CVE-2024-13532

CVE-2024-13532

Título es
CVE-2024-13532

Mié, 12/02/2025 – 12:15

Tipo
CWE-89

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-13532

Descripción en
The Small Package Quotes – Purolator Edition plugin for WordPress is vulnerable to SQL Injection via the 'edit_id' and 'dropship_edit_id' parameters in all versions up to, and including, 3.6.4 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.

12/02/2025
12/02/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
7.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-13456

CVE-2024-13456

Título es
CVE-2024-13456

Mié, 12/02/2025 – 10:15

Tipo
CWE-79

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-13456

Descripción en
The Easy Quiz Maker plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin's 'wqt-question' shortcode in all versions up to, and including, 2.0 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

12/02/2025
12/02/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
6.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-13531

CVE-2024-13531

Título es
CVE-2024-13531

Mié, 12/02/2025 – 10:15

Tipo
CWE-89

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-13531

Descripción en
The ShipEngine Shipping Quotes plugin for WordPress is vulnerable to SQL Injection via the 'edit_id' parameter in all versions up to, and including, 1.0.7 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.

12/02/2025
12/02/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
7.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-13528

CVE-2024-13528

Título es
CVE-2024-13528

Mié, 12/02/2025 – 10:15

Tipo
CWE-287

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-13528

Descripción en
The Customer Email Verification for WooCommerce plugin for WordPress is vulnerable to Authentication Bypass in all versions up to, and including, 2.9.5. This is due to the presence of a shortcode that will generate a confirmation link with a placeholder email. This makes it possible for authenticated attackers, with Contributor-level access and above, to generate a verification link for any unverified user and log into the account. The 'Fine tune placement' option must be enabled in the plugin settings in order to exploit the vulnerability.

12/02/2025
12/02/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
7.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-32838

CVE-2024-32838

Título es
CVE-2024-32838

Mié, 12/02/2025 – 10:15

Tipo
CWE-89

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-32838

Descripción en
SQL Injection vulnerability in various API endpoints – offices, dashboards, etc. Apache Fineract versions 1.9 and before have a vulnerability that allows an authenticated attacker to inject malicious data into some of the REST API endpoints' query parameter. 
Users are recommended to upgrade to version 1.10.1, which fixes this issue.

A SQL Validator has been implemented which allows us to configure a series of tests and checks against our SQL queries that will allow us to validate and protect against nearly all potential SQL injection attacks.

12/02/2025
12/02/2025
Vector CVSS:4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Gravedad 4.0
9.40

Gravedad 4.0 txt
CRITICAL

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

Así puedes hacer que Google Chrome sustituya automáticamente tus contraseñas débiles

Ya sabes: “1234”, “clave”, «1111», «0000». Pensarías que en tiempos en los que la seguridad en internet es atacada constantemente, a ninguna persona con la cabeza bien puesta se le ocurriría usar una contraseña débil para sus cuentas. Pero crees mal. Te sorprendería el número de claves demasiado simples que se siguen usando. Pues ha llegado un momento en el que si no te cuidas tú, lo hará Google. Eso.

La nueva opción

Google está creando una herramienta potencialmente muy útil para su navegador Chrome, a saber, un sistema de inteligencia artificial diseñado específicamente para salvaguardar las contraseñas de acceso a sitios y portales. De hecho, las credenciales guardadas en la plataforma son analizadas por la IA, que entiende si son demasiado débiles y fáciles de piratear. En segundo lugar, sugiere otras nuevas que pueden ofrecer una mayor protección contra los peligros de la Red.

El primero en descubrir esta nueva opción en estudio ha sido el usuario Leopeva64, quien ha publicado algunas capturas de pantalla de la novedad en X (ver más abajo), que de momento se conoce como Automate Password Change (cambio de contraseña automático). El nombre es bastante explicativo, ya que describe una herramienta que, por un lado, puede entender cuándo una contraseña es inapropiada, quizás porque es demasiado simple o porque forma parte de la base de datos de las que se sabe que han sido hackeadas. Por otro, propone alternativas más complejas y seguras. La herramienta entra en acción cuando uno se dispone a conectarse, abriendo una ventana que ofrece la posibilidad de mejorar la protección del acceso.

X content

This content can also be viewed on the site it originates from.

Está mejor

La novedad mejora lo que habíamos visto hasta ahora, pues ya se podía recibir un aviso del gestor de contraseñas interno de que ciertas credenciales podían estar comprometidas, mientras que con esta función se actúa de forma más precisa y localizada. Como bien se puede entender, todo está encriptado y no es visible salvo para quienes estén actuando en Chrome en ese momento. Quienes deseen probar el sistema deben descargar la versión Canary de Chrome (es decir, la edición para desarrolladores), escribir chrome://flags en la barra de direcciones y activar dos opciones (servicio mejorado de cambio de contraseña y marcar todas las credenciales como filtradas). Todo podría entonces hacerse oficial y lanzarse al público mundial en los próximos meses o integrarse en las funciones ocultas accesibles desde la barra de direcciones del navegador de Google.

Artículo originalmente publicado en WIRED Italia. Adaptado por Mauricio Serfatty Godoy.

CVE-2024-13714

CVE-2024-13714

Título es
CVE-2024-13714

Mié, 12/02/2025 – 06:15

Tipo
CWE-434

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-13714

Descripción en
The All-Images.ai – IA Image Bank and Custom Image creation plugin for WordPress is vulnerable to arbitrary file uploads due to missing file type validation in the '_get_image_by_url' function in all versions up to, and including, 1.0.4. This makes it possible for authenticated attackers, with Subscriber-level access and above, to upload arbitrary files on the affected site's server which may make remote code execution possible.

12/02/2025
12/02/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
8.80

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-13601

CVE-2024-13601

Título es
CVE-2024-13601

Mié, 12/02/2025 – 06:15

Tipo
CWE-639

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-13601

Descripción en
The Majestic Support – The Leading-Edge Help Desk & Customer Support Plugin plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 1.0.5 via the 'exportusereraserequest' function due to missing validation on a user controlled key. This makes it possible for authenticated attackers, with Subscriber-level access and above, to export ticket data for any user.

12/02/2025
12/02/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
4.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2025-1183

CVE-2025-1183

Título es
CVE-2025-1183

Mié, 12/02/2025 – 07:15

Tipo
CWE-74

Gravedad v2.0
6.50

Gravedad 2.0 Txt
MEDIUM

Título en

CVE-2025-1183

Descripción en
A vulnerability has been found in CodeZips Gym Management System 1.0 and classified as critical. Affected by this vulnerability is an unknown functionality of the file /dashboard/admin/more-userprofile.php. The manipulation of the argument login_id leads to sql injection. The attack can be launched remotely. The exploit has been disclosed to the public and may be used.

12/02/2025
12/02/2025
Vector CVSS:4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Vector CVSS:2.0
AV:N/AC:L/Au:S/C:P/I:P/A:P

Gravedad 4.0
5.30

Gravedad 4.0 txt
MEDIUM

Gravedad 3.1 (CVSS 3.1 Base Score)
6.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2025-26520

CVE-2025-26520

Título es
CVE-2025-26520

Mié, 12/02/2025 – 07:15

Tipo
CWE-89

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2025-26520

Descripción en
Cacti through 1.2.29 allows SQL injection in the template function in host_templates.php via the graph_template parameter. NOTE: this issue exists because of an incomplete fix for CVE-2024-54146.

12/02/2025
12/02/2025
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
7.60

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off