CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 0CVE-2017-11744
https://notcve.org/view.php?id=CVE-2017-11744
In MODX Revolution 2.5.7, the "key" and "name" parameters in the System Settings module are vulnerable to XSS. A malicious payload sent to connectors/index.php will be triggered by every user, when they visit this module. En MODX Revolution versión 2.5.7, los parámetros "key" y "name" en el módulo Configuración de Sistema son vulnerables a ataques de tipo XSS. Cada usuario que acceda a este módulo activará una carga maliciosa enviada hacia el archivo connectors/index.php que será activado por cada usuario, cuando visiten este módulo. • https://github.com/modxcms/revolution/issues/13564 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 7.0EPSS: 0%CPEs: 2EXPL: 1CVE-2017-9067
https://notcve.org/view.php?id=CVE-2017-9067
In MODX Revolution before 2.5.7, when PHP 5.3.3 is used, an attacker is able to include and execute arbitrary files on the web server due to insufficient validation of the action parameter to setup/index.php, aka directory traversal. En MODX Revolution anterior a versión 2.5.7, cuando se utiliza PHP versión 5.3.3, un atacante es capaz de incluir y ejecutar archivos arbitrarios en el servidor web debido a la comprobación insuficiente del parámetro action en el archivo setup/index.php, también se conoce como salto de directorio. • https://citadelo.com/en/2017/04/modx-revolution-cms https://github.com/modxcms/revolution/pull/13422 https://github.com/modxcms/revolution/pull/13428 • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 1CVE-2017-9068
https://notcve.org/view.php?id=CVE-2017-9068
In MODX Revolution before 2.5.7, an attacker is able to trigger Reflected XSS by injecting payloads into several fields on the setup page, as demonstrated by the database_type parameter. En MODX Revolution en versiones anteriores a la 2.5.7, un atacante puede provocar Cross-Site Scripting (XSS) reflejado inyectando cargas útiles en varios campos en la página de configuración, tal y como se demuestra con el parámetro database_type. • https://citadelo.com/en/2017/04/modx-revolution-cms https://github.com/modxcms/revolution/pull/13424 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 1CVE-2017-9069
https://notcve.org/view.php?id=CVE-2017-9069
In MODX Revolution before 2.5.7, a user with file upload permissions is able to execute arbitrary code by uploading a file with the name .htaccess. En MODX Revolution en versiones anteriores a la 2.5.7, usuarios con permisos para subir archivos pueden ejecutar código arbitrarios mediante la subida de un archivo denominado .htaccess. • https://citadelo.com/en/2017/04/modx-revolution-cms https://github.com/modxcms/revolution/pull/13423 • CWE-434: Unrestricted Upload of File with Dangerous Type •
CVSS: 5.4EPSS: 0%CPEs: 1EXPL: 1CVE-2017-9070
https://notcve.org/view.php?id=CVE-2017-9070
In MODX Revolution before 2.5.7, a user with resource edit permissions can inject an XSS payload into the title of any post via the pagetitle parameter to connectors/index.php. En MODX Revolution, en versiones anteriores a la 2.5.7, un usuario con permisos para editar recursos puede inyectar una carga útil XSS en el título de cualquier publicación mediante el parámetro pagetitle en connectors/index.php. • https://citadelo.com/en/2017/04/modx-revolution-cms https://github.com/modxcms/revolution/pull/13415 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •