JupyterLab: Cross-site scripting (XSS) in JupyterLab via crafted language package (jupyterlab.json)

DescriptionA language pack ships a Plural-Forms header saying how the language counts, for example nplurals=2; plural=n != 1;. JupyterLab turns that string into a function with new Function, so the header gets executed. The check that meant to keep it safe was a regular expression. The regex was...

JupyterLab: Cross-site scripting (XSS) in JupyterLab via notebook cells pasted from the system clipboard

DescriptionJupyterLab 4.5.0 enabled copying and pasing cells through the system clipboard. The paste path parses clipboard text as cell JSON and inserts the cells without clearing metadata.trusted, so a payload can declare its own output as trusted. JupyterLab does not sanitize a trusted output a...

Nautobot: Authorization bypass in approval workflow REST API allows self-approval and unauthorized activation of scheduled jobs

ImpactThis is an authorization bypass that escalates into unauthorized server-side job execution.1. Primary impact - self-approval: The approver checks approver-group membership, change permission on the object under review, one-response-per-user are enforced only in the approve/deny actions on...

POC-CVE-2026-63030-CVE-2026-60137-

PoC: WP2Shell — CVE-2026-63030 & CVE-2026-60137 -red?style=for-the-badge 📌 Resumen general WP2Shell es una cadena de explotación Exploit Chain de vulnerabilidades críticas en el código fuente de WordPress Core que permite a un atacante remoto sin autenticación tomar el control total del servidor...

CVE-2026-52680_exploit

CVE-2026-52680 — Escritura arbitraria de archivos por Path-Traversal en el batch REST de Apache Kyuubi Escritura arbitraria de archivos sin autenticación en la API REST de Apache Kyuubi a través del endpoint multipart de envío de batch. POST /api/v1/batches multipart/form-data escribe la parte...

CVE-2026-8206

CVE-2026-8206 Vulnerabilidad: Toma de control de cuenta no autenticada — Secuestro del correo de restablecimiento de contraseña en Kirki Customizer Framework CVSS v3.1 9.8 / 10.0 CRÍTICA Vector: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 1. Resumen CVE-2026-8206 es una vulnerabilidad de Toma de control...

JupyterLab: Cross-site scripting (XSS) in JupyterLab via crafted language package (jupyterlab.json)

Description A language pack ships a Plural-Forms header saying how the language counts, for example nplurals=2; plural=n != 1;. JupyterLab turns that string into a function with new Function, so the header gets executed. The check that meant to keep it safe was a regular expression. The regex was...

JupyterLab: Cross-site scripting (XSS) in JupyterLab via notebook cells pasted from the system clipboard

Description JupyterLab 4.5.0 enabled copying and pasing cells through the system clipboard. The paste path parses clipboard text as cell JSON and inserts the cells without clearing metadata.trusted, so a payload can declare its own output as trusted. JupyterLab does not sanitize a trusted output...

CVE-2026-100514

Unauthenticated Insecure Direct Object References IDOR in REST API Log = 1.7.2 versions...

CVE-2026-25632

CVE-2026-25632 — Deserialización JSON RCE en API REST Desafío de Corrección Inspirado en una vulnerabilidad real de 2026 CVSS 10.0, explotada activamente Basado en: CVE-2026-25632 — Ejecución remota de código mediante deserialización JSON insegura controlada por type, descubierta en la API REST d...

sxwp2shell

/ / / / / / | |/ / / / / / / / / / | // / / / / / / / / / / / / // | / /// / // // / // / /|| sxwp2shell — Exploit RCE pre-autenticación para WordPress mediante confusión de ruta batch en la API REST CVE-2026-63030 + inyección SQL CVE-2026-60137. Afecta: WP 6.9.0–6.9.4 / 7.0.0–7.0.1 Instalación g...

CVE-2026-63030

CVE-2026-63030 - Prueba de concepto de confusión de ruta de lote en WordPress REST API Descripción Prueba de concepto de explotación para CVE-2026-63030, una vulnerabilidad de preautenticación en WordPress versiones 6.9.0 a 7.0.1. Encadena: Confusión de ruta de lote en REST API desajuste entre...

CVE-2019-18890

CVE-2019-18890 CVE-2019-18890 POC Prueba de Concepto INYECCIÓN SQL EN REDMINE HASTA 3.2.9/3.3.9 https://nvd.nist.gov/vuln/detail/CVE-2019-18890 Requisitos: Credenciales de acceso Se requiere un subproyecto La API REST está habilitada En MySQL, la primera consulta en la que ocurre la inyección se ...

CVE-2024-3605

CVE-2024-3605 WP Hotel Booking = 2.1.0 - Inyección SQL no autenticada Descripción El plugin WP Hotel Booking para WordPress es vulnerable a la inyección SQL a través del parámetro 'roomtype' del endpoint /wphb/v1/rooms/search-rooms de la API REST en todas las versiones hasta la 2.1.0 incluida,...

CVE-2024-11972-PoC

CVE-2024-11972-PoC Hunk Companion 1.9.0 - Instalación de Plugin No Autenticada Descripción El plugin Hunk Companion de WordPress anterior a 1.9.0 no autoriza correctamente algunos endpoints de la API REST, permitiendo que solicitudes no autenticadas instalen y activen cualquier plugin Hunk...

CVE-2026-100514

The WordPress REST API Log plugin affects versions

EUVD-2026-90842

Unauthenticated Insecure Direct Object References IDOR in REST API Log = 1.7.2 versions...

CVE-2026-100514 WordPress REST API Log plugin <= 1.7.2 - Insecure Direct Object References (IDOR) vulnerability

Unauthenticated Insecure Direct Object References IDOR in REST API Log = 1.7.2 versions...

CVE-2026-100514 WordPress REST API Log plugin <= 1.7.2 - Insecure Direct Object References (IDOR) vulnerability

Unauthenticated Insecure Direct Object References IDOR in REST API Log = 1.7.2 versions...

CVE-2026-14281

CVE-2026-14281 — WAWP Automation Web Platform Unauthenticated Privilege Escalation Python 3 PoC for CVE-2026-14281 in the WordPress plugin Automation Web Platform automation-web-platform — WAWP / Notifications & OTP for WooCommerce. PoCbit Listed on PoCbit — community catalog:...