https://alertas.dupin.com.ar/fabricante/artbees/Alertas de vulnerabilidades de artbees.esSat, 07 Nov 2026 04:36:05 +000010https://alertas.dupin.com.ar/cve/CVE-2026-119219/tg:63868Sat, 07 Nov 2026 04:36:05 +0000VulnerabilidadEl plugin Jupiter X Core para WordPress, en versiones hasta la 4.62.0 inclusive, no sanea ni escapa correctamente el parámetro fields[custom_meta_field_id], lo que permite a atacantes no autenticados inyectar scripts arbitrarios que se ejecutan cuando un usuario accede a la página afectada. La ejecución requiere que la cuenta registrada por el atacante sea asignada como post_author de una página o entrada cuyo template incluya el widget Raven Author Box.https://alertas.dupin.com.ar/cve/CVE-2026-120737/tg:63864Sat, 07 Nov 2026 04:35:59 +0000VulnerabilidadEl plugin Jupiter X Core para WordPress es vulnerable a omisión de autorización en todas las versiones hasta la 4.62.0 por no verificar correctamente que el usuario esté autorizado. Atacantes no autenticados pueden enumerar y renderizar tipos de contenido publicados no destinados a listado público, incluidos registros de envíos de Flamingo CF7 con nombres, correos, teléfonos, mensajes e IPs, y realizar lecturas de tipo oráculo booleano sobre el postmeta. La explotación requiere que un widget Posts o Advanced…https://alertas.dupin.com.ar/cve/CVE-2026-120555/tg:63863Sat, 07 Nov 2026 04:35:58 +0000VulnerabilidadEl plugin Jupiter X Core para WordPress es vulnerable a recorrido de directorios en todas las versiones hasta la 4.62.0 mediante el parámetro 'file'. Atacantes no autenticados pueden leer el contenido de archivos arbitrarios del servidor, que pueden contener información sensible. La verificación de confinamiento de rutas introducida en la corrección de CVE-2023-3813 funciona, por lo que las lecturas quedan limitadas a wp-content/uploads/ y no alcanzan wp-config.php ni otros archivos fuera de ese directorio.https://alertas.dupin.com.ar/cve/CVE-2026-106013/tg:61672Wed, 28 Oct 2026 03:45:40 +0000VulnerabilidadEl plugin Jupiter X Core para WordPress, en todas las versiones hasta la 4.61.0 inclusive, es vulnerable a evasión de autenticación en el manejador de inicio de sesión social de Twitter/X. Tras canjear el oauth_verifier del visitante por su token de acceso, verify_twitter_callback no llama a setOauthToken(), por lo que la llamada a account/verify_credentials queda firmada con el token del operador del sitio y el plugin autentica una cuenta de WordPress según el email de ese operador, permitiendo a atacantes no…https://alertas.dupin.com.ar/cve/CVE-2026-10511/tg:61466Tue, 27 Oct 2026 08:30:58 +0000VulnerabilidadEl plugin Jupiter X Core para WordPress es vulnerable a cross-site scripting almacenado mediante el parámetro 'forget_password_link' en todas las versiones hasta la 4.61.0 inclusive, debido a una sanitización de entrada y escape de salida insuficientes. Esto permite a atacantes autenticados con nivel Contributor o superior inyectar scripts web arbitrarios en páginas que se ejecutarán cuando un usuario acceda a una página inyectada.