Esta vez hablaré de un path trasversal que encontré en un plugin bastante conocido pero he de decir que es un poco limitado ya que solo lista carpetas. Os dejo un vídeo en donde hice una POC Siento no poner… Continuar leyendo
Hace unos días conseguí finalmente contactar con el desarrollador del plugin «Z-URL Preview» donde le comentaba que tenia un Cross-site scripting en la versión 1.6.1. Esta vulnerabilidad se encuentra en el parámetro «url» en el archivo»/wp-content/plugins/z-url-preview/class.zlinkpreview.php» que como se puede comprobar… Continuar leyendo
Prosigo con Cross-site scripting dentro de plugins de Wordpres, en este caso el plugin es «Wunderbar Basic» versión 1.1.3. El fallo de seguridad se encuentra en el parámetro «home» en el archivo»wp-content/plugins/wunderbar-basic-wysiwyg-front-end-editor/wb-adminbar.php» que como se puede comprobar en la siguiente… Continuar leyendo
Hoy os hablaré de otro Cross-site scripting que he descubierto dentro del plugin «Pinterest Badge» versión 1.8.0. El fallo de seguridad se encuentra en el parámetro «uid» en el archivo»/wp-content/plugins/pinterest-badge/pinterestbadgedetails.php» que como se puede comprobar en la siguiente captura carece de los… Continuar leyendo
Sigo encontrando Cross-site scripting en plugins de wordpress, voy a tener que automatizarlo de alguna manera :). En este caso en un plugin llamado «Duplicator Migration» versión 1.2.28
Localizado un Cross-site scripting en el plugin «2kb Amazon Affiliates Store» versión 2.1.0 de wordpress (https://es.wordpress.org/plugins/2kb-amazon-affiliates-store/).