é vulnerável à execução remota de código. Este é um vetor de ataque de impacto elevado e de baixa complexidade. Este.
Este conteúdo foi publicado originalmente em 25 de abril de 2025. Em JetBrains TeamCity antes 2025.03.1 XSS armazenado foi possível na guia Diretório de dados
Este conteúdo foi publicado originalmente em 26 de abril de 2025. O plugin WordPress Data de Entrega do Encomenda antes 12.3.1 não tem autorização e verificações CSRF quando importar configurações. Além disso, também não tem cheques adequadas para atualizar apenas as opções relevantes para o plugin WordPress Data de Entrega do Encomenda antes 12.3.1. Isto leva os atacantes a poderem modificar o padrão_user_role para.