Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

• Vulnerabilidad en el campo title en la página de configuración en el plugin de WordPress Related Posts (CVE-2021-24211)
  Severidad: MEDIA
  Fecha de publicación: 05/04/2021
  Fecha de última actualización: 12/08/2025
  El plugin de WordPress Related Posts versiones hasta 3.6.4, contiene una vulnerabilidad de tipo XSS almacenado autenticada (admin+) en el campo title en la página de configuración. Al explotar que un atacante pueda ser capaz de ejecutar código JavaScript en el navegador del usuario
  
• Vulnerabilidad en las contraseñas en los archivos de configuración del cliente y durante la transmisión de la red en múltiples dispositivos RUGGEDCOM ROS (CVE-2021-37209)
  Severidad: MEDIA
  Fecha de publicación: 08/03/2022
  Fecha de última actualización: 12/08/2025
  Se ha identificado una vulnerabilidad en RUGGEDCOM ROS M2100, RUGGEDCOM ROS M2200, RUGGEDCOM ROS M969, RUGGEDCOM ROS RMC, RUGGEDCOM ROS RMC20, RUGGEDCOM ROS RMC30, RUGGEDCOM ROS RMC30 V4. X, RUGGEDCOM ROS RMC40, RUGGEDCOM ROS RMC41, RUGGEDCOM ROS RMC8388, RUGGEDCOM ROS RMC8388 V4.X, RUGGEDCOM ROS RMC8388 V5.X, RUGGEDCOM ROS RP110, RUGGEDCOM ROS RP110 V4.X, RUGGEDCOM ROS RS1600 V4. X, RUGGEDCOM ROS RS1600F V4.X, RUGGEDCOM ROS RS1600T V4.X, RUGGEDCOM ROS RS400, RUGGEDCOM ROS RS400 V4.X, RUGGEDCOM ROS RS401, RUGGEDCOM ROS RS401 V4.X, RUGGEDCOM ROS RS416, RUGGEDCOM ROS RS416Pv2 V4. X, RUGGEDCOM ROS RS416Pv2 V5.X, RUGGEDCOM ROS RS416v2, RUGGEDCOM ROS RS416v2 V4.X, RUGGEDCOM ROS RS416v2 V5.X, RUGGEDCOM ROS RS8000, RUGGEDCOM ROS RS8000 V4. X, RUGGEDCOM ROS RS8000A, RUGGEDCOM ROS RS8000A V4.X, RUGGEDCOM ROS RS8000H, RUGGEDCOM ROS RS8000H V4.X, RUGGEDCOM ROS RS8000T, RUGGEDCOM ROS RS8000T V4.X, RUGGEDCOM ROS RS900 (32M), RUGGEDCOM ROS RS900 (32M) V4. X, RUGGEDCOM ROS RS900 (32M) V5.X, RUGGEDCOM ROS RS900 V4.X, RUGGEDCOM ROS RS900G, RUGGEDCOM ROS RS900G (32M), RUGGEDCOM ROS RS900G (32M) V4.X, RUGGEDCOM ROS RS900G (32M) V5. X, RUGGEDCOM ROS RS900G V4.X, RUGGEDCOM ROS RS900GP, RUGGEDCOM ROS RS900GP V4.X, RUGGEDCOM ROS RS900L, RUGGEDCOM ROS RS900L V4.X, RUGGEDCOM ROS RS900M V4.X, RUGGEDCOM ROS RS900W, RUGGEDCOM ROS RS900W V4. X, RUGGEDCOM ROS RS910, RUGGEDCOM ROS RS910 V4.X, RUGGEDCOM ROS RS910L, RUGGEDCOM ROS RS910L V4.X, RUGGEDCOM ROS RS910W, RUGGEDCOM ROS RS910W V4.X, RUGGEDCOM ROS RS920L, RUGGEDCOM ROS RS920L V4. X, RUGGEDCOM ROS RS920W, RUGGEDCOM ROS RS920W V4.X, RUGGEDCOM ROS RS930L, RUGGEDCOM ROS RS930L V4.X, RUGGEDCOM ROS RS930W, RUGGEDCOM ROS RS930W V4.X, RUGGEDCOM ROS RS940G, RUGGEDCOM ROS RS940G V4. X, RUGGEDCOM ROS RS969, RUGGEDCOM ROS RSG2100, RUGGEDCOM ROS RSG2100 (32M), RUGGEDCOM ROS RSG2100 (32M) V4.X, RUGGEDCOM ROS RSG2100 (32M) V5.X, RUGGEDCOM ROS RSG2100 V4. X, RUGGEDCOM ROS RSG2100P, RUGGEDCOM ROS RSG2100P V4.X, RUGGEDCOM ROS RSG2200, RUGGEDCOM ROS RSG2200 V4.X, RUGGEDCOM ROS RSG2288, RUGGEDCOM ROS RSG2288 V4.X, RUGGEDCOM ROS RSG2288 V5. X, RUGGEDCOM ROS RSG2300, RUGGEDCOM ROS RSG2300 V4.X, RUGGEDCOM ROS RSG2300 V5.X, RUGGEDCOM ROS RSG2300P, RUGGEDCOM ROS RSG2300P V4.X, RUGGEDCOM ROS RSG2300P V5.X, RUGGEDCOM ROS RSG2488, RUGGEDCOM ROS RSG2488 V4. X, RUGGEDCOM ROS RSG2488 V5.X, RUGGEDCOM ROS RSG907R, RUGGEDCOM ROS RSG907R V5.X, RUGGEDCOM ROS RSG908C, RUGGEDCOM ROS RSG908C V5.X, RUGGEDCOM ROS RSG909R, RUGGEDCOM ROS RSG909R V5. X, RUGGEDCOM ROS RSG910C, RUGGEDCOM ROS RSG910C V5.X, RUGGEDCOM ROS RSG920P, RUGGEDCOM ROS RSG920P V4.X, RUGGEDCOM ROS RSG920P V5.X, RUGGEDCOM ROS RSL910, RUGGEDCOM ROS RSL910 V5. X, RUGGEDCOM ROS RST2228, RUGGEDCOM ROS RST2228 V5.X, RUGGEDCOM ROS RST2228P, RUGGEDCOM ROS RST2228P V5.X, RUGGEDCOM ROS RST916C, RUGGEDCOM ROS RST916C V5.X, RUGGEDCOM ROS RST916P, RUGGEDCOM ROS RST916P V5. X, RUGGEDCOM ROS i800, RUGGEDCOM ROS i800 V4.X, RUGGEDCOM ROS i801, RUGGEDCOM ROS i801 V4.X, RUGGEDCOM ROS i802, RUGGEDCOM ROS i802 V4.X, RUGGEDCOM ROS i803, RUGGEDCOM ROS i803 V4.X. El servidor SSH de los dispositivos afectados está configurado para ofrecer cifrados débiles por defecto. Esto podría permitir a un atacante no autorizado en una posición de hombre en el medio leer y modificar cualquier dato que se pase por la conexión entre clientes legítimos y el dispositivo afectado
  
• Vulnerabilidad en Softing Secure Integration Server (CVE-2023-39478)
  Severidad: ALTA
  Fecha de publicación: 03/05/2024
  Fecha de última actualización: 12/08/2025
  Softing Secure Integration Server Exposición de recursos a una vulnerabilidad de ejecución remota de código de esfera incorrecta. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en las instalaciones afectadas de Softing Secure Integration Server. Aunque se requiere autenticación para aprovechar esta vulnerabilidad, se puede omitir el mecanismo de autenticación existente. La falla específica existe en el manejo de espacios de nombres OPC FileDirectory. El problema se debe a la falta de validación adecuada de los datos proporcionados por el usuario antes de usarlos para crear un objeto de servidor. Un atacante puede aprovechar esto junto con otras vulnerabilidades para ejecutar código arbitrario en el contexto de la raíz. Era ZDI-CAN-20547.
  
• Vulnerabilidad en Softing Secure Integration Server (CVE-2023-39479)
  Severidad: ALTA
  Fecha de publicación: 03/05/2024
  Fecha de última actualización: 12/08/2025
  Vulnerabilidad de creación de directorio de puerta de enlace OPC UA del servidor de integración segura de Softing. Esta vulnerabilidad permite a atacantes remotos crear directorios en las instalaciones afectadas de Softing Secure Integration Server. Aunque se requiere autenticación para aprovechar esta vulnerabilidad, se puede omitir el mecanismo de autenticación existente. La falla específica existe en el manejo de objetos FileDirectory OPC UA. El problema surge al permitir el acceso no autorizado al sistema de archivos. Un atacante puede aprovechar esto junto con otras vulnerabilidades para ejecutar código arbitrario en el contexto de la raíz. Era ZDI-CAN-20548.
  
• Vulnerabilidad en Softing Secure Integration Server (CVE-2023-39480)
  Severidad: MEDIA
  Fecha de publicación: 03/05/2024
  Fecha de última actualización: 12/08/2025
  Vulnerabilidad de creación de archivos arbitrarios de objetos OPC UA de Softing Secure Integration Server FileDirectory. Esta vulnerabilidad permite a atacantes remotos crear archivos arbitrarios en las instalaciones afectadas de Softing Secure Integration Server. Aunque se requiere autenticación para aprovechar esta vulnerabilidad, se puede omitir el mecanismo de autenticación existente. La falla específica existe en el manejo de objetos FileDirectory OPC UA. El problema surge al permitir el acceso no autorizado al sistema de archivos. Un atacante puede aprovechar esto junto con otras vulnerabilidades para ejecutar código arbitrario en el contexto de la raíz. Era ZDI-CAN-20549.
  
• Vulnerabilidad en Softing Secure Integration Server (CVE-2023-39481)
  Severidad: ALTA
  Fecha de publicación: 03/05/2024
  Fecha de última actualización: 12/08/2025
  Vulnerabilidad de ejecución remota de código de conflicto de interpretación del servidor de integración segura de Softing. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en las instalaciones afectadas de Softing Secure Integration Server. Aunque se requiere autenticación para aprovechar esta vulnerabilidad, se puede omitir el mecanismo de autenticación existente. La falla específica existe dentro del servidor web. El problema se debe a una inconsistencia en el análisis de URI entre NGINX y el código de la aplicación. Un atacante puede aprovechar esto junto con otras vulnerabilidades para ejecutar código arbitrario en el contexto de la raíz. Era ZDI-CAN-20551.
  
• Vulnerabilidad en Softing Secure Integration Server (CVE-2023-39482)
  Severidad: MEDIA
  Fecha de publicación: 03/05/2024
  Fecha de última actualización: 12/08/2025
  Vulnerabilidad de divulgación de información de clave criptográfica codificada en el servidor de integración seguro de Softing. Esta vulnerabilidad permite a atacantes remotos revelar información confidencial sobre las instalaciones afectadas de Softing Secure Integration Server. Aunque se requiere autenticación para aprovechar esta vulnerabilidad, se puede omitir el mecanismo de autenticación existente. La falla específica existe dentro de libopcuaclient.so. El problema se debe a la codificación de claves criptográficas dentro del producto. Un atacante puede aprovechar esta vulnerabilidad para revelar las credenciales almacenadas, lo que provocaría un mayor commit. Era ZDI-CAN-20610.
  
• Vulnerabilidad en Bentley View (CVE-2022-43656)
  Severidad: MEDIA
  Fecha de publicación: 07/05/2024
  Fecha de última actualización: 12/08/2025
  Vulnerabilidad de divulgación de información de lectura fuera de los límites en el análisis de archivos FBX de Bentley View. Esta vulnerabilidad permite a atacantes remotos revelar información confidencial sobre las instalaciones afectadas de Bentley View. Se requiere la interacción del usuario para aprovechar esta vulnerabilidad, ya que el objetivo debe visitar una página maliciosa o abrir un archivo malicioso. La falla específica existe en el análisis de archivos FBX. Los datos elaborados en un archivo FBX pueden desencadenar una lectura más allá del final de un búfer asignado. Un atacante puede aprovechar esto junto con otras vulnerabilidades para ejecutar código arbitrario en el contexto del proceso actual. Era ZDI-CAN-18492.
  
• Vulnerabilidad en Samsung Mobile (CVE-2023-37865)
  Severidad: MEDIA
  Fecha de publicación: 04/06/2024
  Fecha de última actualización: 12/08/2025
  Vulnerabilidad de omisión de autenticación mediante suplantación de identidad en IP2Location Download IP2Location Country Blocker permite acceder a la funcionalidad no restringida adecuadamente por las ACL. Este problema afecta a Download IP2Location Country Blocker: desde n/a hasta 2.29.1.
  
• Vulnerabilidad en AutomationDirect C-More EA9 EAP9 (CVE-2024-11609)
  Severidad: ALTA
  Fecha de publicación: 30/01/2025
  Fecha de última actualización: 12/08/2025
  Vulnerabilidad de ejecución remota de código por desbordamiento de búfer basado en pila de análisis de archivos de AutomationDirect C-More EA9 EAP9. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en las instalaciones afectadas de AutomationDirect C-More EA9. Se requiere la interacción del usuario para explotar esta vulnerabilidad, ya que el objetivo debe visitar una página maliciosa o abrir un archivo malicioso. La falla específica existe en el análisis de archivos EAP9. El problema es el resultado de la falta de una validación adecuada de la longitud de los datos proporcionados por el usuario antes de copiarlos a un búfer basado en pila de longitud fija. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual. Era ZDI-CAN-24772.
  
• Vulnerabilidad en AutomationDirect C-More EA9 EAP9 (CVE-2024-11610)
  Severidad: ALTA
  Fecha de publicación: 30/01/2025
  Fecha de última actualización: 12/08/2025
  Vulnerabilidad de ejecución remota de código por corrupción de memoria en el análisis de archivos de AutomationDirect C-More EA9 EAP9. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en las instalaciones afectadas de AutomationDirect C-More EA9. Se requiere la interacción del usuario para explotar esta vulnerabilidad, ya que el objetivo debe visitar una página maliciosa o abrir un archivo malicioso. La falla específica existe en el análisis de archivos EAP9. El problema es el resultado de la falta de una validación adecuada de los datos proporcionados por el usuario, lo que puede provocar una condición de corrupción de memoria. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual. Era ZDI-CAN-24773.
  
• Vulnerabilidad en AutomationDirect C-More EA9 EAP9 (CVE-2024-11611)
  Severidad: ALTA
  Fecha de publicación: 30/01/2025
  Fecha de última actualización: 12/08/2025
  Vulnerabilidad de ejecución remota de código por corrupción de memoria en el análisis de archivos de AutomationDirect C-More EA9 EAP9. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en las instalaciones afectadas de AutomationDirect C-More EA9. Se requiere la interacción del usuario para explotar esta vulnerabilidad, ya que el objetivo debe visitar una página maliciosa o abrir un archivo malicioso. La falla específica existe en el análisis de archivos EAP9. El problema es el resultado de la falta de una validación adecuada de los datos proporcionados por el usuario, lo que puede provocar una condición de corrupción de memoria. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual. Era ZDI-CAN-24774. Era ZDI-CAN-24774.
  
• Vulnerabilidad en Tesla Model S (CVE-2024-13943)
  Severidad: ALTA
  Fecha de publicación: 30/04/2025
  Fecha de última actualización: 12/08/2025
  Vulnerabilidad de escape de la zona protegida con validación de entrada incorrecta del módem Iris QCMAP_ConnectionManager de Tesla Model S. Esta vulnerabilidad permite a atacantes locales escapar de la zona de pruebas en los vehículos Tesla Model S afectados. Para explotar esta vulnerabilidad, un atacante debe primero ejecutar código con privilegios bajos en el sistema objetivo. La falla específica se encuentra en el componente QCMAP_ConnectionManager. Un atacante puede abusar del servicio para asignar direcciones LAN a la WWAN. Un atacante puede aprovechar esta vulnerabilidad para acceder a servicios de red que solo estaban destinados a estar expuestos a la LAN interna. Era ZDI-CAN-23199.
  
• Vulnerabilidad en Tesla Model S (CVE-2024-6029)
  Severidad: MEDIA
  Fecha de publicación: 30/04/2025
  Fecha de última actualización: 12/08/2025
  Vulnerabilidad de elusión del firewall en condiciones de ejecución del módem Iris del Tesla Model S. Esta vulnerabilidad permite a atacantes adyacentes a la red eludir el firewall del módem Iris en los vehículos Tesla Model S afectados. No se requiere autenticación para explotar esta vulnerabilidad. La falla específica existe en el servicio de firewall. El problema se debe a un fallo al obtener el bloqueo de xtables. Un atacante puede aprovechar esta vulnerabilidad para eludir las reglas del firewall. Anteriormente, se denominaba ZDI-CAN-23197.
  
• Vulnerabilidad en Tesla Model S (CVE-2024-6030)
  Severidad: ALTA
  Fecha de publicación: 30/04/2025
  Fecha de última actualización: 12/08/2025
  Vulnerabilidad de escape del entorno de pruebas de oFono con privilegios innecesarios en el Tesla Model S. Esta vulnerabilidad permite a atacantes locales escapar del entorno de pruebas en los vehículos Tesla Model S afectados. Para explotar esta vulnerabilidad, un atacante debe primero ejecutar código dentro del entorno de pruebas en el sistema objetivo. La falla específica se encuentra en el proceso oFono, que permite a un atacante modificar interfaces. Un atacante puede aprovechar esta vulnerabilidad para eludir el entorno de pruebas de red de iptables. Anteriormente, se denominaba ZDI-CAN-23200.
  
• Vulnerabilidad en Tesla Model S (CVE-2024-6031)
  Severidad: ALTA
  Fecha de publicación: 30/04/2025
  Fecha de última actualización: 12/08/2025
  Vulnerabilidad de ejecución de código por desbordamiento de búfer basado en el montón del comando AT oFono del Tesla Model S. Esta vulnerabilidad permite a atacantes locales ejecutar código arbitrario en los vehículos Tesla Model S afectados. Para explotar esta vulnerabilidad, un atacante debe primero obtener la capacidad de ejecutar código en el módem objetivo. La falla específica se encuentra en el análisis de las respuestas de los comandos AT. El problema se debe a la falta de una validación adecuada de la longitud de los datos proporcionados por el usuario antes de copiarlos a un búfer basado en el montón. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del dispositivo. Anteriormente, se denominaba ZDI-CAN-23198.
  
• Vulnerabilidad en Tesla Model S (CVE-2024-6032)
  Severidad: ALTA
  Fecha de publicación: 30/04/2025
  Fecha de última actualización: 12/08/2025
  Vulnerabilidad de ejecución de código por inyección de comandos ql_atfwd en el módem Iris del Tesla Model S. Esta vulnerabilidad permite a atacantes locales ejecutar código arbitrario en los vehículos Tesla Model S afectados. Para explotar esta vulnerabilidad, un atacante debe obtener primero la capacidad de ejecutar código en el sistema objetivo. La falla específica se encuentra en el proceso ql_atfwd. El problema se debe a la falta de validación adecuada de una cadena proporcionada por el usuario antes de usarla para ejecutar una llamada al sistema. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el módem objetivo con acceso root. Era ZDI-CAN-23201.
  
• Vulnerabilidad en Tesla Model 3 (CVE-2025-2082)
  Severidad: ALTA
  Fecha de publicación: 30/04/2025
  Fecha de última actualización: 12/08/2025
  Vulnerabilidad de ejecución remota de código por desbordamiento de enteros en el VCSEC del Tesla Model 3. Esta vulnerabilidad permite a atacantes adyacentes a la red ejecutar código arbitrario en los vehículos Tesla Model 3 afectados. No se requiere autenticación para explotar esta vulnerabilidad. La falla específica se encuentra en el módulo VCSEC. Al manipular la respuesta del certificado enviada desde el Tire Pressure Monitoring System (TPMS), un atacante puede provocar un desbordamiento de enteros antes de escribir en memoria. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del módulo VCSEC y enviar mensajes arbitrarios al bus CAN del vehículo. Anteriormente, se denominaba ZDI-CAN-23800.
  
• Vulnerabilidad en CyberData 011209 Intercom (CVE-2025-30184)
  Severidad: CRÍTICA
  Fecha de publicación: 09/06/2025
  Fecha de última actualización: 12/08/2025
  CyberData 011209 Intercom podría permitir que un usuario no autenticado acceda a la interfaz web a través de una ruta alternativa.
  
• Vulnerabilidad en CyberData 011209 Intercom (CVE-2025-30183)
  Severidad: ALTA
  Fecha de publicación: 09/06/2025
  Fecha de última actualización: 12/08/2025
  CyberData 011209 Intercom no almacena ni protege adecuadamente las credenciales de administrador del servidor web.
  
• Vulnerabilidad en CyberData 011209 Intercom (CVE-2025-30507)
  Severidad: MEDIA
  Fecha de publicación: 09/06/2025
  Fecha de última actualización: 12/08/2025
  CyberData 011209 Intercom podría permitir que un usuario no autenticado recopile información confidencial a través de inyecciones SQL ciegas.
  
• Vulnerabilidad en CyberData 011209 Intercom (CVE-2025-30515)
  Severidad: CRÍTICA
  Fecha de publicación: 09/06/2025
  Fecha de última actualización: 12/08/2025
  CyberData 011209 Intercom podría permitir que un atacante autenticado cargue archivos arbitrarios en múltiples ubicaciones dentro del sistema.
  
• Vulnerabilidad en OctoPrint (CVE-2025-48067)
  Severidad: MEDIA
  Fecha de publicación: 10/06/2025
  Fecha de última actualización: 12/08/2025
  OctoPrint proporciona una interfaz web para controlar impresoras 3D de consumo. Las versiones de OctoPrint hasta la 1.11.1 (incluida) contienen una vulnerabilidad que permite a un atacante con el permiso FILE_UPLOAD extraer archivos del host al que OctoPrint tiene acceso de lectura, trasladándolos a la carpeta de carga, desde donde se pueden descargar. Esta vulnerabilidad se corrigió en la versión 1.11.2.
  
• Vulnerabilidad en OctoPrint (CVE-2025-48879)
  Severidad: MEDIA
  Fecha de publicación: 10/06/2025
  Fecha de última actualización: 12/08/2025
  Las versiones de OctoPrint hasta la 1.11.1 inclusive contienen una vulnerabilidad que permite a cualquier atacante no autenticado enviar una solicitud multipart/form-data manipulada y rota a OctoPrint, provocando así que el componente del servidor web deje de responder. El problema puede desencadenarse por una solicitud multipart/form-data rota que no tenga un límite final en ninguno de los endpoints de OctoPrint implementados mediante el controlador de solicitudes octoprint.server.util.tornado.UploadStorageFallbackHandler. El controlador de solicitudes se atascará en un bucle de actividad interminable, buscando una parte de la solicitud que nunca llegará. Dado que Tornado es de un solo subproceso, esto bloqueará efectivamente todo el servidor web. La vulnerabilidad se ha corregido en la versión 1.11.2.
  
• Vulnerabilidad en GitLab EE (CVE-2025-5982)
  Severidad: BAJA
  Fecha de publicación: 12/06/2025
  Fecha de última actualización: 12/08/2025
  Se ha detectado un problema en GitLab EE que afecta a todas las versiones, desde la 12.0 hasta la 17.10.8, la 17.11 hasta la 17.11.4 y la 18.0 hasta la 18.0.2. En determinadas circunstancias, los usuarios podían eludir las restricciones de acceso IP y acceder a información confidencial.
  
• Vulnerabilidad en Red Hat, Inc. (CVE-2025-6170)
  Severidad: BAJA
  Fecha de publicación: 16/06/2025
  Fecha de última actualización: 12/08/2025
  Se detectó una falla en el shell interactivo de la herramienta de línea de comandos xmllint, utilizada para analizar archivos XML. Cuando un usuario introduce un comando demasiado largo, el programa no verifica correctamente el tamaño de entrada, lo que puede provocar un bloqueo. Este problema podría permitir a los atacantes ejecutar código dañino en configuraciones poco comunes sin protecciones modernas.
  
• Vulnerabilidad en libgepub (CVE-2025-6196)
  Severidad: MEDIA
  Fecha de publicación: 17/06/2025
  Fecha de última actualización: 12/08/2025
  Se encontró una falla en libgepub, una librería para leer archivos EPUB. El software gestiona incorrectamente los cálculos del tamaño de archivo al abrir archivos EPUB especialmente manipulados, lo que provoca asignaciones de memoria incorrectas. Este problema provoca el bloqueo de la aplicación. Entre los usos afectados se incluyen servicios de escritorio como Tumbler, que pueden procesar archivos maliciosos automáticamente al navegar por directorios. Si bien no se han confirmado vectores de ataque remoto directo, cualquier aplicación que utilice libgepub para analizar contenido EPUB proporcionado por el usuario podría ser vulnerable a una denegación de servicio.
  
• Vulnerabilidad en GitLab EE (CVE-2024-7586)
  Severidad: MEDIA
  Fecha de publicación: 20/06/2025
  Fecha de última actualización: 12/08/2025
  Se descubrió un problema en GitLab EE que afecta a todas las versiones desde la 17.0 anterior a la 17.0.6, desde la 17.1 anterior a la 17.1.4 y desde la 17.2 anterior a la 17.2.2, donde el registro de auditoría de eliminación de webhook conservaba las credenciales de autenticación.
  
• Vulnerabilidad en GitLab EE (CVE-2025-2443)
  Severidad: ALTA
  Fecha de publicación: 20/06/2025
  Fecha de última actualización: 12/08/2025
  Se ha descubierto un problema en GitLab EE que permite ataques de Cross-Site Scripting y eludir la política de seguridad de contenido en el navegador de un usuario en condiciones específicas, lo que afecta a todas las versiones desde la 16.6 hasta la 17.9.7, la 17.10 hasta la 17.10.5 y la 17.11 hasta la 17.11.1.
  
• Vulnerabilidad en GitLab CE/EE (CVE-2025-5121)
  Severidad: ALTA
  Fecha de publicación: 20/06/2025
  Fecha de última actualización: 12/08/2025
  Se ha detectado un problema en GitLab CE/EE que afecta a todas las versiones, desde la 17.11 hasta la 17.11.4 y desde la 18.0 hasta la 18.0.2. La falta de una comprobación de autorización podría haber permitido la aplicación de frameworks de cumplimiento a proyectos fuera del grupo del framework de cumplimiento.
  
• Vulnerabilidad en GitLab CE/EE (CVE-2024-4025)
  Severidad: MEDIA
  Fecha de publicación: 20/06/2025
  Fecha de última actualización: 12/08/2025
  Se ha detectado una condición de denegación de servicio (DoS) en GitLab CE/EE que afecta a todas las versiones desde la 7.10 hasta la 16.11.5, la 17.0 hasta la 17.0.3 y la 17.1 hasta la 17.1.1. Un atacante podría provocar una denegación de servicio mediante una página de Markdown manipulada.
  
• Vulnerabilidad en GitLab CE/EE (CVE-2024-4994)
  Severidad: ALTA
  Fecha de publicación: 20/06/2025
  Fecha de última actualización: 12/08/2025
  Se ha descubierto un problema en GitLab CE/EE que afecta a todas las versiones desde la 16.1.0 anterior a la 16.11.5, todas las versiones desde la 17.0 anterior a la 17.0.3 y todas las versiones desde la 17.1.0 anterior a la 17.1.1, lo que permitió un ataque CSRF a la API GraphQL de GitLab que provocó la ejecución de mutaciones arbitrarias de GraphQL.
  
• Vulnerabilidad en GitLab EE (CVE-2023-5600)
  Severidad: BAJA
  Fecha de publicación: 20/06/2025
  Fecha de última actualización: 12/08/2025
  Se ha detectado un problema en GitLab EE que afecta a todas las versiones (desde la 16.0 hasta la 16.3.6), a todas las versiones (desde la 16.4 hasta la 16.4.2) y a todas las versiones (desde la 16.5 hasta la 16.5.1). El acceso arbitrario a los títulos de referencias privadas específicas podría filtrarse a través de la plantilla de correo electrónico personalizada del servicio de asistencia.
  
• Vulnerabilidad en GitLab CE/EE (CVE-2025-1754)
  Severidad: MEDIA
  Fecha de publicación: 26/06/2025
  Fecha de última actualización: 12/08/2025
  Se ha descubierto un problema en GitLab CE/EE que afecta a todas las versiones desde la 17.2 hasta la 17.11.5, la 18.0 hasta la 18.0.3 y la 18.1 hasta la 18.1.1 que podría haber permitido a atacantes no autenticados cargar archivos arbitrarios en proyectos públicos mediante el envío de solicitudes de API manipuladas, lo que podría provocar un abuso de recursos y un almacenamiento de contenido no autorizado.
  
• Vulnerabilidad en GitLab CE/EE (CVE-2025-2938)
  Severidad: BAJA
  Fecha de publicación: 26/06/2025
  Fecha de última actualización: 12/08/2025
  Se ha descubierto un problema en GitLab CE/EE que afecta a todas las versiones desde la 17.3 hasta la 17.11.5, la 18.0 hasta la 18.0.3 y la 18.1 hasta la 18.1.1 que podría haber permitido que usuarios autenticados obtuvieran privilegios elevados de proyecto al solicitar acceso a proyectos en los que las modificaciones de roles durante el proceso de aprobación dieron como resultado concesiones de permisos no deseadas.
  
• Vulnerabilidad en GitLab CE/EE (CVE-2025-3279)
  Severidad: MEDIA
  Fecha de publicación: 26/06/2025
  Fecha de última actualización: 12/08/2025
  Se ha descubierto un problema en GitLab CE/EE que afecta a todas las versiones desde la 10.7 hasta la 17.11.5, la 18.0 hasta la 18.0.3 y la 18.1 hasta la 18.1.1 que podría haber permitido a atacantes autenticados crear una condición de denegación de servicio mediante el envío de solicitudes GraphQL manipuladas.
  
• Vulnerabilidad en GitLab CE/EE (CVE-2025-5315)
  Severidad: MEDIA
  Fecha de publicación: 26/06/2025
  Fecha de última actualización: 12/08/2025
  Se descubrió un problema en GitLab CE/EE que afecta a todas las versiones desde la 17.2 hasta la 17.11.5, la 18.0 hasta la 18.0.3 y la 18.1 hasta la 18.1.1 que podría haber permitido a los usuarios autenticados con permisos de rol de Invitado agregar elementos secundarios a los elementos de trabajo del incidente mediante el envío de solicitudes de API manipuladas que eludían las restricciones de rol impuestas por la interfaz de usuario.
  
• Vulnerabilidad en GitLab EE (CVE-2025-5846)
  Severidad: BAJA
  Fecha de publicación: 26/06/2025
  Fecha de última actualización: 12/08/2025
  Se ha descubierto un problema en GitLab EE que afecta a todas las versiones desde la 16.10 hasta la 17.11.5, la 18.0 hasta la 18.0.3 y la 18.1 hasta la 18.1.1 que podría haber permitido a los usuarios autenticados asignar frameworks de cumplimiento no relacionados a los proyectos mediante el envío de mutaciones GraphQL manipuladas que eludían los controles de permisos específicos del framework.
  
• Vulnerabilidad en Huawei Technologies (CVE-2025-53168)
  Severidad: MEDIA
  Fecha de publicación: 07/07/2025
  Fecha de última actualización: 12/08/2025
  Vulnerabilidad de omisión del proceso para iniciar SA y usar funciones relacionadas en cámaras distribuidas Impacto: La explotación exitosa de esta vulnerabilidad puede permitir que el dispositivo par use la cámara sin el conocimiento del usuario.
  
• Vulnerabilidad en Huawei Technologies (CVE-2025-53169)
  Severidad: ALTA
  Fecha de publicación: 07/07/2025
  Fecha de última actualización: 12/08/2025
  Vulnerabilidad de omisión del proceso para iniciar SA y usar funciones relacionadas en cámaras distribuidas Impacto: La explotación exitosa de esta vulnerabilidad puede permitir que el dispositivo par use la cámara sin el conocimiento del usuario.
  
• Vulnerabilidad en Huawei Technologies (CVE-2025-53177)
  Severidad: BAJA
  Fecha de publicación: 07/07/2025
  Fecha de última actualización: 12/08/2025
  Vulnerabilidad de omisión de permisos en el módulo de almacenamiento de calendario Impacto: La explotación exitosa de esta vulnerabilidad puede afectar la función de sincronización de programación de los relojes.
  
• Vulnerabilidad en Huawei Technologies (CVE-2025-53178)
  Severidad: MEDIA
  Fecha de publicación: 07/07/2025
  Fecha de última actualización: 12/08/2025
  Vulnerabilidad de omisión de permisos en el módulo de almacenamiento de calendario Impacto: La explotación exitosa de esta vulnerabilidad puede afectar la función de recordatorio de programación de las unidades principales.
  
• Vulnerabilidad en Huawei Technologies (CVE-2025-53185)
  Severidad: MEDIA
  Fecha de publicación: 07/07/2025
  Fecha de última actualización: 12/08/2025
  Problema de reutilización de direcciones virtuales en el módulo de administración de memoria, que puede ser explotado por usuarios sin privilegios para acceder a la memoria liberada. Impacto: La explotación exitosa de esta vulnerabilidad puede afectar la integridad del servicio.
  
• Vulnerabilidad en Huawei Technologies (CVE-2025-53186)
  Severidad: MEDIA
  Fecha de publicación: 07/07/2025
  Fecha de última actualización: 12/08/2025
  Vulnerabilidad que permite que aplicaciones de llamadas de terceros envíen transmisiones sin verificación en el módulo del marco de audio Impacto: La explotación exitosa de esta vulnerabilidad puede afectar la disponibilidad.
  
• Vulnerabilidad en Tesla Wall Connector (CVE-2025-8320)
  Severidad: ALTA
  Fecha de publicación: 30/07/2025
  Fecha de última actualización: 12/08/2025
  Vulnerabilidad de ejecución remota de código por validación incorrecta de entrada en el encabezado Content-Length de Tesla Wall Connector. Esta vulnerabilidad permite a atacantes adyacentes a la red ejecutar código arbitrario en las instalaciones afectadas de dispositivos Tesla Wall Connector. No se requiere autenticación para explotar esta vulnerabilidad. La falla específica se encuentra en el análisis del encabezado HTTP Content-Length. El problema se debe a la falta de una validación adecuada de los datos proporcionados por el usuario, lo que puede provocar el acceso a memoria más allá del límite del búfer asignado. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del dispositivo. Anteriormente, se denominaba ZDI-CAN-26300.
  
• Vulnerabilidad en Tesla Wall Connector (CVE-2025-8321)
  Severidad: MEDIA
  Fecha de publicación: 30/07/2025
  Fecha de última actualización: 12/08/2025
  Vulnerabilidad de degradación de Tesla Wall Connector Firmware. Esta vulnerabilidad permite a atacantes con presencia física ejecutar código arbitrario en las instalaciones afectadas de los dispositivos Tesla Wall Connector. No se requiere autenticación para explotar esta vulnerabilidad. La falla específica se encuentra en la función de actualización de firmware. El problema se debe a la falta de un mecanismo anti-degradación. Un atacante puede aprovechar esto, junto con otras vulnerabilidades, para ejecutar código en el contexto del dispositivo. Era ZDI-CAN-26299.
  
• Vulnerabilidad en Trend Micro Apex One (CVE-2025-54948)
  Severidad: CRÍTICA
  Fecha de publicación: 05/08/2025
  Fecha de última actualización: 12/08/2025
  Una vulnerabilidad en la consola de administración de Trend Micro Apex One (local) podría permitir que un atacante remoto previamente autenticado cargue código malicioso y ejecute comandos en las instalaciones afectadas.
  
• Vulnerabilidad en Trend Micro Apex One (CVE-2025-54987)
  Severidad: CRÍTICA
  Fecha de publicación: 05/08/2025
  Fecha de última actualización: 12/08/2025
  Una vulnerabilidad en la consola de administración de Trend Micro Apex One (local) podría permitir que un atacante remoto preautenticado cargue código malicioso y ejecute comandos en las instalaciones afectadas. Esta vulnerabilidad es básicamente la misma que la CVE-2025-54948, pero afecta a una arquitectura de CPU diferente.
  
• Vulnerabilidad en OpenHarmony (CVE-2025-24298)
  Severidad: ALTA
  Fecha de publicación: 11/08/2025
  Fecha de última actualización: 12/08/2025
  En OpenHarmony v5.0.3 y versiones anteriores se permite a un atacante local la ejecución de código arbitrario en tcb mediante el use after free.
  
• Vulnerabilidad en OpenHarmony (CVE-2025-24844)
  Severidad: BAJA
  Fecha de publicación: 11/08/2025
  Fecha de última actualización: 12/08/2025
  En OpenHarmony v5.0.3 y versiones anteriores se permite que un atacante local cometa un ataque DOS mediante la falta de liberación de memoria.
  
• Vulnerabilidad en OpenHarmony (CVE-2025-24925)
  Severidad: BAJA
  Fecha de publicación: 11/08/2025
  Fecha de última actualización: 12/08/2025
  En OpenHarmony v5.0.3 y versiones anteriores se permite que un atacante local cometa un ataque DOS mediante la falta de liberación de memoria.
  
• Vulnerabilidad en OpenHarmony (CVE-2025-25212)
  Severidad: BAJA
  Fecha de publicación: 11/08/2025
  Fecha de última actualización: 12/08/2025
  En OpenHarmony v5.0.3 y versiones anteriores se permite que un atacante local cometa un ataque DOS mediante una entrada incorrecta.
  
• Vulnerabilidad en OpenHarmony (CVE-2025-25278)
  Severidad: ALTA
  Fecha de publicación: 11/08/2025
  Fecha de última actualización: 12/08/2025
  En OpenHarmony v5.0.3 y versiones anteriores se permite a un atacante local la ejecución de código arbitrario en tcb a través de una condición de ejecución.
  
• Vulnerabilidad en OpenHarmony (CVE-2025-26690)
  Severidad: BAJA
  Fecha de publicación: 11/08/2025
  Fecha de última actualización: 12/08/2025
  En OpenHarmony v5.0.3 y versiones anteriores se permite que un atacante local cometa un ataque DOS mediante la desreferencia de un puntero NULL.
  
• Vulnerabilidad en OpenHarmony (CVE-2025-27128)
  Severidad: ALTA
  Fecha de publicación: 11/08/2025
  Fecha de última actualización: 12/08/2025
  En OpenHarmony v5.0.3 y versiones anteriores se permite a un atacante local la ejecución de código arbitrario en tcb mediante el use after free.
  
• Vulnerabilidad en OpenHarmony (CVE-2025-27536)
  Severidad: BAJA
  Fecha de publicación: 11/08/2025
  Fecha de última actualización: 12/08/2025
  En OpenHarmony v5.0.3 y versiones anteriores se permite que un atacante local provoque un DOS a través de una confusión de tipos.
  
• Vulnerabilidad en OpenHarmony (CVE-2025-27562)
  Severidad: BAJA
  Fecha de publicación: 11/08/2025
  Fecha de última actualización: 12/08/2025
  En OpenHarmony v5.0.3 y versiones anteriores se permite que un atacante local cometa un ataque DOS mediante la falta de liberación de memoria.
  
• Vulnerabilidad en OpenHarmony (CVE-2025-27577)
  Severidad: ALTA
  Fecha de publicación: 11/08/2025
  Fecha de última actualización: 12/08/2025
  En OpenHarmony v5.0.3 y versiones anteriores se permite a un atacante local la ejecución de código arbitrario en tcb a través de una condición de ejecución.