Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

• Vulnerabilidad en Contribsys Sidekiq v.6.5.8 (CVE-2023-46950)
  Severidad: MEDIA
  Fecha de publicación: 01/03/2024
  Fecha de última actualización: 18/04/2025
  Vulnerabilidad de Cross-Site Scripting en Contribsys Sidekiq v.6.5.8 permite a un atacante remoto obtener información confidencial a través de una URL manipulada para las funciones de filtro.
  
• Vulnerabilidad en Contribsys Sidekiq v.6.5.8 (CVE-2023-46951)
  Severidad: MEDIA
  Fecha de publicación: 01/03/2024
  Fecha de última actualización: 18/04/2025
  Una vulnerabilidad de Cross-Site Scripting en Contribsys Sidekiq v.6.5.8 permite a un atacante remoto obtener información confidencial a través de un payload manipulado para la función Uniquejobs.
  
• Vulnerabilidad en Book Store Management System v1 (CVE-2023-49543)
  Severidad: CRÍTICA
  Fecha de publicación: 01/03/2024
  Fecha de última actualización: 18/04/2025
  El control de acceso incorrecto en Book Store Management System v1 permite a los atacantes acceder a páginas no autorizadas y ejecutar funciones administrativas sin autenticarse.
  
• Vulnerabilidad en Pkp OJS v.3.4 (CVE-2024-24511)
  Severidad: MEDIA
  Fecha de publicación: 01/03/2024
  Fecha de última actualización: 18/04/2025
  Una vulnerabilidad de Cross-Site Scripting en Pkp OJS v.3.4 permite a un atacante ejecutar código arbitrario a través del componente Título de entrada.
  
• Vulnerabilidad en Pkp OJS v.3.4 (CVE-2024-24512)
  Severidad: MEDIA
  Fecha de publicación: 01/03/2024
  Fecha de última actualización: 18/04/2025
  Una vulnerabilidad de Cross-Site Scripting en Pkp OJS v.3.4 permite a un atacante ejecutar código arbitrario a través del componente de subtítulos de entrada.
  
• Vulnerabilidad en Social Media Share Buttons para WordPress (CVE-2024-1685)
  Severidad: ALTA
  Fecha de publicación: 16/03/2024
  Fecha de última actualización: 18/04/2025
  El complemento Social Media Share Buttons para WordPress es vulnerable a la inyección de objetos PHP en todas las versiones hasta la 2.1.0 incluida a través de la deserialización de entradas que no son de confianza a través del parámetro adjuntoUrl. Esto hace posible que atacantes autenticados, con acceso a nivel de suscriptor y superior, inyecten un objeto PHP. No hay ninguna cadena POP conocida presente en el complemento vulnerable. Si hay una cadena POP presente a través de un complemento o tema adicional instalado en el sistema de destino, podría permitir al atacante eliminar archivos arbitrarios, recuperar datos confidenciales o ejecutar código.
  
• Vulnerabilidad en Word Replacer Pro para WordPress (CVE-2024-1733)
  Severidad: MEDIA
  Fecha de publicación: 16/03/2024
  Fecha de última actualización: 18/04/2025
  El complemento Word Replacer Pro para WordPress es vulnerable a modificaciones no autorizadas de datos debido a una falta de verificación de capacidad en la función word_replacer_ultra() en todas las versiones hasta la 1.0 incluida. Esto hace posible que atacantes no autenticados actualicen contenido arbitrario en el sitio de WordPress afectado.
  
• Vulnerabilidad en CandyCMS (CVE-2024-31022)
  Severidad: CRÍTICA
  Fecha de publicación: 08/04/2024
  Fecha de última actualización: 18/04/2025
  Se descubrió un problema en CandyCMS versión 1.0.0 que permite a atacantes remotos ejecutar código arbitrario a través del componente install.php.
  
• Vulnerabilidad en Sourcecodester Online Graduate Tracer System v1.0 (CVE-2024-31507)
  Severidad: ALTA
  Fecha de publicación: 09/04/2024
  Fecha de última actualización: 18/04/2025
  Sourcecodester Online Graduate Tracer System v1.0 es vulnerable a la inyección SQL a través del parámetro "solicitud" en admin/fetch_gendercs.php.
  
• Vulnerabilidad en ZKTeko BioTime (CVE-2023-51141)
  Severidad: MEDIA
  Fecha de publicación: 11/04/2024
  Fecha de última actualización: 18/04/2025
  Un problema en ZKTeko BioTime v.8.5.4 y anteriores permite a un atacante remoto obtener información confidencial a través del componente Autenticación y Autorización
  
• Vulnerabilidad en ZKTeco BioTime (CVE-2023-51142)
  Severidad: ALTA
  Fecha de publicación: 11/04/2024
  Fecha de última actualización: 18/04/2025
  Un problema en ZKTeco BioTime v.8.5.4 y anteriores permite a un atacante remoto obtener información confidencial.
  
• Vulnerabilidad en Macrob7 Macs CMS 1.1.4f (CVE-2023-45503)
  Severidad: MEDIA
  Fecha de publicación: 15/04/2024
  Fecha de última actualización: 18/04/2025
  Vulnerabilidad de inyección SQL en Macrob7 Macs CMS 1.1.4f, permite a atacantes remotos ejecutar código arbitrario, provocar una denegación de servicio (DoS), escalar privilegios y obtener información confidencial a través de un payload manipulado para resetPassword, forgotPasswordProcess, saveUser, saveRole, deleteUser, deleteRole, deleteComment, deleteUser, allowComment, saveRole, forgotPasswordProcess, resetPassword, saveUser, addComment, saveRole, and saveUser endpoints.
  
• Vulnerabilidad en Codoforum v4.9 (CVE-2020-22539)
  Severidad: ALTA
  Fecha de publicación: 15/04/2024
  Fecha de última actualización: 18/04/2025
  Una vulnerabilidad de carga de archivos arbitrarios en la función Agregar Categoría de Codoforum v4.9 permite a los atacantes ejecutar código arbitrario cargando un archivo manipulado.
  
• Vulnerabilidad en Codoforum v4.9 (CVE-2020-22540)
  Severidad: MEDIA
  Fecha de publicación: 15/04/2024
  Fecha de última actualización: 18/04/2025
  Vulnerabilidad de Cross-Site Scripting (XSS) almacenado en Codoforum v4.9 permite a los atacantes ejecutar código arbitrario y obtener información confidencial a través de un payload manipulado en el componente de nombre de categoría.
  
• Vulnerabilidad en Wpmet Elements kit Elementor addons (CVE-2024-32505)
  Severidad: MEDIA
  Fecha de publicación: 17/04/2024
  Fecha de última actualización: 18/04/2025
  La vulnerabilidad de neutralización inadecuada de la entrada durante la generación de páginas web ('Cross-site Scripting') en Wpmet Elements kit Elementor addons permite almacenar XSS. Este problema afecta a los complementos de Elementor del kit de elementos: desde n/a hasta 3.0.6.
  
• Vulnerabilidad en jizhiCMS 2.5 (CVE-2024-32161)
  Severidad: CRÍTICA
  Fecha de publicación: 17/04/2024
  Fecha de última actualización: 18/04/2025
  jizhiCMS 2.5 sufre una vulnerabilidad de carga de archivos.
  
• Vulnerabilidad en BOSSCMS v3.10 (CVE-2024-31609)
  Severidad: ALTA
  Fecha de publicación: 25/04/2024
  Fecha de última actualización: 18/04/2025
  La vulnerabilidad de Cross Site Scripting (XSS) en BOSSCMS v3.10 permite a los atacantes ejecutar código arbitrario a través de los campos de código de encabezado y código de pie de página en la configuración del código.
  
• Vulnerabilidad en Salon booking system de WordPress (CVE-2024-2603)
  Severidad: MEDIA
  Fecha de publicación: 26/04/2024
  Fecha de última actualización: 18/04/2025
  El complemento Salon booking system de WordPress hasta la versión 9.6.5 no sanitiza ni escapa a algunas de sus configuraciones, lo que podría permitir a usuarios con privilegios elevados, como administradores (o editores dependiendo de la configuración del complemento de WordPress del sistema de reservas de salones hasta la versión 9.6.5) realizar ataques de Cross-Site Scripting Almacenado incluso cuando la capacidad unfiltered_html no está permitida (por ejemplo, en configuración multisitio)
  
• Vulnerabilidad en MiniCMS v.1.11 (CVE-2024-31741)
  Severidad: MEDIA
  Fecha de publicación: 26/04/2024
  Fecha de última actualización: 18/04/2025
  La vulnerabilidad de Cross Site Scripting en MiniCMS v.1.11 permite a un atacante remoto ejecutar código arbitrario a través de una cadena manipulada en la URL después de iniciar sesión.
  
• Vulnerabilidad en Lavalite CMS v.10.1.0 (CVE-2024-31828)
  Severidad: MEDIA
  Fecha de publicación: 26/04/2024
  Fecha de última actualización: 18/04/2025
  La vulnerabilidad de cross site scripting en Lavalite CMS v.10.1.0 permite a los atacantes ejecutar código arbitrario y obtener información confidencial a través de un payload manipulado en la URL.
  
• Vulnerabilidad en Logpoint (CVE-2022-48684)
  Severidad: ALTA
  Fecha de publicación: 27/04/2024
  Fecha de última actualización: 18/04/2025
  Se descubrió un problema en Logpoint antes de la versión 7.1.1. Se observó inyección de plantilla en la plantilla de búsqueda. La plantilla de búsqueda utiliza plantillas jinja para generar datos dinámicos. Se podría abusar de esto para lograr la ejecución del código. Cualquier usuario con acceso para crear una plantilla de búsqueda puede aprovechar esto para ejecutar código como usuario de inicio de sesión.
  
• Vulnerabilidad en Logpoint (CVE-2022-48685)
  Severidad: ALTA
  Fecha de publicación: 27/04/2024
  Fecha de última actualización: 18/04/2025
  Se descubrió un problema en Logpoint 7.1 anterior a 7.1.2. Todos los usuarios pueden escribir en el archivo cron ejecutado diariamente clean_secbi_old_logs y se ejecuta como root, lo que lleva a una escalada de privilegios.
  
• Vulnerabilidad en MF Gig Calendar de WordPress (CVE-2024-3755)
  Severidad: MEDIA
  Fecha de publicación: 06/05/2024
  Fecha de última actualización: 18/04/2025
  El complemento MF Gig Calendar de WordPress hasta la versión 1.2.1 no sanitiza ni escapa a algunas de sus configuraciones, lo que podría permitir a usuarios con privilegios elevados, como el editor, realizar ataques de Cross-Site Scripting Almacenado incluso cuando la capacidad unfiltered_html no está permitida (por ejemplo, en configuración multisitio).
  
• Vulnerabilidad en MF Gig Calendar de WordPress (CVE-2024-3756)
  Severidad: ALTA
  Fecha de publicación: 06/05/2024
  Fecha de última actualización: 18/04/2025
  El complemento MF Gig Calendar de WordPress hasta la versión 1.2.1 no tiene comprobaciones CSRF en algunos lugares, lo que podría permitir a los atacantes hacer que los Colaboradores registrados y superiores eliminen eventos arbitrarios mediante un ataque CSRF.
  
• Vulnerabilidad en Logpoint (CVE-2024-33856)
  Severidad: MEDIA
  Fecha de publicación: 07/05/2024
  Fecha de última actualización: 18/04/2025
  Se descubrió un problema en Logpoint antes de 7.4.0. Un atacante puede enumerar una lista válida de nombres de usuario observando el tiempo de respuesta en el endpoint de Forgot Password.
  
• Vulnerabilidad en Logpoint (CVE-2024-33857)
  Severidad: CRÍTICA
  Fecha de publicación: 07/05/2024
  Fecha de última actualización: 18/04/2025
  Se descubrió un problema en Logpoint antes de 7.4.0. Debido a la falta de validación de entradas de URL en la inteligencia de amenazas, un atacante con acceso de bajo nivel al sistema puede activar Server Side Request Forgery.
  
• Vulnerabilidad en Logpoint (CVE-2024-33858)
  Severidad: MEDIA
  Fecha de publicación: 07/05/2024
  Fecha de última actualización: 18/04/2025
  Se descubrió un problema en Logpoint antes de 7.4.0. Se observa una vulnerabilidad de inyección de ruta al agregar una fuente de enriquecimiento CSV. El parámetro source_name podría cambiarse a una ruta absoluta; esto escribirá el archivo CSV en esa ruta dentro del directorio /tmp.
  
• Vulnerabilidad en Logpoint (CVE-2024-33859)
  Severidad: MEDIA
  Fecha de publicación: 07/05/2024
  Fecha de última actualización: 18/04/2025
  Se descubrió un problema en Logpoint antes de 7.4.0. El código HTML enviado a través de registros no se escapaba en la interfaz de usuario web "Campo interesante", lo que generaba XSS.
  
• Vulnerabilidad en Logpoint (CVE-2024-33860)
  Severidad: MEDIA
  Fecha de publicación: 07/05/2024
  Fecha de última actualización: 18/04/2025
  Se descubrió un problema en Logpoint antes de 7.4.0. Permite la inclusión de archivos locales (LFI) cuando se utiliza una ruta de archivo arbitraria dentro del recopilador del sistema de archivos. El contenido del archivo especificado se puede ver en los registros entrantes.
  
• Vulnerabilidad en TLV de MONGO y ZigBee en Wireshark (CVE-2024-4854)
  Severidad: MEDIA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  Los bucles infinitos de disección TLV de MONGO y ZigBee en Wireshark 4.2.0 a 4.2.4, 4.0.0 a 4.0.14 y 3.6.0 a 3.6.22 permiten la denegación de servicio mediante inyección de paquetes o archivo de captura manipulado
  
• Vulnerabilidad en HDF5 (CVE-2024-32605)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  La librería HDF5 hasta 1.14.3 tiene un búfer basado en montón sobreleído en H5VM_memcpyvv en H5VM.c (llamado desde H5D__compact_readvv en H5Dcompact.c).
  
• Vulnerabilidad en HDF5 (CVE-2024-32606)
  Severidad: MEDIA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  La librería HDF5 hasta 1.14.3 puede intentar eliminar la referencia a valores no inicializados en h5tools_str_sprint en tools/lib/h5tools_str.c (llamado desde h5tools_dump_simple_data en tools/lib/h5tools_dump.c).
  
• Vulnerabilidad en HDF5 (CVE-2024-32607)
  Severidad: MEDIA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  La librería HDF5 hasta la versión 1.14.3 tiene un SEGV en H5A__close en H5Aint.c, lo que provoca la corrupción del puntero de instrucción.
  
• Vulnerabilidad en HDF5 (CVE-2024-32609)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  La librería HDF5 hasta 1.14.3 permite el consumo de pila en la función H5E_printf_stack en H5Eint.c.
  
• Vulnerabilidad en HDF5 (CVE-2024-32610)
  Severidad: MEDIA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  La librería HDF5 hasta la versión 1.14.3 tiene un SEGV en H5T_close_real en H5T.c, lo que genera un puntero de instrucción dañado.
  
• Vulnerabilidad en HDF5 (CVE-2024-32611)
  Severidad: CRÍTICA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  La librería HDF5 hasta 1.14.3 puede usar un valor no inicializado en H5A__attr_release_table en H5Aint.c.
  
• Vulnerabilidad en HDF5 (CVE-2024-32612)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  La librería HDF5 hasta la versión 1.14.3 contiene un desbordamiento de búfer de almacenamiento dinámico sobreleído en H5HL__fl_deserialize en H5HLcache.c, lo que resulta en la corrupción del puntero de instrucción, una vulnerabilidad diferente a CVE-2024-32613.
  
• Vulnerabilidad en HDF5 (CVE-2024-32613)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  La librería HDF5 hasta la versión 1.14.3 contiene un desbordamiento de búfer de almacenamiento dinámico sobreleído en la función H5HL__fl_deserialize en H5HLcache.c, una vulnerabilidad diferente a CVE-2024-32612.
  
• Vulnerabilidad en HDF5 (CVE-2024-32614)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  La librería HDF5 hasta 1.14.3 tiene un SEGV en H5VM_memcpyvv en H5VM.c.
  
• Vulnerabilidad en HDF5 (CVE-2024-32615)
  Severidad: CRÍTICA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  La librería HDF5 hasta 1.14.3 contiene un desbordamiento de búfer de almacenamiento dinámico en H5Z__nbit_decompress_one_byte en H5Znbit.c, causado por el uso anterior de un puntero inicializado.
  
• Vulnerabilidad en HDF5 (CVE-2024-32616)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  La librería HDF5 hasta 1.14.3 contiene un búfer basado en montón sobreleído en H5O__dtype_encode_helper en H5Odtype.c.
  
• Vulnerabilidad en HDF5 (CVE-2024-32617)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  La librería HDF5 hasta 1.14.3 contiene una sobrelectura del búfer basado en montón causada por el uso inseguro de strdup en H5MM_xstrdup en H5MM.c (llamado desde H5G__ent_to_link en H5Glink.c).
  
• Vulnerabilidad en HDF5 (CVE-2024-32618)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  La librería HDF5 hasta la versión 1.14.3 contiene un desbordamiento del búfer basado en montón en H5T__get_native_type en H5Tnative.c, lo que provoca la corrupción del puntero de instrucción.
  
• Vulnerabilidad en HDF5 (CVE-2024-32619)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  La librería HDF5 hasta la versión 1.14.3 contiene un desbordamiento de búfer de almacenamiento dinámico en H5T_copy_reopen en H5T.c, lo que provoca la corrupción del puntero de instrucción.
  
• Vulnerabilidad en HDF5 (CVE-2024-32620)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  La librería HDF5 hasta la versión 1.14.3 contiene un búfer basado en montón sobreleído en H5F_addr_decode_len en H5Fint.c, lo que provoca la corrupción del puntero de instrucción.
  
• Vulnerabilidad en HDF5 (CVE-2024-32621)
  Severidad: CRÍTICA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  La librería HDF5 hasta 1.14.3 contiene un desbordamiento de búfer de almacenamiento dinámico en H5HG_read en H5HG.c (llamado desde H5VL__native_blob_get en H5VLnative_blob.c), lo que resulta en la corrupción del puntero de instrucción.
  
• Vulnerabilidad en HDF5 (CVE-2024-32622)
  Severidad: CRÍTICA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  La librería HDF5 hasta 1.14.3 contiene una operación de lectura fuera de los límites en H5FL_arr_malloc en H5FL.c (llamada desde H5S_set_extent_simple en H5S.c).
  
• Vulnerabilidad en HDF5 (CVE-2024-32623)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  La librería HDF5 hasta 1.14.3 contiene un desbordamiento de búfer de almacenamiento dinámico en H5VM_array_fill en H5VM.c (llamado desde H5S_select_elements en H5Spoint.c).
  
• Vulnerabilidad en HDF5 (CVE-2024-32624)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  La librería HDF5 hasta 1.14.3 contiene un desbordamiento de búfer de almacenamiento dinámico en H5T__ref_mem_setnull en H5Tref.c (llamado desde H5T__conv_ref en H5Tconv.c), lo que resulta en la corrupción del puntero de instrucción.
  
• Vulnerabilidad en HDF5 (CVE-2024-33873)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  La librería HDF5 hasta 1.14.3 tiene un desbordamiento de búfer de almacenamiento dinámico en H5D__scatter_mem en H5Dscatgath.c.
  
• Vulnerabilidad en HDF5 (CVE-2024-33874)
  Severidad: CRÍTICA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  La librería HDF5 hasta 1.14.3 tiene un desbordamiento de búfer de almacenamiento dinámico en H5O__mtime_new_encode en H5Omtime.c.
  
• Vulnerabilidad en HDF5 (CVE-2024-33875)
  Severidad: MEDIA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  La librería HDF5 hasta la versión 1.14.3 tiene un desbordamiento de búfer de almacenamiento dinámico en H5O__layout_encode en H5Olayout.c, lo que provoca la corrupción del puntero de instrucción.
  
• Vulnerabilidad en HDF5 (CVE-2024-33876)
  Severidad: MEDIA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  La librería HDF5 hasta 1.14.3 tiene un desbordamiento de búfer de almacenamiento dinámico en H5S__point_deserialize en H5Spoint.c.
  
• Vulnerabilidad en HDF5 (CVE-2024-33877)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  La librería HDF5 hasta 1.14.3 tiene un desbordamiento de búfer de almacenamiento dinámico en H5T__conv_struct_opt en H5Tconv.c.
  
• Vulnerabilidad en Sourcecodester Human Resource Management System 1.0 (CVE-2024-34220)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  Sourcecodester Human Resource Management System 1.0 es vulnerable a la inyección SQL a través del parámetro 'leave'.
  
• Vulnerabilidad en Sourcecodester Human Resource Management System 1.0 (CVE-2024-34221)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  Sourcecodester Human Resource Management System 1.0 es vulnerable a permisos inseguros que resultan en una escalada de privilegios.
  
• Vulnerabilidad en Sourcecodester Human Resource Management System 1.0 (CVE-2024-34222)
  Severidad: MEDIA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  Sourcecodester Human Resource Management System 1.0 es vulnerable a la inyección SQL a través del parámetro searchcountry.
  
• Vulnerabilidad en Sourcecodester Human Resource Management System 1.0 (CVE-2024-34223)
  Severidad: MEDIA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  Vulnerabilidad de permiso inseguro en /hrm/leaverequest.php en SourceCodester Human Resource Management System 1.0 permite a los atacantes aprobar o rechazar el ticket de licencia.
  
• Vulnerabilidad en HDF5 (CVE-2024-29157)
  Severidad: CRÍTICA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  HDF5 hasta 1.14.3 contiene un desbordamiento de búfer de almacenamiento dinámico en H5HG_read, lo que provoca la corrupción del puntero de instrucción y provoca denegación de servicio o posible ejecución de código.
  
• Vulnerabilidad en HDF5 (CVE-2024-29158)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  HDF5 hasta 1.14.3 contiene un desbordamiento de búfer en la región stack de la memoria en H5FL_arr_malloc, lo que provoca la corrupción del puntero de instrucción y provoca denegación de servicio o posible ejecución de código.
  
• Vulnerabilidad en HDF5 (CVE-2024-29159)
  Severidad: CRÍTICA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  HDF5 hasta 1.14.3 contiene un desbordamiento de búfer en H5Z__filter_scaleoffset, lo que provoca la corrupción del puntero de instrucción y provoca denegación de servicio o posible ejecución de código.
  
• Vulnerabilidad en HDF5 (CVE-2024-29160)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  HDF5 hasta 1.14.3 contiene un desbordamiento de búfer de almacenamiento dinámico en H5HG__cache_heap_deserialize, lo que provoca la corrupción del puntero de instrucción y provoca denegación de servicio o posible ejecución de código.
  
• Vulnerabilidad en HDF5 (CVE-2024-29161)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  HDF5 hasta 1.14.3 contiene un desbordamiento de búfer de almacenamiento dinámico en H5A__attr_release_table, lo que provoca la corrupción del puntero de instrucción y provoca denegación de servicio o posible ejecución de código.
  
• Vulnerabilidad en HDF5 (CVE-2024-29162)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  HDF5 hasta 1.13.3 y/o 1.14.2 contiene un desbordamiento de búfer en la región stack de la memoria en H5HG_read, lo que resulta en denegación de servicio o posible ejecución de código.
  
• Vulnerabilidad en HDF5 (CVE-2024-29163)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  HDF5 hasta 1.14.3 contiene un desbordamiento de búfer de almacenamiento dinámico en H5T__bit_find, lo que provoca la corrupción del puntero de instrucción y provoca denegación de servicio o posible ejecución de código.
  
• Vulnerabilidad en HDF5 (CVE-2024-29164)
  Severidad: CRÍTICA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  HDF5 hasta 1.14.3 contiene un desbordamiento del búfer de pila en H5R__decode_heap, lo que provoca la corrupción del puntero de instrucción y provoca denegación de servicio o posible ejecución de código.
  
• Vulnerabilidad en HDF5 (CVE-2024-29165)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  HDF5 hasta 1.14.3 contiene un desbordamiento de búfer en H5Z__filter_fletcher32, lo que provoca la corrupción del puntero de instrucción y provoca denegación de servicio o posible ejecución de código.
  
• Vulnerabilidad en HDF5 (CVE-2024-29166)
  Severidad: MEDIA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 18/04/2025
  HDF5 hasta 1.14.3 contiene un desbordamiento del búfer en H5O__linfo_decode, lo que provoca la corrupción del puntero de instrucción y provoca denegación de servicio o posible ejecución de código.
  
• Vulnerabilidad en Copymatic Copymatic – AI Content Writer & Generator (CVE-2024-31351)
  Severidad: CRÍTICA
  Fecha de publicación: 17/05/2024
  Fecha de última actualización: 18/04/2025
  Vulnerabilidad de carga sin restricciones de archivos de tipo peligroso en Copymatic Copymatic – AI Content Writer & Generator. Este problema afecta a Copymatic – AI Content Writer & Generator: desde n/a hasta 1.6.
  
• Vulnerabilidad en El complemento Survey Maker de WordPress (CVE-2024-4061)
  Severidad: MEDIA
  Fecha de publicación: 21/05/2024
  Fecha de última actualización: 18/04/2025
  El complemento Survey Maker de WordPress anterior a 4.2.9 no sanitiza ni escapa a algunas de sus configuraciones, lo que podría permitir a usuarios con privilegios elevados, como el administrador, realizar ataques de Cross Site Scripting Almacenado incluso cuando la capacidad unfiltered_html no está permitida (por ejemplo, en una configuración multisitio).
  
• Vulnerabilidad en El complemento Salon booking system para WordPress (CVE-2024-4442)
  Severidad: CRÍTICA
  Fecha de publicación: 21/05/2024
  Fecha de última actualización: 18/04/2025
  El complemento Salon booking system para WordPress es vulnerable a la eliminación arbitraria de archivos en todas las versiones hasta la 9.8 incluida. Esto se debe a que el complemento no valida correctamente la ruta de un archivo cargado antes de eliminarlo. Esto hace posible que atacantes no autenticados eliminen archivos arbitrarios, incluido el archivo wp-config.php, lo que puede hacer posible la toma de control del sitio y la ejecución remota de código.
  
• Vulnerabilidad en AsIO64.sys de ASUSTeK Computer Inc ASUS SABERTOOTH X99 Driver (CVE-2024-33219)
  Severidad: ALTA
  Fecha de publicación: 22/05/2024
  Fecha de última actualización: 18/04/2025
  Un problema en el componente AsIO64.sys de ASUSTeK Computer Inc ASUS SABERTOOTH X99 Driver v1.0.1.0 permite a los atacantes escalar privilegios y ejecutar código arbitrario mediante el envío de solicitudes IOCTL manipuladas.
  
• Vulnerabilidad en AslO3_64.sys de ASUSTeK Computer Inc AISuite3 (CVE-2024-33220)
  Severidad: ALTA
  Fecha de publicación: 22/05/2024
  Fecha de última actualización: 18/04/2025
  Un problema en el componente AslO3_64.sys de ASUSTeK Computer Inc AISuite3 v3.03.36 3.03.36 permite a los atacantes escalar privilegios y ejecutar código arbitrario mediante el envío de solicitudes IOCTL manipuladas.
  
• Vulnerabilidad en Ghost (CVE-2024-34448)
  Severidad: ALTA
  Fecha de publicación: 22/05/2024
  Fecha de última actualización: 18/04/2025
  Ghost anterior a 5.82.0 permite la inyección de CSV durante la exportación de CSV de un miembro.
  
• Vulnerabilidad en Chamilo LMS v.1.11.26 (CVE-2024-27525)
  Severidad: MEDIA
  Fecha de publicación: 01/11/2024
  Fecha de última actualización: 18/04/2025
  La vulnerabilidad de cross site scripting en Chamilo LMS v.1.11.26 permite a un atacante remoto escalar privilegios a través de un script manipulado específicamente para el parámetro filename del componente home.php.
  
• Vulnerabilidad en Chamilo LMS 1.11.26 (CVE-2024-30616)
  Severidad: ALTA
  Fecha de publicación: 04/11/2024
  Fecha de última actualización: 18/04/2025
  Chamilo LMS 1.11.26 es vulnerable a un control de acceso incorrecto a través de main/auth/profile. Los usuarios que no sean administradores pueden manipular información confidencial de los perfiles, lo que representa un riesgo significativo para la integridad de los datos.
  
• Vulnerabilidad en Chamilo LMS 1.11.26 (CVE-2024-30617)
  Severidad: MEDIA
  Fecha de publicación: 04/11/2024
  Fecha de última actualización: 18/04/2025
  Una vulnerabilidad de Cross-Site Request Forgery (CSRF) en Chamilo LMS 1.11.26 "/main/social/home.php" permite a los atacantes iniciar una solicitud que publica una publicación falsa en el muro social del usuario sin su consentimiento o conocimiento.
  
• Vulnerabilidad en Chamilo LMS 1.11.26 (CVE-2024-30618)
  Severidad: MEDIA
  Fecha de publicación: 04/11/2024
  Fecha de última actualización: 18/04/2025
  Una vulnerabilidad de cross site scripting almacenado (XSS) en Chamilo LMS 1.11.26 permite a un atacante remoto ejecutar JavaScript arbitrario en un navegador web al incluir un payload maliciosa en el parámetro 'content' de 'group_topics.php'.
  
• Vulnerabilidad en Chamilo LMS 1.11.26 (CVE-2024-30619)
  Severidad: ALTA
  Fecha de publicación: 04/11/2024
  Fecha de última actualización: 18/04/2025
  Chamilo LMS versión 1.11.26 es vulnerable a un control de acceso incorrecto. Un atacante no autenticado puede solicitar la cantidad de mensajes y la cantidad de usuarios en línea a través de "/main/inc/ajax/message.ajax.php?a=get_count_message" Y "/main/inc/ajax/online.ajax.php?a=get_users_online".
  
• Vulnerabilidad en Logpoint (CVE-2024-48950)
  Severidad: ALTA
  Fecha de publicación: 07/11/2024
  Fecha de última actualización: 18/04/2025
  Se descubrió un problema en Logpoint anterior a la versión 7.5.0. Se expuso un endpoint utilizado por Distributed Logpoint Setup, lo que permitía a atacantes no autenticados eludir las protecciones y la autenticación de CSRF.
  
• Vulnerabilidad en Hoosk v1.7.1 (CVE-2024-51055)
  Severidad: MEDIA
  Fecha de publicación: 08/11/2024
  Fecha de última actualización: 18/04/2025
  Un problema en Hoosk v1.7.1 permite que un atacante remoto ejecute código arbitrario a través de un script manipulado en el componente config.php.
  
• Vulnerabilidad en Rockwell Automation Arena (CVE-2024-11158)
  Severidad: ALTA
  Fecha de publicación: 05/12/2024
  Fecha de última actualización: 18/04/2025
  Existe una vulnerabilidad de ejecución de código de “uninitialized variable” en Rockwell Automation Arena® que podría permitir que un actor de amenazas manipule un archivo DOE y obligue al software a acceder a una variable antes de que se inicialice. Si se explota, un actor de amenazas podría aprovechar esta vulnerabilidad para ejecutar código arbitrario. Para explotar esta vulnerabilidad, un usuario legítimo debe ejecutar el código malicioso manipulado por el actor de amenazas.
  
• Vulnerabilidad en PwnDoc (CVE-2024-55602)
  Severidad: ALTA
  Fecha de publicación: 10/12/2024
  Fecha de última actualización: 18/04/2025
  PwnDoc es un generador de informes de pruebas de penetración. Antes del commit 1d4219c596f4f518798492e48386a20c6e9a2fe6, un usuario autenticado que puede actualizar y descargar plantillas puede inyectar secuencias de path traversal (`../`) en la propiedad de extensión de archivo para leer archivos arbitrarios en el sistema. El commit 1d4219c596f4f518798492e48386a20c6e9a2fe6 contiene un parche para el problema.
  
• Vulnerabilidad en PwnDoc (CVE-2024-55653)
  Severidad: MEDIA
  Fecha de publicación: 10/12/2024
  Fecha de última actualización: 18/04/2025
  PwnDoc es un generador de informes de pruebas de penetración. En versiones hasta la 0.5.3 inclusive, un usuario autenticado puede hacer que el backend se bloquee al generar un `UnhandledPromiseRejection` en las auditorías, lo que hace que salga del backend. El usuario no necesita saber el ID de auditoría, ya que un ID de auditoría incorrecto también generará el rechazo. Si el backend no responde, toda la aplicación se vuelve inutilizable para todos los usuarios de la aplicación. Al momento de la publicación, no hay parches conocidos disponibles.
  
• Vulnerabilidad en GetSimple CMS CE 3.3.19 (CVE-2024-55086)
  Severidad: ALTA
  Fecha de publicación: 18/12/2024
  Fecha de última actualización: 18/04/2025
  En la página de administración de GetSimple CMS CE 3.3.19, se puede lograr Server-Side Request Forgery (SSRF) en la dirección de descarga del complemento en el sistema de administración de backend.
  
• Vulnerabilidad en Piranha CMS 11.1 (CVE-2024-55342)
  Severidad: MEDIA
  Fecha de publicación: 20/12/2024
  Fecha de última actualización: 18/04/2025
  Una función de carga de archivos en Piranha CMS 11.1 permite a atacantes remotos autenticados cargar un archivo PDF manipulado a /manager/media. Este PDF puede contener código JavaScript malicioso, que se ejecuta cuando un usuario víctima abre o interactúa con el PDF en su navegador web, lo que genera una vulnerabilidad XSS.
  
• Vulnerabilidad en Smart Agent v.1.1.0 (CVE-2024-50717)
  Severidad: CRÍTICA
  Fecha de publicación: 27/12/2024
  Fecha de última actualización: 18/04/2025
  La vulnerabilidad de inyección SQL en Smart Agent v.1.1.0 permite a un atacante remoto ejecutar código arbitrario a través del parámetro del cliente en el componente /recuperaLog.php.
  
• Vulnerabilidad en The Ninja Forms – The Contact Form Builder That Grows With You para WordPress (CVE-2024-12238)
  Severidad: MEDIA
  Fecha de publicación: 29/12/2024
  Fecha de última actualización: 18/04/2025
  El complemento The Ninja Forms – The Contact Form Builder That Grows With You para WordPress es vulnerable a la ejecución de códigos cortos arbitrarios en todas las versiones hasta la 3.8.22 incluida. Esto se debe a que el software permite a los usuarios ejecutar una acción que no valida correctamente un valor antes de ejecutar do_shortcode. Esto hace posible que atacantes autenticados, con acceso de nivel de suscriptor y superior, ejecuten códigos cortos arbitrarios.
  
• Vulnerabilidad en iceCMS v2.2.0 (CVE-2025-22984)
  Severidad: ALTA
  Fecha de publicación: 14/01/2025
  Fecha de última actualización: 18/04/2025
  Un problema de control de acceso en el componente /api/squareComment/DelectSquareById de iceCMS v2.2.0 permite que atacantes no autenticados accedan a información confidencial.
  
• Vulnerabilidad en JeeWMS (CVE-2024-57757)
  Severidad: ALTA
  Fecha de publicación: 15/01/2025
  Fecha de última actualización: 18/04/2025
  Se descubrió que JeeWMS anterior a v2025.01.01 contenía una omisión de permisos en el componente /interceptors/AuthInterceptor.cava.
  
• Vulnerabilidad en Microsoft Corporation (CVE-2025-24054)
  Severidad: MEDIA
  Fecha de publicación: 11/03/2025
  Fecha de última actualización: 18/04/2025
  El control externo del nombre o la ruta de archivo en Windows NTLM permite que un atacante no autorizado realice suplantación de identidad a través de una red.
  
• Vulnerabilidad en Substance3D - Painter (CVE-2025-24450)
  Severidad: ALTA
  Fecha de publicación: 11/03/2025
  Fecha de última actualización: 18/04/2025
  Las versiones 10.1.2 y anteriores de Substance3D - Painter se ven afectadas por una vulnerabilidad de escritura fuera de los límites que podría provocar la ejecución de código arbitrario en el contexto del usuario actual. Para explotar este problema, la víctima debe abrir un archivo malicioso.
  
• Vulnerabilidad en Substance3D - Painter (CVE-2025-24451)
  Severidad: ALTA
  Fecha de publicación: 11/03/2025
  Fecha de última actualización: 18/04/2025
  Las versiones 10.1.2 y anteriores de Substance3D - Painter se ven afectadas por una vulnerabilidad de escritura fuera de los límites que podría provocar la ejecución de código arbitrario en el contexto del usuario actual. Para explotar este problema, la víctima debe abrir un archivo malicioso.
  
• Vulnerabilidad en Substance3D - Modeler (CVE-2025-27173)
  Severidad: ALTA
  Fecha de publicación: 11/03/2025
  Fecha de última actualización: 18/04/2025
  Las versiones 1.15.0 y anteriores de Substance3D - Modeler se ven afectadas por una vulnerabilidad de desbordamiento de búfer en el montón que podría provocar la ejecución de código arbitrario en el contexto del usuario actual. Para explotar este problema, es necesario que la víctima abra un archivo malicioso.
  
• Vulnerabilidad en Substance3D - Modeler (CVE-2025-27180)
  Severidad: MEDIA
  Fecha de publicación: 11/03/2025
  Fecha de última actualización: 18/04/2025
  Las versiones 1.15.0 y anteriores de Substance3D - Modeler se ven afectadas por una vulnerabilidad de lectura fuera de los límites que podría provocar la divulgación de memoria confidencial. Un atacante podría aprovechar esta vulnerabilidad para eludir medidas de mitigación como ASLR. Para explotar este problema, la víctima debe abrir un archivo malicioso.
  
• Vulnerabilidad en Substance3D - Modeler (CVE-2025-27181)
  Severidad: ALTA
  Fecha de publicación: 11/03/2025
  Fecha de última actualización: 18/04/2025
  Las versiones 1.15.0 y anteriores de Substance3D - Modeler se ven afectadas por una vulnerabilidad de uso después de la liberación que podría provocar la ejecución de código arbitrario en el contexto del usuario actual. Para explotar este problema, la víctima debe abrir un archivo malicioso.
  
• Vulnerabilidad en Jenkins Stack Hammer Plugin (CVE-2025-31726)
  Severidad: MEDIA
  Fecha de publicación: 02/04/2025
  Fecha de última actualización: 18/04/2025
  Jenkins Stack Hammer Plugin 1.0.6 y las teclas API de Hammer Hammer de las tiendas anteriores sin cifrar en archivos Config.xml en el controlador Jenkins donde los usuarios pueden verlos con permiso de lectura extendido o acceso al archivo del controlador Jenkins sistema.
  
• Vulnerabilidad en MediaTek, Inc. (CVE-2025-20657)
  Severidad: MEDIA
  Fecha de publicación: 07/04/2025
  Fecha de última actualización: 18/04/2025
  En vdec, existe una posible omisión de permisos debido a una validación de entrada incorrecta. Esto podría provocar una escalada local de privilegios si un actor malicioso ya ha obtenido el privilegio de System. No se requiere la interacción del usuario para la explotación. ID de parche: ALPS09486425; ID de problema: MSV-2609.
  
• Vulnerabilidad en MediaTek, Inc. (CVE-2025-20660)
  Severidad: MEDIA
  Fecha de publicación: 07/04/2025
  Fecha de última actualización: 18/04/2025
  En PlayReady TA, existe una posible lectura fuera de los límites debido a la falta de una comprobación de los límites. Esto podría provocar una escalada local de privilegios si un actor malicioso ya ha obtenido el privilegio de System. No se requiere la interacción del usuario para la explotación. ID de parche: DTV04436357; ID de problema: MSV-3186.
  
• Vulnerabilidad en After Effects (CVE-2025-27182)
  Severidad: ALTA
  Fecha de publicación: 08/04/2025
  Fecha de última actualización: 18/04/2025
  Las versiones 25.1, 24.6.4 y anteriores de After Effects se ven afectadas por una vulnerabilidad de escritura fuera de los límites que podría provocar la ejecución de código arbitrario en el contexto del usuario actual. Para explotar este problema, es necesario que la víctima abra un archivo malicioso.
  
• Vulnerabilidad en After Effects (CVE-2025-27183)
  Severidad: ALTA
  Fecha de publicación: 08/04/2025
  Fecha de última actualización: 18/04/2025
  Las versiones 25.1, 24.6.4 y anteriores de After Effects se ven afectadas por una vulnerabilidad de escritura fuera de los límites que podría provocar la ejecución de código arbitrario en el contexto del usuario actual. Para explotar este problema, es necesario que la víctima abra un archivo malicioso.
  
• Vulnerabilidad en After Effects (CVE-2025-27184)
  Severidad: MEDIA
  Fecha de publicación: 08/04/2025
  Fecha de última actualización: 18/04/2025
  Las versiones 25.1, 24.6.4 y anteriores de After Effects se ven afectadas por una vulnerabilidad de lectura fuera de los límites que podría provocar la divulgación de memoria confidencial. Un atacante podría aprovechar esta vulnerabilidad para eludir mitigaciones como ASLR. Para explotar este problema, la víctima debe abrir un archivo malicioso.
  
• Vulnerabilidad en After Effects (CVE-2025-27185)
  Severidad: MEDIA
  Fecha de publicación: 08/04/2025
  Fecha de última actualización: 18/04/2025
  Las versiones 25.1, 24.6.4 y anteriores de After Effects se ven afectadas por una vulnerabilidad de desreferencia de puntero nulo que podría provocar una denegación de servicio (DSP) en la aplicación. Un atacante podría explotar esta vulnerabilidad para bloquear la aplicación y provocar una DSP. Para explotar este problema, es necesario que la víctima abra un archivo malicioso.
  
• Vulnerabilidad en After Effects (CVE-2025-27186)
  Severidad: MEDIA
  Fecha de publicación: 08/04/2025
  Fecha de última actualización: 18/04/2025
  Las versiones 25.1, 24.6.4 y anteriores de After Effects se ven afectadas por una vulnerabilidad de lectura fuera de los límites que podría provocar la divulgación de memoria confidencial. Un atacante podría aprovechar esta vulnerabilidad para eludir mitigaciones como ASLR. Para explotar este problema, la víctima debe abrir un archivo malicioso.
  
• Vulnerabilidad en After Effects (CVE-2025-27187)
  Severidad: MEDIA
  Fecha de publicación: 08/04/2025
  Fecha de última actualización: 18/04/2025
  Las versiones 25.1, 24.6.4 y anteriores de After Effects se ven afectadas por una vulnerabilidad de lectura fuera de los límites que podría provocar la divulgación de memoria confidencial. Un atacante podría aprovechar esta vulnerabilidad para eludir mitigaciones como ASLR. Para explotar este problema, la víctima debe abrir un archivo malicioso.
  
• Vulnerabilidad en Animate (CVE-2025-27199)
  Severidad: ALTA
  Fecha de publicación: 08/04/2025
  Fecha de última actualización: 18/04/2025
  Las versiones 24.0.7, 23.0.10 y anteriores de Animate se ven afectadas por una vulnerabilidad de desbordamiento de búfer en el montón que podría provocar la ejecución de código arbitrario en el contexto del usuario actual. Para explotar este problema, es necesario que la víctima abra un archivo malicioso.
  
• Vulnerabilidad en Animate (CVE-2025-27200)
  Severidad: ALTA
  Fecha de publicación: 08/04/2025
  Fecha de última actualización: 18/04/2025
  Las versiones 24.0.7, 23.0.10 y anteriores de Animate se ven afectadas por una vulnerabilidad de Use After Free que podría provocar la ejecución de código arbitrario en el contexto del usuario actual. Para explotar este problema, es necesario que la víctima abra un archivo malicioso.
  
• Vulnerabilidad en ColdFusion (CVE-2025-30286)
  Severidad: ALTA
  Fecha de publicación: 08/04/2025
  Fecha de última actualización: 18/04/2025
  Las versiones 2023.12, 2021.18, 2025.0 y anteriores de ColdFusion se ven afectadas por una vulnerabilidad de neutralización incorrecta de elementos especiales utilizados en un comando del sistema operativo («inyección de comandos del sistema operativo»), que podría provocar la ejecución de código arbitrario por parte de un atacante. La explotación de este problema no requiere la interacción del usuario.
  
• Vulnerabilidad en ColdFusion (CVE-2025-30287)
  Severidad: ALTA
  Fecha de publicación: 08/04/2025
  Fecha de última actualización: 18/04/2025
  Las versiones 2023.12, 2021.18, 2025.0 y anteriores de ColdFusion se ven afectadas por una vulnerabilidad de autenticación incorrecta que podría provocar la ejecución de código arbitrario en el contexto del usuario actual. Un atacante podría aprovechar esta vulnerabilidad para eludir los mecanismos de autenticación y ejecutar código con los privilegios del usuario autenticado. Para explotar este problema, es necesario obligar a la víctima a realizar acciones dentro de la aplicación.
  
• Vulnerabilidad en ColdFusion (CVE-2025-30288)
  Severidad: ALTA
  Fecha de publicación: 08/04/2025
  Fecha de última actualización: 18/04/2025
  Las versiones 2023.12, 2021.18, 2025.0 y anteriores de ColdFusion se ven afectadas por una vulnerabilidad de control de acceso inadecuado que podría provocar la omisión de una función de seguridad. Un atacante podría aprovechar esta vulnerabilidad para eludir las medidas de seguridad y obtener acceso no autorizado. Para explotar este problema no se requiere la interacción del usuario.
  
• Vulnerabilidad en ColdFusion (CVE-2025-30289)
  Severidad: ALTA
  Fecha de publicación: 08/04/2025
  Fecha de última actualización: 18/04/2025
  Las versiones 2023.12, 2021.18, 2025.0 y anteriores de ColdFusion se ven afectadas por una vulnerabilidad de neutralización incorrecta de elementos especiales utilizados en un comando del sistema operativo («inyección de comandos del sistema operativo»), que podría provocar la ejecución de código arbitrario por parte de un atacante. La explotación de este problema no requiere la interacción del usuario.
  
• Vulnerabilidad en ColdFusion (CVE-2025-30291)
  Severidad: MEDIA
  Fecha de publicación: 08/04/2025
  Fecha de última actualización: 18/04/2025
  Las versiones 2023.12, 2021.18, 2025.0 y anteriores de ColdFusion se ven afectadas por una vulnerabilidad de exposición de información que podría resultar en la omisión de una función de seguridad. Un atacante podría aprovechar esta vulnerabilidad para acceder a información confidencial que podría utilizarse para comprometer aún más el sistema o eludir los mecanismos de seguridad. La explotación de este problema no requiere la interacción del usuario.
  
• Vulnerabilidad en ColdFusion (CVE-2025-30293)
  Severidad: MEDIA
  Fecha de publicación: 08/04/2025
  Fecha de última actualización: 18/04/2025
  Las versiones 2023.12, 2021.18, 2025.0 y anteriores de ColdFusion se ven afectadas por una vulnerabilidad de validación de entrada incorrecta que podría provocar la omisión de una función de seguridad. Un atacante podría aprovechar esta vulnerabilidad para eludir las medidas de seguridad y obtener acceso no autorizado. Para explotar este problema, la víctima debe abrir un archivo malicioso.
  
• Vulnerabilidad en ColdFusion (CVE-2025-30294)
  Severidad: ALTA
  Fecha de publicación: 08/04/2025
  Fecha de última actualización: 18/04/2025
  Las versiones 2023.12, 2021.18, 2025.0 y anteriores de ColdFusion se ven afectadas por una vulnerabilidad de validación de entrada incorrecta que podría provocar la omisión de una función de seguridad. Un atacante podría aprovechar esta vulnerabilidad para eludir las medidas de seguridad y obtener acceso no autorizado. Para explotar este problema, la víctima debe abrir un archivo malicioso.