Múltiples vulnerabilidades en la consola Unified OSS de HPE

Fecha de publicación 19/05/2026

Identificador

INCIBE-2026-361

Importancia

5 - Crítica

Recursos Afectados

Consola HPE Unified OSS (UOC): versión 3.1.20 y anteriores.

Descripción

HPE ha publicado 7 vulnerabilidades: 1 de severidad crítica, 5 de severidad alta y 1 media que en caso de ser explotadas podrían permitir denegación de servicio (DoS), directory traversal, Server-Side Request Forgery (SSRF), desbordamiento de pila o acceso remoto no autorizado.

Solución

Actualizar a la versión 3.1.21.

Detalle

CVE-2026-27699: la librería del cliente FTP `basic-ftp` para Node.js contiene una vulnerabilidad path traversal en el método `downloadToDir()`. Un servidor FTP malicioso podría enviar listados de directorios con nombres de archivo que contienen secuencias de recorrido de ruta (`../`) que provocan que los archivos se escriban fuera del directorio de descarga previsto.

Para las vulnerabilidades de severidad alta se han asignado los identificadores CVE-2026-25639, CVE-2026-27904, CVE-2026-26996, CVE-2026-27903 y CVE-2025-12758.

Para la vulnerabilidad de severidad media se ha asignado el identificador CVE-2026-27601.

CVE