Vulnerabilidades

Claude Code es una herramienta de codificación agentica. Las extensiones de Claude Code en VSCode y sus bifurcaciones (p. ej., Cursor, Windsurf y VSCodium) y los IDE de JetBrains (p. ej., IntelliJ, Pycharm y Android Studio) son vulnerables a conexiones websocket no autorizadas de un atacante al visitar páginas web controladas por el atacante. Las extensiones de Claude Code para VSCode IDE, versiones 0.2.116 a 1.0.23, son vulnerables. Para los complementos de Jetbrains IDE, las versiones 0.1.1 a 0.1.8 de Claude Code [beta] son vulnerables. En VSCode (y sus bifurcaciones), la explotación permitiría a un atacante leer archivos arbitrarios, ver la lista de archivos abiertos en el IDE, obtener eventos de selección y diagnóstico del IDE, o ejecutar código en situaciones limitadas donde un usuario tiene un Jupyter Notebook abierto y acepta un mensaje malicioso. En los IDE de JetBrains, un atacante podría obtener eventos de selección, una lista de archivos abiertos y una lista de errores de sintaxis. Claude publicó un parche para este problema el 13 de junio de 2025. Aunque Claude Code se actualiza automáticamente al iniciarlo y también actualiza las extensiones, se recomienda seguir los pasos que se indican a continuación, aunque los pasos exactos dependen del entorno de desarrollo integrado (IDE) de cada usuario. Para VSCode, Cursor, Windsurf, VSCodium y otras bifurcaciones de VSCode, consulte la extensión Claude Code para VSCode. Abra la lista de extensiones (Ver->Extensiones), busque Claude Code para VSCode entre las extensiones instaladas, actualice o desinstale cualquier versión anterior a la 1.0.24 y reinicie el IDE. Para los IDE de JetBrains, como IntelliJ, PyCharm y Android Studio, consulte el complemento Claude Code [Beta]. Abra la lista de complementos, busque Claude Code [Beta] entre las extensiones instaladas, actualice o desinstale cualquier versión anterior a la 0.1.9 y reinicie el IDE.

Allure 2 es la versión 2.x de Allure Report, una herramienta multilingüe para la generación de informes de pruebas. Existe una vulnerabilidad crítica de Entidad Externa XML (XXE) en el complemento xunit-xml utilizado por Allure 2 en versiones anteriores a la 2.34.1. El complemento no configura de forma segura el analizador XML (`DocumentBuilderFactory`) y permite la expansión de entidades externas al procesar archivos .xml de resultados de pruebas. Esto permite a los atacantes leer archivos arbitrarios del sistema de archivos y, potencialmente, activar server-side request forgery (SSRF). La versión 2.34.1 incluye un parche para este problema.

Una vulnerabilidad de fijación de sesión en Moodle 3.x a 3.11.18 permite a atacantes no autenticados secuestrar sesiones de usuario mediante el parámetro sesskey. Este parámetro se puede obtener sin autenticación y reutilizar en el flujo de inicio de sesión de OAuth2, lo que vincula la sesión de la víctima a la del atacante. Una explotación exitosa resulta en la apropiación total de la cuenta. Según la página de versiones de Moodle, "Las correcciones de errores de seguridad en 3.11.x finalizaron el 11 de diciembre de 2023". NOTA: Esta vulnerabilidad solo afecta a los productos que ya no reciben soporte del fabricante.

Las versiones 4.7.48.0 y anteriores de ControlID iDSecure On-premises son vulnerables a inyecciones de SQL que podrían permitir a un atacante filtrar información arbitraria e insertar sintaxis SQL arbitraria en consultas SQL.

Las versiones 4.7.48.0 y anteriores de ControlID iDSecure On-premises son afectadas por una vulnerabilidad de server-side request forgery que podría permitir que un atacante no autenticado recupere información de otros servidores.

Las versiones 4.7.48.0 y anteriores de ControlID iDSecure On-premises son afectados por una vulnerabilidad de autenticación incorrecta que podría permitir que un atacante eluda la autenticación y obtenga permisos en el producto.

Netbox Community 4.1.7 es vulnerable a Cross Site Scripting (XSS) a través del banner de mantenimiento en modo de mantenimiento.

Un problema en mmzdev KnowledgeGPT V.0.0.5 permite que un atacante remoto ejecute código arbitrario a través del componente de visualización de documentos.

Kaleris NAVIS N4 ULC (Cliente Ultraligero) contiene una vulnerabilidad de deserialización de Java insegura. Un atacante no autenticado puede realizar solicitudes especialmente manipuladas para ejecutar código arbitrario en el servidor.

Kaleris NAVIS N4 ULC (Cliente Ultraligero) se comunica de forma insegura mediante datos comprimidos con zlib a través de HTTP. Un atacante capaz de observar el tráfico de red entre los Clientes Ultraligeros y los servidores N4 podría extraer información confidencial, incluidas credenciales en texto plano.

En Sentry 25.1.0 a 25.5.1, un atacante autenticado puede acceder al endpoint de incidencia de un proyecto y realizar acciones no autorizadas (como añadir un comentario) sin ser miembro del equipo del proyecto. Se debe conocer un ID de incidencia de siete dígitos (no se trata como secreto y puede mencionarse públicamente o predecirse).

Umbraco, un sistema de gestión de contenido .NET gratuito y de código abierto, presenta una vulnerabilidad en las versiones 10.0.0 a 10.8.10 y 13.0.0 a 13.9.1. Mediante una solicitud a un endpoint autenticado anónimamente, es posible obtener información sobre los requisitos de contraseña configurados. La información disponible es limitada, pero podría proporcionar información adicional útil para quienes intenten obtener la contraseña de un usuario mediante fuerza bruta. Esta información no se expuso en Umbraco 7 ni 8, ni en la versión 14 o posteriores. La vulnerabilidad está corregida en las versiones 10.8.11 y 13.9.2.