CVE-2024-39306

Descripción Este script es un PoC para CVE-2024-39306, donde es posible un RCE debido a una SQLi en la que un usuario autenticado puede ejecutar comandos arbitrarios en un servidor que ejecute ChurchCRM -p -b -c Ejemplo: python3 CVE-2024-39306.py -u FirstLast -p Password123 -b...

CVE-2025-68937

CVE-2025-68937 - RCE por Symlink en Plantillas de Gitea/Forgejo Prueba de concepto automatizada para CVE-2025-68937 : salto de directorio mediante el seguimiento de enlaces simbólicos en el procesamiento de repositorios plantilla de Gitea y Forgejo, que conduce a la ejecución remota de código...

CVE-2026-1337

CVE-2026-1337 - Neo4j - Inyección de logs Un usuario autenticado puede realizar inyección de logs en el query.log de Neo4j cuando Neo4j no está configurado para usar formato json. Resumen Neo4j no escapa los caracteres de control en el campo de metadatos cuando forma parte de una transacción bolt...

CVE-2026-97219

The MStore API WordPress plugin before version 4.22.1 is vulnerable to a payment bypass due to a lack of restriction on which fields of an order a customer can update. This allows any authenticated user with a self-registerable account to modify the status of their own unpaid orders to a paid or ...

EUVD-2026-91216

The MStore API WordPress plugin before 4.22.1 does not restrict which fields of an order a customer may update, allowing any authenticated user with a self-registerable account to change the status of their own unpaid order to a paid or fulfilled state and receive the goods without paying...

CVE-2023-32749-PoC

CVE-2023-32749 | Asignación no autorizada de roles en Pydio Cells Exploit para CVE-2023-32749 que afecta a Pydio Cells 4.1.2 y anteriores. Un usuario autenticado con privilegios bajos puede crear un nuevo usuario externo con todos los roles asignados, lo que otorga acceso a todas las celdas y...

CVE-2025-8110

CVE-2025-8110 - Bypass de symlink en Gogs - escritura arbitraria de archivos como el usuario del proceso Gogs Gogs //contents/. Gogs sigue el symlink y escribe bytes controlados por el atacante en el destino del enlace con los privilegios del proceso Gogs. Cuando Gogs se ejecuta como root, esto e...

CVE-2026-34975

CVE-2026-34975 — CRLF Email Header Injection in Plunk via raw MIME construction Severity : High CVSS 8.5 CWE : CWE-93 — Improper Neutralization of CRLF Sequences 'CRLF Injection' Affected : useplunk/plunk = 0.7.1 Fixed in : 0.8.0 Advisory : GHSA-2mvm-rg5v-7hfq NVD :...

CVE-2026-39842

CVE-2026-39842: Inyección de Expresiones RCE en el Motor de Reglas de OpenRemote TL;DR Vulnerabilidad crítica de ejecución remota de código en el Motor de Reglas de OpenRemote que permite a usuarios autenticados con el rol write:rules ejecutar código arbitrario en el servidor con privilegios de...

CVE-2026-1953

CVE-2026-1953 | XSS Almacenado — Nukegraphic CMS v3.1.2 Resumen Existe una vulnerabilidad de Cross-Site Scripting XSS Almacenado en Nukegraphic CMS v3.1.2. El problema permite a un usuario autenticado inyectar JavaScript malicioso en el campo nombre de perfil , que se almacena en la base de datos...

CVE-2026-30082

Vulnerabilidades de Cross-site Scripting XSS Almacenado en la función Editar de la página Lista de Paquetes de Software de IngEstate Server Versión afectada: IngEstate Server - 11.14.0 Función afectada API afectada: API afectada: PUT /emgui/rest/appDatasheet//?full=true HTTP/1.1 PoC Para explotar...

CVE-2024-22514-Remote-Code-Execution

CVE-2024-22514: Ejecución Remota de Código en Agent DVR Información Descripción iSpyConnect.com Agent DVR 5.1.6.0 contiene una vulnerabilidad que permite redirigir el archivo activado por comandos de alerta. La modificación puede permitir que la función de comandos active cualquier archivo en el...

CVE-2025-67730

CVE-2025-67730 – Cross-Site Scripting XSS almacenado Resumen ID de CVE: CVE-2025-67730 Tipo de vulnerabilidad: Cross-Site Scripting XSS almacenado Gravedad: Media–Alta depende del contexto Esta vulnerabilidad permitía a usuarios autenticados inyectar HTML y JavaScript maliciosos en los campos de...

CVE-2023-49471

CVE-2023-49471 Tipo de vulnerabilidad Blind SSRF Producto y versión afectados Bar assistant / -----------------------------8290129562507108753887567115 Content-Disposition: form-data; name...

CVE-2023-46404

CVE-2023-46404 PCRS es una aplicación web para ejercicios de programación en línea desarrollada en la Universidad de Toronto. Ver repositorio de Bitbucket: https://bitbucket.org/utmandrew/pcrs/src/3.11/ Resumen La página “Questions” de PCRS, con envío de código, y la página “Code editor” son...

CVE-2024-48427

CVE-2024-48427 Descripción Una vulnerabilidad de inyección SQL en Sourcecodester Packers and Movers Management System v1.0 permite a usuarios remotos autenticados ejecutar comandos SQL arbitrarios a través del parámetro id en /mpms/admin/?page=services/manageservice&id Tipo de Vulnerabilidad...

sudowp-crowdsignal-forms

SudoWP Crowdsignal Forms Este es un fork de seguridad SudoWP del plugin original Crowdsignal Forms. !WARNING Aviso de seguridad : El plugin original «Crowdsignal Forms» versiones = 1.7.2 contiene una vulnerabilidad crítica de autorización faltante CVE-2025-69015 que permite a usuarios autenticado...

CVE-2026-102109

A SQL injection vulnerability existed in Kiteworks Secure Data Forms, where a value derived from the authenticated user's stored account data was incorporated into a database query without proper sanitization. An authenticated user could potentially influence that value to inject SQL. Exploitatio...

CVE-2026-102134 Kiteworks Core Unprotected Alternate Channel

Kiteworks Core did not apply its gateway-level API security controls to every request authenticated through the platform's central authentication service. An authenticated user could reach REST API functionality over a request path on which those controls, including enforcement of signed-out and...

CVE-2025-65300

CVE-2025-65300 Descripción CVE-2025-65300: Vulnerabilidad de Cross-Site Scripting XSS almacenado en la plataforma SaaS de Coohom Fecha de divulgación: 2025-10-28 Última actualización: 2025-10-28 Reportero: Phisit Pupiw Proveedor: Coohom CWE: CWE-79 – Cross-Site Scripting Resumen Se identificó una...