Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • Vulnerabilidad en tabatkins/railroad-diagrams (CVE-2024-26467)
    Severidad: MEDIA
    Fecha de publicación: 26/02/2024
    Fecha de última actualización: 02/06/2025
    Una vulnerabilidad de cross-site scripting (XSS) basada en DOM en el componente generate.html de tabatkins/railroad-diagrams antes de el commit ea9a123 permite a los atacantes ejecutar Javascript arbitrario mediante el envío de una URL manipulada.
  • Vulnerabilidad en jstrieb/urlpages (CVE-2024-26468)
    Severidad: MEDIA
    Fecha de publicación: 26/02/2024
    Fecha de última actualización: 02/06/2025
    Una vulnerabilidad de cross-site scripting (XSS) basada en DOM en el componente index.html de jstrieb/urlpages antes de el commit 035b647 permite a los atacantes ejecutar Javascript arbitrario mediante el envío de una URL manipulada.
  • Vulnerabilidad en Joomla! Project (CVE-2024-21722)
    Severidad: MEDIA
    Fecha de publicación: 29/02/2024
    Fecha de última actualización: 02/06/2025
    Las funciones de administración de MFA no finalizaban correctamente las sesiones de usuario existentes cuando se modificaban los métodos de MFA de un usuario.
  • Vulnerabilidad en Joomla! Project (CVE-2024-21723)
    Severidad: MEDIA
    Fecha de publicación: 29/02/2024
    Fecha de última actualización: 02/06/2025
    Un análisis inadecuado de las URL podría dar lugar a una redirección abierta.
  • Vulnerabilidad en Joomla! Project (CVE-2024-21725)
    Severidad: MEDIA
    Fecha de publicación: 29/02/2024
    Fecha de última actualización: 02/06/2025
    El escape inadecuado de las direcciones de correo genera vulnerabilidades XSS en varios componentes.
  • Vulnerabilidad en Joomla! Project (CVE-2024-21726)
    Severidad: MEDIA
    Fecha de publicación: 29/02/2024
    Fecha de última actualización: 02/06/2025
    El filtrado de contenido inadecuado genera vulnerabilidades XSS en varios componentes.
  • Vulnerabilidad en Argo CD (CVE-2023-50726)
    Severidad: MEDIA
    Fecha de publicación: 13/03/2024
    Fecha de última actualización: 02/06/2025
    Argo CD es una herramienta declarativa de entrega continua de GitOps para Kubernetes. La "sincronización local" es una característica de Argo CD que permite a los desarrolladores anular temporalmente los manifiestos de una aplicación con manifiestos definidos localmente. El uso de la función generalmente debe limitarse a usuarios de alta confianza, ya que permite al usuario evitar cualquier protección de combinación en git. Un error de validación inadecuado permite a los usuarios que tienen privilegios de "crear" pero no privilegios de "anular" sincronizar manifiestos locales al crear la aplicación. Todas las demás restricciones, incluidas las de AppProject, aún se aplican. La única restricción que no se aplica es que los manifiestos provengan de alguna fuente aprobada de git/Helm/OCI. El error se introdujo en 1.2.0-rc1 cuando se agregó la función de sincronización del manifiesto local. El error se ha solucionado en las versiones 2.10.3, 2.9.8 y 2.8.12 de Argo CD. Se recomienda a los usuarios que actualicen. Los usuarios que no puedan actualizar pueden mitigar el riesgo de eludir la protección de sucursal eliminando el acceso RBAC "aplicaciones, creación". La única forma de eliminar el problema sin eliminar el acceso a RBAC es actualizar a una versión parcheada.
  • Vulnerabilidad en Vinchin Backup and Recovery (CVE-2024-25228)
    Severidad: ALTA
    Fecha de publicación: 14/03/2024
    Fecha de última actualización: 02/06/2025
    Vinchin Backup and Recovery 7.2 y versiones anteriores son vulnerables a la ejecución remota de código autenticado (RCE) a través de la función getVerifydiyResult en ManoeuvreHandler.class.php.
  • Vulnerabilidad en Mitel MiContact Center Business (CVE-2024-28069)
    Severidad: ALTA
    Fecha de publicación: 16/03/2024
    Fecha de última actualización: 02/06/2025
    Una vulnerabilidad en el componente de chat heredado de Mitel MiContact Center Business hasta la versión 10.0.0.4 podría permitir que un atacante no autenticado lleve a cabo un ataque de divulgación de información debido a una configuración incorrecta. Un exploit exitoso podría permitir a un atacante acceder a información confidencial y potencialmente realizar acciones no autorizadas dentro del componente vulnerable.
  • Vulnerabilidad en Mitel MiContact Center Business (CVE-2024-28070)
    Severidad: MEDIA
    Fecha de publicación: 16/03/2024
    Fecha de última actualización: 02/06/2025
    Una vulnerabilidad en el componente de chat heredado de Mitel MiContact Center Business hasta la versión 10.0.0.4 podría permitir que un atacante no autenticado lleve a cabo un ataque de cross-site scripting (XSS) reflejado debido a una validación de entrada insuficiente. Un exploit exitoso podría permitir a un atacante acceder a información confidencial y obtener acceso no autorizado.
  • Vulnerabilidad en Wasmi (CVE-2024-28123)
    Severidad: ALTA
    Fecha de publicación: 21/03/2024
    Fecha de última actualización: 02/06/2025
    Wasmi es un intérprete de WebAssembly eficiente y liviano centrado en sistemas integrados y restringidos. En el intérprete WASMI, surgirá una escritura de búfer fuera de los límites si el host llama o reanuda una función Wasm con más parámetros que el límite predeterminado (128), ya que superará el valor de la pila. Esto no afecta las llamadas de Wasm a Wasm, solo del host a Wasm. Esta vulnerabilidad fue parcheada en la versión 0.31.1.
  • Vulnerabilidad en mz-automation libiec61850 v1.4.0 (CVE-2024-28286)
    Severidad: ALTA
    Fecha de publicación: 21/03/2024
    Fecha de última actualización: 02/06/2025
    En mz-automation libiec61850 v1.4.0, se detectó una desreferencia de puntero NULL en la función mmsServer_handleFileCloseRequest.c de src/mms/iso_mms/server/mms_file_service.c. La vulnerabilidad se manifiesta como SEGV y provoca que la aplicación falle.
  • Vulnerabilidad en OpenBMB XAgent 1.0.0 (CVE-2024-2007)
    Severidad: MEDIA
    Fecha de publicación: 21/03/2024
    Fecha de última actualización: 02/06/2025
    Se encontró una vulnerabilidad en OpenBMB XAgent 1.0.0. Ha sido declarada crítica. Una función desconocida del componente Privileged Mode es afectada por esta vulnerabilidad. La manipulación conduce a un problema de zona de pruebas. El ataque debe abordarse localmente. El exploit ha sido divulgado al público y puede utilizarse. A esta vulnerabilidad se le asignó el identificador VDB-255265.
  • Vulnerabilidad en TemplatesNext TemplatesNext OnePager (CVE-2024-35753)
    Severidad: MEDIA
    Fecha de publicación: 08/06/2024
    Fecha de última actualización: 02/06/2025
    Vulnerabilidad de neutralización inadecuada de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en TemplatesNext TemplatesNext OnePager permite XSS Almacenado. Este problema afecta a TemplatesNext OnePager: desde n/a hasta 1.3.3.
  • Vulnerabilidad en Moodle (CVE-2024-45689)
    Severidad: MEDIA
    Fecha de publicación: 20/11/2024
    Fecha de última actualización: 02/06/2025
    Se encontró una falla en Moodle. Las tablas dinámicas no aplicaban comprobaciones de capacidad, lo que provocaba que los usuarios pudieran recuperar información a la que no tenían permiso de acceso.
  • Vulnerabilidad en Moodle (CVE-2024-45690)
    Severidad: ALTA
    Fecha de publicación: 20/11/2024
    Fecha de última actualización: 02/06/2025
    Se encontró una falla en Moodle. Se requirieron verificaciones adicionales para garantizar que los usuarios solo puedan eliminar sus cuentas vinculadas a OAuth2.
  • Vulnerabilidad en Moodle (CVE-2024-45691)
    Severidad: MEDIA
    Fecha de publicación: 20/11/2024
    Fecha de última actualización: 02/06/2025
    Se encontró una falla en Moodle. Al restringir el acceso a una actividad de lección con una contraseña, ciertas contraseñas podían ser ignoradas o menos seguras debido a una comparación poco precisa en la lógica de verificación de contraseñas. Este problema solo afectaba a las contraseñas configuradas con valores de "hash mágico".
  • Vulnerabilidad en Moodle (CVE-2024-48899)
    Severidad: MEDIA
    Fecha de publicación: 20/11/2024
    Fecha de última actualización: 02/06/2025
    Se encontró una vulnerabilidad en Moodle. Se requieren verificaciones adicionales para garantizar que los usuarios solo puedan obtener la lista de credenciales de los cursos a los que se les pretende dar acceso.
  • Vulnerabilidad en Drupal Core (CVE-2024-11941)
    Severidad: ALTA
    Fecha de publicación: 05/12/2024
    Fecha de última actualización: 02/06/2025
    Una vulnerabilidad en Drupal Core permite una asignación excesiva. Este problema afecta a Drupal Core: desde 10.2.0 hasta 10.2.2, desde 10.1.0 hasta 10.1.8.
  • Vulnerabilidad en Drupal Core (CVE-2024-11942)
    Severidad: MEDIA
    Fecha de publicación: 05/12/2024
    Fecha de última actualización: 02/06/2025
    Una vulnerabilidad en Drupal Core permite la manipulación de archivos. Este problema afecta a Drupal Core: desde 10.0.0 hasta 10.2.10.
  • Vulnerabilidad en Drupal Core (CVE-2024-12393)
    Severidad: MEDIA
    Fecha de publicación: 10/12/2024
    Fecha de última actualización: 02/06/2025
    La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en Drupal Core permite Cross-Site Scripting (XSS). Este problema afecta a Drupal Core: desde 8.8.0 antes de 10.2.11, desde 10.3.0 antes de 10.3.9, desde 11.0.0 antes de 11.0.8.
  • Vulnerabilidad en Drupal Core (CVE-2024-55634)
    Severidad: ALTA
    Fecha de publicación: 10/12/2024
    Fecha de última actualización: 02/06/2025
    Una vulnerabilidad en Drupal Core permite la escalada de privilegios. Este problema afecta a Drupal Core: desde 8.0.0 hasta 10.2.11, desde 10.3.0 hasta 10.3.9, desde 11.0.0 hasta 11.0.8.
  • Vulnerabilidad en Drupal Core (CVE-2024-55635)
    Severidad: MEDIA
    Fecha de publicación: 10/12/2024
    Fecha de última actualización: 02/06/2025
    La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en Drupal Core permite Cross-Site Scripting (XSS). Este problema afecta a Drupal Core: desde 7.0 hasta 7.102.
  • Vulnerabilidad en Drupal Core (CVE-2024-55636)
    Severidad: CRÍTICA
    Fecha de publicación: 10/12/2024
    Fecha de última actualización: 02/06/2025
    La vulnerabilidad de deserialización de datos no confiables en Drupal Core permite la inyección de objetos. Este problema afecta a Drupal Core: desde 8.0.0 hasta 10.2.11, desde 10.3.0 hasta 10.3.9, desde 11.0.0 hasta 11.0.8.
  • Vulnerabilidad en Drupal Core (CVE-2024-55637)
    Severidad: CRÍTICA
    Fecha de publicación: 10/12/2024
    Fecha de última actualización: 02/06/2025
    La vulnerabilidad de deserialización de datos no confiables en Drupal Core permite la inyección de objetos. Este problema afecta a Drupal Core: desde 8.0.0 hasta 10.2.11, desde 10.3.0 hasta 10.3.9, desde 11.0.0 hasta 11.0.8.
  • Vulnerabilidad en Drupal Core (CVE-2024-55638)
    Severidad: CRÍTICA
    Fecha de publicación: 10/12/2024
    Fecha de última actualización: 02/06/2025
    La vulnerabilidad de deserialización de datos no confiables en Drupal Core permite la inyección de objetos. Este problema afecta a Drupal Core: desde 7.0 hasta 7.102, desde 8.0.0 hasta 10.2.11, desde 10.3.0 hasta 10.3.9.
  • Vulnerabilidad en Vestel EVC04 Configuration Interface (CVE-2024-8997)
    Severidad: CRÍTICA
    Fecha de publicación: 18/03/2025
    Fecha de última actualización: 02/06/2025
    La vulnerabilidad de neutralización incorrecta de elementos especiales utilizados en un comando SQL ('Inyección SQL') en Vestel EVC04 Configuration Interface permite la inyección SQL. Este problema afecta a la interfaz de configuración de EVC04: hasta el 18.03.2025.
  • Vulnerabilidad en Drupal Drupal core (CVE-2025-31673)
    Severidad: MEDIA
    Fecha de publicación: 31/03/2025
    Fecha de última actualización: 02/06/2025
    Vulnerabilidad de autorización incorrecta en Drupal Drupal core permite la navegación forzada. Este problema afecta al núcleo de Drupal: desde 8.0.0 antes de 10.3.13, desde 10.4.0 antes de 10.4.3, desde 11.0.0 antes de 11.0.12, desde 11.1.0 antes de 11.1.3.
  • Vulnerabilidad en Drupal Drupal core (CVE-2025-31675)
    Severidad: MEDIA
    Fecha de publicación: 31/03/2025
    Fecha de última actualización: 02/06/2025
    Vulnerabilidad de neutralización incorrecta de entrada durante la generación de páginas web ('Cross-site Scripting') en Drupal Drupal core permite Cross-Site Scripting (XSS). Este problema afecta al núcleo de Drupal: desde la versión 8.0.0 hasta la 10.3.14, desde la versión 10.4.0 hasta la 10.4.5, desde la versión 11.0.0 hasta la 11.0.13, desde la versión 11.1.0 hasta la 11.1.5.
  • Vulnerabilidad en Safari, iOS, iPadOS, visionOS y macOS Sequoia (CVE-2025-30466)
    Severidad: CRÍTICA
    Fecha de publicación: 29/05/2025
    Fecha de última actualización: 02/06/2025
    Este problema se solucionó mejorando la gestión del estado. Está corregido en Safari 18.4, iOS 18.4 y iPadOS 18.4, visionOS 2.4 y macOS Sequoia 15.4. Un sitio web podría eludir la Política del Mismo Origen.
  • Vulnerabilidad en macOS Ventura, macOS Sequoia y macOS Sonoma (CVE-2025-31189)
    Severidad: ALTA
    Fecha de publicación: 29/05/2025
    Fecha de última actualización: 02/06/2025
    Se solucionó una omisión de la cuarentena de archivos mediante comprobaciones adicionales. Este problema se solucionó en macOS Ventura 13.7.5, macOS Sequoia 15.4 y macOS Sonoma 14.7.5. Es posible que una aplicación pueda salir de su zona de pruebas.
  • Vulnerabilidad en macOS Ventura, macOS Sequoia y macOS Sonoma (CVE-2025-31198)
    Severidad: MEDIA
    Fecha de publicación: 29/05/2025
    Fecha de última actualización: 02/06/2025
    Este problema se solucionó mejorando la validación de enlaces simbólicos. Este problema se solucionó en macOS Ventura 13.7.5, macOS Sequoia 15.4 y macOS Sonoma 14.7.5. Se solucionó un problema de gestión de rutas mejorando la validación.
  • Vulnerabilidad en iOS, iPadOS, visionOS y macOS Sequoia (CVE-2025-31199)
    Severidad: MEDIA
    Fecha de publicación: 29/05/2025
    Fecha de última actualización: 02/06/2025
    Se solucionó un problema de registro mejorando la redacción de datos. Este problema se solucionó en iOS 18.4, iPadOS 18.4, visionOS 2.4 y macOS Sequoia 15.4. Una aplicación podría acceder a datos confidenciales del usuario.
  • Vulnerabilidad en macOS Sequoia (CVE-2025-31231)
    Severidad: MEDIA
    Fecha de publicación: 29/05/2025
    Fecha de última actualización: 02/06/2025
    Se solucionó un problema de permisos con restricciones adicionales. Este problema se solucionó en macOS Sequoia 15.4. Una aplicación podría leer información confidencial de ubicación.
  • Vulnerabilidad en macOS Ventura, macOS Sequoia y macOS Sonoma (CVE-2025-31261)
    Severidad: MEDIA
    Fecha de publicación: 29/05/2025
    Fecha de última actualización: 02/06/2025
    Se solucionó un problema de permisos con restricciones adicionales en el entorno aislado. Este problema está corregido en macOS Ventura 13.7.5, macOS Sequoia 15.4 y macOS Sonoma 14.7.5. Una aplicación podría acceder a datos protegidos del usuario.
  • Vulnerabilidad en macOS Sequoia (CVE-2025-31263)
    Severidad: CRÍTICA
    Fecha de publicación: 29/05/2025
    Fecha de última actualización: 02/06/2025
    El problema se solucionó mejorando la gestión de la memoria. Este problema se solucionó en macOS Sequoia 15.4. Una aplicación podría dañar la memoria del coprocesador.
  • Vulnerabilidad en macOS Ventura, macOS Sequoia y macOS Sonoma (CVE-2025-31264)
    Severidad: MEDIA
    Fecha de publicación: 29/05/2025
    Fecha de última actualización: 02/06/2025
    Se solucionó un problema de autenticación mejorando la gestión del estado. Este problema se solucionó en macOS Ventura 13.7.5, macOS Sequoia 15.4 y macOS Sonoma 14.7.5. Un atacante con acceso físico a un dispositivo bloqueado podría acceder a información confidencial del usuario.