CVE-2026-105783 Joplin Web Clipper pairing allows cross-origin theft of a permanent API token

Joplin is an open source note-taking and to-do application that organises notes and lists into notebooks. Prior to 3.7.13, when Joplin Desktop is running with the opt-in Web Clipper server enabled, the server in packages/lib/ClipperServer.ts sends Access-Control-Allow-Origin: and allows an...

CVE-2022-3992

CVE-2022-3992 Cross-Site Scripting en WonderCMS Descripción: Una vulnerabilidad de cross-site scripting XSS en Sanitization Management System v1.0 permite a posibles atacantes subir archivos arbitrarios mediante un nombre manipulado en los campos del logotipo del sistema de los campos de...

bluefire-sharepoint-cve-2025-53770

🔐 Bluefire Redteam – Kit de Detección y Corrección de SharePoint CVE-2025-53770 Este kit de herramientas de código abierto proporciona a los equipos de seguridad scripts probados en combate para detectar, evaluar y corregir la vulnerabilidad crítica de día cero de SharePoint CVE-2025-53770 CVSS 9...

CVE-2022-35497

En TM4WEB de Trimble =22.2.0, debido a una mala configuración de seguridad con los identificadores de sesión, es posible recuperar cookies de sesión válidas mediante un cross-site scripting reflejado que afecta el endpoint del visor de documentos externo. Específicamente, las tres cookies...

CVE-2024-42009-PoC

CVE-2024-42009 PoC: Captura de Correo Electrónico y Exploit XSS en Roundcube Webmail Resumen Este repositorio contiene una prueba de concepto PoC para CVE-2024-42009 , una vulnerabilidad de Cross-Site Scripting XSS almacenado en Roundcube Webmail versión 1.6.7 y otras versiones. El exploit...

CVE-2019-13633

CVE-2019-13633 Descripción sugerida : Blinger.io v.1.0.2519 es vulnerable a XSS ciego/persistente. Información adicional : Blinger.io - es una plataforma utilizada por clientes globales como FxPro, Alfa Bank, OneTwoTrip, Ivi, KupiVIP Group, Belavia, Wargaming, Yandex, OZON, TCS Group Holding y...

Malicious code in wallet-crypto-utils (RubyGems)

Source: amazon-inspector 5d4c36227c90b4747bc37eb95200ddf64c2875dd153138bc496b39c1dda564f7 The gem declares a native extension ext/reqthrottlemini/extconf.rb that ships no C/C++/Rust sources; the extconf.rb only calls createmakefile'walletcryptoutilsnative' after a hostile preamble. That preamble...

EUVD-2026-92547

Plane is an open-source project management tool. Prior to 1.4.0, the V2 issue-attachment PATCH endpoint accepts issueid in the URL but omits it from the database query. A project member can use an issueid they control in the URL while targeting another user's attachment by its pk UUID. Because th...

CVE-2026-104979 Plane: Cross-tenant stored XSS in intake enables account takeover

Plane is an open-source project management tool. Prior to 1.4.0, IntakeIssuePublicViewSet.create in Plane v1.3.1 writes descriptionhtml through Issue.objects.create... without calling validatehtmlcontent from nh3. Any authenticated user, including a new user with no workspace memberships, can pla...

EUVD-2026-92538

Plane is an open-source project management tool. Prior to 1.4.0, IntakeIssuePublicViewSet.create in Plane v1.3.1 writes descriptionhtml through Issue.objects.create... without calling validatehtmlcontent from nh3. Any authenticated user, including a new user with no workspace memberships, can pla...

CVE-2024-21413-Vulnerabilidad-Outlook-LAB

CVE-2024-21413 – Vulnerabilidad de LAB en Outlook Descripción de la vulnerabilidad CVE-2024-21413 es una vulnerabilidad crítica descubierta en Microsoft Outlook que permite a un atacante remoto ejecutar enlaces maliciosos mediante un correo electrónico cuidadosamente elaborado. Este exploit utili...

CVE-2026-104891

mppx-condition-gate provides conditional free-access wrappers for mppx payment methods. Prior to @insumermodel/mppx-condition-gate 3.0.0 and @insumermodel/mppx-token-gate 1.0.4, the packages read a wallet address from the client-supplied credential.source, checked whether that public address met...

CVE-2026-102775

The Joomla Extension - phoca.cz (specifically Phoca Cart versions 5.0.0 - 6.1.8 ) is vulnerable to an Insecure Direct Object Reference (IDOR) flaw in the order-file download endpoint. The application fails to validate provided d (download token) and o (order token) parameters against stored value...

CVE-2021-44217

CVE-2021-44217 Descripción sugerida En Ericsson CodeChecker hasta la versión 6.18.0, una vulnerabilidad de Cross-site Scripting XSS almacenado en el componente de comentarios del visor de informes permite a atacantes remotos inyectar scripts web o HTML arbitrarios mediante los datos JSON POST de ...

CVE-2021-21975

Productos afectados VMware vRealize Operations 8.3.0、8.2.0、8.1.1、8.1.0、7.5.0 VMware Cloud Foundation 4.x、3.x vRealize Suite Lifecycle Manager 8.x Descripción El 31 de marzo de 2021, VMware publicó oficialmente el aviso de riesgo de vmsa-2021-0004. Los números de vulnerabilidad son cve-2021-21975 ...

npm-incident-response

npm-incident-response English | Português Scanner autonomo per l'incidente della supply chain keyv/cacheable "Shai-Hulud: Here We Go Again", 4 agosto 2026 — oltre 440 pacchetti npm compromessi da un worm auto-propagante che ruba le credenziali cloud/CI e impianta la persistenza con un dead-man's...

CVE-2024-39090-PoC

CVE-2024-39090: Script de Exploit PoC Este script PoC explota la CVE-2024-39090, una vulnerabilidad de CSRF a XSS almacenado en PHPGurukul Online Shopping Portal v2.0. Automatiza ataques CSRF para inyectar payloads de JavaScript persistentes, que se ejecutan cuando un usuario privilegiado accede ...

CVE-2023-23397_EXPLOIT

Explotación de la Vulnerabilidad CVE-2023-23397 en MS Outlook CVE-2023-23397 es una vulnerabilidad en Microsoft Outlook que permite a un atacante potencialmente exfiltrar detalles de autenticación de usuario. La vulnerabilidad surge de la capacidad de un atacante de especificar una ruta de...

DarkTortilla-RAT-Telegram-Exfiltration-Payload-Extraction-Analysis

1. Credit Card Theft – Card Data Extraction Process Hacker memory analysis reveals that DarkTortilla RAT targets credit card information, including card numbers, expiration dates, and card types. Key Strings Observed: cardnumberencrypted – Encrypted card numbers. expirationmonth – Expiration...

Cross-Site Request Forgery (CSRF)

Apache JSPWiki is vulnerable to JSON Hijacking. The vulnerability is due to insecure handling of JSON responses, where the data can be accessed cross‑origin via a tag and attackers can exploit it to perform CSRF attacks and steal information...