Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

Vulnerabilidad en beescms v.4.0 (CVE-2024-31011)
Severidad: CRÍTICA
Fecha de publicación: 03/04/2024
Fecha de última actualización: 21/08/2025
Vulnerabilidad de escritura arbitraria en archivos en beescms v.4.0, permite a un atacante remoto ejecutar código arbitrario a través de una ruta de archivo que no estaba aislada y el sufijo no estaba verificado en admin_template.php.
Vulnerabilidad en cym1102 nginxWebUI (CVE-2024-3738)
Severidad: ALTA
Fecha de publicación: 13/04/2024
Fecha de última actualización: 21/08/2025
Una vulnerabilidad ha sido encontrada en cym1102 nginxWebUI hasta 3.9.9 y clasificada como crítica. Esto afecta la función handlePath del archivo /adminPage/conf/saveCmd. La manipulación del argumento nginxPath conduce a una validación de certificado incorrecta. Es posible iniciar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse. A esta vulnerabilidad se le asignó el identificador VDB-260577.
Vulnerabilidad en cym1102 nginxWebUI (CVE-2024-3739)
Severidad: MEDIA
Fecha de publicación: 13/04/2024
Fecha de última actualización: 21/08/2025
Una vulnerabilidad fue encontrada en cym1102 nginxWebUI hasta 3.9.9 y clasificada como crítica. Esta vulnerabilidad afecta a código desconocido del archivo /adminPage/main/upload. La manipulación del archivo de argumentos conduce a la inyección de comandos del sistema operativo. El ataque se puede iniciar de forma remota. El exploit ha sido divulgado al público y puede utilizarse. VDB-260578 es el identificador asignado a esta vulnerabilidad.
Vulnerabilidad en cym1102 nginxWebUI (CVE-2024-3740)
Severidad: MEDIA
Fecha de publicación: 13/04/2024
Fecha de última actualización: 21/08/2025
Una vulnerabilidad fue encontrada en cym1102 nginxWebUI hasta 3.9.9 y clasificada como crítica. Este problema afecta la función exec del archivo /adminPage/conf/reload. La manipulación del argumento nginxExe conduce a la deserialización. El ataque puede iniciarse de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador asociado de esta vulnerabilidad es VDB-260579.
Vulnerabilidad en Htmly v2.9.5 (CVE-2024-30953)
Severidad: MEDIA
Fecha de publicación: 17/04/2024
Fecha de última actualización: 21/08/2025
Una vulnerabilidad de cross site scripting (XSS) almacenadas en Htmly v2.9.5 permite a los atacantes ejecutar scripts web o HTML arbitrarios a través de un payload manipulado inyectado en el parámetro Nombre del enlace del módulo Editor de menús.
Vulnerabilidad en aiohttp (CVE-2024-27306)
Severidad: MEDIA
Fecha de publicación: 18/04/2024
Fecha de última actualización: 21/08/2025
aiohttp es un framework cliente/servidor HTTP asíncrono para asyncio y Python. Existe una vulnerabilidad XSS en las páginas de índice para el manejo de archivos estáticos. Esta vulnerabilidad se solucionó en 3.9.4. Siempre hemos recomendado utilizar un servidor proxy inverso (por ejemplo, nginx) para servir archivos estáticos. Los usuarios que sigan la recomendación no se verán afectados. Otros usuarios pueden desactivar `show_index` si no pueden actualizar.
Vulnerabilidad en Flatpak (CVE-2024-32462)
Severidad: ALTA
Fecha de publicación: 18/04/2024
Fecha de última actualización: 21/08/2025
Flatpak es un sistema para crear, distribuir y ejecutar aplicaciones de escritorio en espacio aislado en Linux. en versiones anteriores a la 1.10.9, 1.12.9, 1.14.6 y 1.15.8, una aplicación Flatpak maliciosa o comprometida podría ejecutar código arbitrario fuera de su zona de pruebas. Normalmente, el argumento `--command` de `flatpak run` espera recibir un comando para ejecutar en la aplicación Flatpak especificada, opcionalmente junto con algunos argumentos. Sin embargo, es posible pasar argumentos `bwrap` a `--command=`, como `--bind`. Es posible pasar una "línea de comando" arbitraria a la interfaz del portal "org.freedesktop.portal.Background.RequestBackground" desde una aplicación Flatpak. Cuando esto se convierte en un `--command` y argumentos, logra el mismo efecto de pasar argumentos directamente a `bwrap` y, por lo tanto, puede usarse para un escape sandbox. La solución es pasar el argumento `--` a `bwrap`, lo que hace que deje de procesar las opciones. Esto ha sido compatible desde bubblewrap 0.3.0. Todas las versiones compatibles de Flatpak requieren al menos esa versión de bubblewrap. xdg-desktop-portal versión 1.18.4 mitigará esta vulnerabilidad al permitir que las aplicaciones Flatpak solo creen archivos .desktop para comandos que no comiencen con --. La vulnerabilidad está parcheada en 1.15.8, 1.10.9, 1.12.9 y 1.14.6.
Vulnerabilidad en Ruijie RG-UAC (CVE-2024-4255)
Severidad: MEDIA
Fecha de publicación: 27/04/2024
Fecha de última actualización: 21/08/2025
Una vulnerabilidad clasificada como crítica fue encontrada en Ruijie RG-UAC hasta 20240419. Este problema afecta a un procesamiento desconocido del archivo /view/network Config/GRE/gre_edit_commit.php. La manipulación del nombre del argumento conduce a la inyección de comandos del sistema operativo. El ataque puede iniciarse de forma remota. El exploit ha sido divulgado al público y puede utilizarse. A esta vulnerabilidad se le asignó el identificador VDB-262145.
Vulnerabilidad en Ruijie RG-UAC 1.0 (CVE-2024-6184)
Severidad: MEDIA
Fecha de publicación: 20/06/2024
Fecha de última actualización: 21/08/2025
Una vulnerabilidad fue encontrada en Ruijie RG-UAC 1.0 y clasificada como crítica. Una función desconocida del archivo /view/systemConfig/reboot/reboot_commit.php es afectada por esta vulnerabilidad. La manipulación del argumento nombre de servicio conduce a la inyección de comando del sistema operativo. El ataque se puede lanzar de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador asociado de esta vulnerabilidad es VDB-269155. NOTA: Se contactó primeramente con el proveedor sobre esta divulgación, pero no respondió de ninguna manera.
Vulnerabilidad en Ruijie RG-UAC 1.0 (CVE-2024-6186)
Severidad: MEDIA
Fecha de publicación: 20/06/2024
Fecha de última actualización: 21/08/2025
Una vulnerabilidad fue encontrada en Ruijie RG-UAC 1.0 y clasificada como crítica. Esto afecta a una parte desconocida del archivo /view/userAuthentication/SSO/commit.php. La manipulación del argumento ad_log_name conduce a la inyección de comandos del sistema operativo. Es posible iniciar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse. A esta vulnerabilidad se le asignó el identificador VDB-269157. NOTA: Se contactó primeramente con el proveedor sobre esta divulgación, pero no respondió de ninguna manera.
Vulnerabilidad en Ruijie RG-UAC 1.0 (CVE-2024-6187)
Severidad: MEDIA
Fecha de publicación: 20/06/2024
Fecha de última actualización: 21/08/2025
Una vulnerabilidad ha sido encontrada en Ruijie RG-UAC 1.0 y clasificada como crítica. Esta vulnerabilidad afecta a código desconocido del archivo /view/vpn/autovpn/sub_commit.php. La manipulación de la clave del argumento conduce a la inyección de comandos del sistema operativo. El ataque se puede iniciar de forma remota. El exploit ha sido divulgado al público y puede utilizarse. VDB-269158 es el identificador asignado a esta vulnerabilidad. NOTA: Se contactó primeramente con el proveedor sobre esta divulgación, pero no respondió de ninguna manera.
Vulnerabilidad en Ruijie RG-UAC 1.0 (CVE-2024-6269)
Severidad: MEDIA
Fecha de publicación: 23/06/2024
Fecha de última actualización: 21/08/2025
Una vulnerabilidad ha sido encontrada en Ruijie RG-UAC 1.0 y clasificada como crítica. Esta vulnerabilidad afecta a la función get_ip.addr_details del archivo /view/vpn/autovpn/sxh_vpnlic.php del componente HTTP POST Request Handler. La manipulación del argumento en dispositivo conduce a la inyección de comando. El ataque se puede iniciar de forma remota. El exploit ha sido divulgado al público y puede utilizarse. VDB-269482 es el identificador asignado a esta vulnerabilidad. NOTA: Se contactó primeramente con el proveedor sobre esta divulgación, pero no respondió de ninguna manera.
Vulnerabilidad en SINEMA Remote Connect Client (CVE-2024-39567)
Severidad: ALTA
Fecha de publicación: 09/07/2024
Fecha de última actualización: 21/08/2025
Se ha identificado una vulnerabilidad en SINEMA Remote Connect Client (todas las versiones < V3.2 HF1). El servicio del sistema de las aplicaciones afectadas es vulnerable a la inyección de comandos debido a la falta de sanitización de entrada del lado del servidor al cargar las configuraciones de VPN. Esto podría permitir que un atacante local autenticado ejecute código arbitrario con privilegios del sistema.
Vulnerabilidad en Qualcomm, Inc. (CVE-2024-43058)
Severidad: ALTA
Fecha de publicación: 07/04/2025
Fecha de última actualización: 20/08/2025
Corrupción de memoria durante el procesamiento de llamadas IOCTL.
Vulnerabilidad en Qualcomm, Inc. (CVE-2024-43067)
Severidad: ALTA
Fecha de publicación: 07/04/2025
Fecha de última actualización: 20/08/2025
La corrupción de memoria ocurre durante la copia de datos leídos desde la EEPROM porque la configuración de E/S se expone como memoria compartida.
Vulnerabilidad en Qualcomm, Inc. (CVE-2025-21436)
Severidad: ALTA
Fecha de publicación: 07/04/2025
Fecha de última actualización: 20/08/2025
Puede producirse una corrupción de memoria al iniciar dos llamadas IOCTL simultáneamente para crear procesos desde dos subprocesos diferentes.
Vulnerabilidad en Qualcomm, Inc. (CVE-2025-21437)
Severidad: ALTA
Fecha de publicación: 07/04/2025
Fecha de última actualización: 20/08/2025
Corrupción de memoria al procesar operaciones IOCTL de mapeo o desasignamiento de memoria simultáneamente.
Vulnerabilidad en Qualcomm, Inc. (CVE-2025-21440)
Severidad: ALTA
Fecha de publicación: 07/04/2025
Fecha de última actualización: 20/08/2025
Corrupción de memoria cuando se invoca la llamada IOCTL desde el espacio del usuario para escribir datos de la placa en el controlador WLAN.
Vulnerabilidad en Qualcomm, Inc. (CVE-2025-21441)
Severidad: ALTA
Fecha de publicación: 07/04/2025
Fecha de última actualización: 20/08/2025
Corrupción de memoria cuando se invoca la llamada IOCTL desde el espacio del usuario para escribir datos de la placa en el controlador WLAN.
Vulnerabilidad en Qualcomm, Inc. (CVE-2025-21447)
Severidad: ALTA
Fecha de publicación: 07/04/2025
Fecha de última actualización: 20/08/2025
Puede ocurrir corrupción de memoria mientras se procesa la llamada de control de E/S del dispositivo para el control de sesión.
Vulnerabilidad en fluent-bit v.3.7.2 (CVE-2025-29478)
Severidad: MEDIA
Fecha de publicación: 07/04/2025
Fecha de última actualización: 21/08/2025
Un problema en fluent-bit v.3.7.2 permite que un atacante local provoque una denegación de servicio a través de cfl_list_size en cfl_list.h:165.
Vulnerabilidad en BEC Technologies (CVE-2025-2772)
Severidad: MEDIA
Fecha de publicación: 23/04/2025
Fecha de última actualización: 21/08/2025
Vulnerabilidad de divulgación de información de credenciales insuficientemente protegidas en múltiples enrutadores de BEC Technologies. Esta vulnerabilidad permite a atacantes adyacentes a la red divulgar información confidencial sobre las instalaciones afectadas de enrutadores de BEC Technologies. No se requiere autenticación para explotar esta vulnerabilidad. La falla específica se encuentra en /cgi-bin/tools_usermanage.asp. El problema se debe a la transmisión de una lista de usuarios y sus credenciales para su gestión en el lado del cliente. Un atacante puede aprovechar esta vulnerabilidad para divulgar las credenciales transportadas, lo que conlleva una mayor vulnerabilidad. Anteriormente, se denominó ZDI-CAN-25895.
Vulnerabilidad en BEC Technologies (CVE-2025-2773)
Severidad: ALTA
Fecha de publicación: 23/04/2025
Fecha de última actualización: 21/08/2025
Vulnerabilidad de ejecución remota de código por inyección de comandos sys ping en múltiples enrutadores de BEC Technologies. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en las instalaciones afectadas de múltiples enrutadores de BEC Technologies. Si bien se requiere autenticación para explotar esta vulnerabilidad, el mecanismo de autenticación existente puede eludirse. La falla específica se encuentra en la interfaz de administración, que escucha en el puerto TCP 22 por defecto. El problema se debe a la falta de validación adecuada de una cadena proporcionada por el usuario antes de usarla para ejecutar una llamada al sistema. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del dispositivo. Era ZDI-CAN-25903.
Vulnerabilidad en Qualcomm, Inc. (CVE-2024-53013)
Severidad: MEDIA
Fecha de publicación: 03/06/2025
Fecha de última actualización: 20/08/2025
Puede ocurrir corrupción en la memoria mientras se procesa el registro de llamadas de voz con el usuario.
Vulnerabilidad en Qualcomm, Inc. (CVE-2024-53016)
Severidad: MEDIA
Fecha de publicación: 03/06/2025
Fecha de última actualización: 20/08/2025
Corrupción de memoria al procesar configuraciones I2C en el controlador de la cámara.
Vulnerabilidad en Qualcomm, Inc. (CVE-2024-53017)
Severidad: MEDIA
Fecha de publicación: 03/06/2025
Fecha de última actualización: 20/08/2025
Corrupción de memoria durante el manejo del comando IOCTL del generador de patrones de prueba.
Vulnerabilidad en Qualcomm, Inc. (CVE-2024-53018)
Severidad: MEDIA
Fecha de publicación: 03/06/2025
Fecha de última actualización: 20/08/2025
Puede ocurrir corrupción de memoria mientras se procesa el analizador de paquetes OIS.
Vulnerabilidad en Qualcomm, Inc. (CVE-2024-53019)
Severidad: ALTA
Fecha de publicación: 03/06/2025
Fecha de última actualización: 20/08/2025
Puede ocurrir una divulgación de información mientras se decodifica el paquete RTP con una longitud de encabezado inadecuada para la cantidad de fuentes contribuyentes.
Vulnerabilidad en Qualcomm, Inc. (CVE-2025-21485)
Severidad: ALTA
Fecha de publicación: 03/06/2025
Fecha de última actualización: 20/08/2025
Corrupción de memoria durante el procesamiento de llamadas IOCTL de invocación INIT y multimodo en FastRPC.
Vulnerabilidad en Qualcomm, Inc. (CVE-2025-21486)
Severidad: ALTA
Fecha de publicación: 03/06/2025
Fecha de última actualización: 20/08/2025
Corrupción de memoria durante la llamada de creación de proceso dinámico cuando el cliente solo pasa la dirección y la longitud del binario del shell.
Vulnerabilidad en Qualcomm, Inc. (CVE-2025-27029)
Severidad: ALTA
Fecha de publicación: 03/06/2025
Fecha de última actualización: 20/08/2025
DOS transitorio durante el procesamiento del búfer de respuesta de medición de tono cuando el búfer de respuesta está fuera de rango.
Vulnerabilidad en Qualcomm, Inc. (CVE-2025-27031)
Severidad: ALTA
Fecha de publicación: 03/06/2025
Fecha de última actualización: 20/08/2025
Corrupción de memoria durante el procesamiento de comandos IOCTL, cuando se accede al búfer en modo de bucle invertido de escritura después de ser liberado.
Vulnerabilidad en LZW de GdkPixbuf (CVE-2025-6199)
Severidad: BAJA
Fecha de publicación: 17/06/2025
Fecha de última actualización: 21/08/2025
Se detectó una falla en el analizador GIF del decodificador LZW de GdkPixbuf. Al encontrar un símbolo no válido durante la descompresión, el decodificador establece el tamaño de salida reportado en la longitud total del búfer, en lugar del número real de bytes escritos. Este error lógico provoca que se incluyan secciones no inicializadas del búfer en la salida, lo que podría provocar la pérdida de contenido de memoria arbitrario en la imagen procesada.
Vulnerabilidad en IBM Process Mining (CVE-2025-36016)
Severidad: MEDIA
Fecha de publicación: 21/06/2025
Fecha de última actualización: 21/08/2025
IBM Process Mining 2.0.1 IF001 y 2.0.1 podrían permitir que un atacante remoto realice ataques de phishing mediante un ataque de redirección abierta. Al persuadir a la víctima para que visite un sitio web especialmente manipulado, un atacante remoto podría explotar esta vulnerabilidad para falsificar la URL mostrada y redirigir al usuario a un sitio web malicioso aparentemente confiable. Esto podría permitirle obtener información altamente sensible o realizar nuevos ataques contra la víctima.
Vulnerabilidad en libssh (CVE-2025-5318)
Severidad: MEDIA
Fecha de publicación: 24/06/2025
Fecha de última actualización: 21/08/2025
Se encontró una falla en la librería libssh. Una lectura fuera de los límites puede activarse en la función sftp_handle debido a una comprobación de comparación incorrecta que permite que la función acceda a memoria más allá de la lista de manejadores válidos y devuelva un puntero no válido, que se utiliza en el procesamiento posterior. Esta vulnerabilidad permite que un atacante remoto autenticado lea regiones de memoria no deseadas, exponiendo información confidencial o afectando el comportamiento del servicio.
Vulnerabilidad en Sanluan PublicCMS (CVE-2025-7949)
Severidad: MEDIA
Fecha de publicación: 22/07/2025
Fecha de última actualización: 20/08/2025
Se encontró una vulnerabilidad en Sanluan PublicCMS hasta la versión 5.202506.a. Se ha declarado problemática. Esta vulnerabilidad afecta a una funcionalidad desconocida del archivo publiccms-parent/publiccms/src/main/resources/templates/admin/cmsDiy/preview.html. La manipulación del argumento URL provoca una redirección abierta. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado. El parche se llama c1e79f124e3f4c458315d908ed7dee06f9f12a76/f1af17af004ca9345c6fe4d5936d87d008d26e75. Se recomienda instalar un parche para solucionar este problema.
Vulnerabilidad en Sanluan PublicCMS (CVE-2025-7953)
Severidad: MEDIA
Fecha de publicación: 22/07/2025
Fecha de última actualización: 20/08/2025
Se ha detectado una vulnerabilidad clasificada como problemática en Sanluan PublicCMS hasta la versión 5.202506.a. Este problema afecta a un procesamiento desconocido del archivo publiccms-parent/publiccms/src/main/webapp/resource/plugins/pdfjs/viewer.html. La manipulación del argumento "File" provoca una redirección abierta. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado. El parche se llama f1af17af004ca9345c6fe4d5936d87d008d26e75. Se recomienda aplicar un parche para solucionar este problema.
Vulnerabilidad en Shenzhen Libituo Technology LBT-T300-T310 2.2.3.6 (CVE-2025-8019)
Severidad: ALTA
Fecha de publicación: 22/07/2025
Fecha de última actualización: 20/08/2025
Se encontró una vulnerabilidad en Shenzhen Libituo Technology LBT-T300-T310 2.2.3.6. Se ha clasificado como crítica. Este problema afecta a la función sub_40B6F0 del archivo at/appy.cgi. La manipulación del argumento wan_proto provoca un desbordamiento del búfer. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado.
Vulnerabilidad en grav (CVE-2025-46198)
Severidad: ALTA
Fecha de publicación: 25/07/2025
Fecha de última actualización: 20/08/2025
Cross Site Scripting en grav v.1.7.48, v.1.7.47 y v.1.7.46 permite a un atacante ejecutar código arbitrario a través del atributo onerror del elemento img.
Vulnerabilidad en Intelbras (CVE-2025-26063)
Severidad: CRÍTICA
Fecha de publicación: 31/07/2025
Fecha de última actualización: 20/08/2025
Un problema en Intelbras RX1500 v2.2.9 y RX3000 v1.0.11 permite a atacantes no autenticados ejecutar código arbitrario mediante la inyección de un payload manipulado en el nombre ESSID al crear una red.
Vulnerabilidad en Intelbras (CVE-2025-26064)
Severidad: ALTA
Fecha de publicación: 31/07/2025
Fecha de última actualización: 20/08/2025
Una vulnerabilidad de Cross-site Scripting (XSS) en Intelbras RX1500 v2.2.9 y RX3000 v1.0.11 permite a los atacantes ejecutar scripts web o HTML arbitrarios mediante la inyección de un payload manipulado en el nombre de un dispositivo conectado.
Vulnerabilidad en MaterialX (CVE-2025-53009)
Severidad: MEDIA
Fecha de publicación: 01/08/2025
Fecha de última actualización: 20/08/2025
MaterialX es un estándar abierto para el intercambio de material enriquecido y contenido de desarrollo de apariencia entre aplicaciones y renderizadores. En las versiones 1.39.2 y anteriores, al analizar un archivo MTLX con múltiples implementaciones de nodegraph anidadas, la lógica de análisis XML de MaterialX puede bloquearse debido al agotamiento de la pila. Un atacante podría bloquear intencionalmente un programa objetivo que use OpenEXR enviando un archivo MTLX malicioso. Esto se solucionó en la versión 1.39.3.
Vulnerabilidad en MaterialX (CVE-2025-53010)
Severidad: BAJA
Fecha de publicación: 01/08/2025
Fecha de última actualización: 20/08/2025
MaterialX es un estándar abierto para el intercambio de contenido de desarrollo visual y de materiales enriquecidos entre aplicaciones y renderizadores. En la versión 1.39.2, al analizar nodos de sombreado en un archivo MTLX, el código de MaterialXCore accede a un puntero potencialmente nulo, lo que puede provocar fallos con archivos maliciosos. Un atacante podría bloquear intencionalmente un programa objetivo que use OpenEXR enviando un archivo MTLX malicioso. Esto se solucionó en la versión 1.39.3.
Vulnerabilidad en MaterialX (CVE-2025-53011)
Severidad: BAJA
Fecha de publicación: 01/08/2025
Fecha de última actualización: 20/08/2025
MaterialX es un estándar abierto para el intercambio de contenido de desarrollo visual y de materiales enriquecidos entre aplicaciones y renderizadores. En la versión 1.39.2, al analizar nodos de sombreado en un archivo MTLX, el código de MaterialXCore accede a un puntero potencialmente nulo, lo que puede provocar fallos con archivos maliciosos. Un atacante podría bloquear intencionalmente un programa objetivo que use MaterialX enviando un archivo MTLX malicioso. Esto se solucionó en la versión 1.39.3.
Vulnerabilidad en MaterialX (CVE-2025-53012)
Severidad: MEDIA
Fecha de publicación: 01/08/2025
Fecha de última actualización: 20/08/2025
MaterialX es un estándar abierto para el intercambio de contenido de desarrollo visual y de materiales enriquecidos entre aplicaciones y renderizadores. En la versión 1.39.2, las importaciones anidadas de archivos MaterialX pueden provocar un fallo por agotamiento de la memoria de la pila, debido a la falta de un límite en la profundidad de la cadena de importación. Al analizar las importaciones de archivos, se utiliza la recursión para procesar los archivos anidados; sin embargo, no hay límite en la profundidad de los archivos que la libería puede analizar. Al crear una cadena suficientemente profunda de archivos MaterialX que referencian entre sí, es posible que el proceso que utiliza la libería MaterialX se bloquee por agotamiento de la pila. Esto se solucionó en la versión 1.39.3.
Vulnerabilidad en Intelbras InControl 2.21.60.9 (CVE-2025-8515)
Severidad: BAJA
Fecha de publicación: 04/08/2025
Fecha de última actualización: 21/08/2025
Se encontró una vulnerabilidad en Intelbras InControl 2.21.60.9 y se clasificó como problemática. Este problema afecta a un procesamiento desconocido del archivo /v1/operador/ del componente JSON Endpoint. La manipulación conlleva la divulgación de información. El ataque puede ejecutarse en remoto. Es un ataque de complejidad bastante alta. Parece difícil de explotar. Se ha hecho público el exploit y puede que sea utilizado. Se recomienda actualizar el componente afectado.
Vulnerabilidad en Intelbras (CVE-2025-26065)
Severidad: ALTA
Fecha de publicación: 04/08/2025
Fecha de última actualización: 21/08/2025
Una vulnerabilidad de cross-site scripting (XSS) en Intelbras RX1500 v2.2.9 y RX3000 v1.0.11 permite a los atacantes ejecutar scripts web o HTML arbitrarios mediante la inyección de un payload manipulado en el nombre de una red Wi-Fi visitante.
Vulnerabilidad en SIMATIC RTLS Locating Manager (CVE-2025-30034)
Severidad: MEDIA
Fecha de publicación: 12/08/2025
Fecha de última actualización: 20/08/2025
Se ha identificado una vulnerabilidad en SIMATIC RTLS Locating Manager (todas las versiones anteriores a la V3.3). Los dispositivos afectados no validan correctamente la entrada enviada a su puerto de escucha en la interfaz de bucle invertido local. Esto podría permitir que un atacante local no autenticado provoque una denegación de servicio.
Vulnerabilidad en SIMATIC RTLS Locating Manager (CVE-2025-40746)
Severidad: CRÍTICA
Fecha de publicación: 12/08/2025
Fecha de última actualización: 20/08/2025
Se ha identificado una vulnerabilidad en SIMATIC RTLS Locating Manager (todas las versiones anteriores a la V3.2). Los productos afectados no validan correctamente la entrada de un script de copia de seguridad. Esto podría permitir que un atacante remoto autenticado con privilegios elevados en la aplicación ejecute código arbitrario con privilegios de "NT Authority/SYSTEM".
Vulnerabilidad en SIMATIC RTLS Locating Manager (CVE-2025-40751)
Severidad: MEDIA
Fecha de publicación: 12/08/2025
Fecha de última actualización: 20/08/2025
Se ha identificado una vulnerabilidad en SIMATIC RTLS Locating Manager (todas las versiones anteriores a la V3.3). Los clientes de informes de SIMATIC RTLS Locating Manager afectados no protegen adecuadamente las credenciales utilizadas para la autenticación en el servidor. Esto podría permitir que un atacante local autenticado extraiga las credenciales y las utilice para escalar sus derechos de acceso del rol de administrador al de administrador del sistema.
Vulnerabilidad en SINEC Traffic Analyzer (CVE-2025-40770)
Severidad: ALTA
Fecha de publicación: 12/08/2025
Fecha de última actualización: 20/08/2025
Se ha identificado una vulnerabilidad en SINEC Traffic Analyzer (6GK8822-1BG01-0BA0) (todas las versiones). La aplicación afectada utiliza una interfaz de monitorización que no opera en modo estrictamente pasivo. Esto podría permitir que un atacante interactúe con la interfaz, dando lugar a ataques de intermediario.
Vulnerabilidad en Microsoft Corporation (CVE-2025-49707)
Severidad: ALTA
Fecha de publicación: 12/08/2025
Fecha de última actualización: 20/08/2025
El control de acceso inadecuado en Azure Virtual Machines permite que un atacante autorizado realice suplantación de identidad localmente.
Vulnerabilidad en Organization Portal System (CVE-2025-8909)
Severidad: ALTA
Fecha de publicación: 13/08/2025
Fecha de última actualización: 21/08/2025
Organization Portal System desarrollado por WellChoose tiene una vulnerabilidad de lectura arbitraria de archivos, que permite a atacantes remotos con privilegios regulares explotar Absolute Path Traversal para descargar archivos de sistema arbitrarios.
Vulnerabilidad en Organization Portal System (CVE-2025-8910)
Severidad: MEDIA
Fecha de publicación: 13/08/2025
Fecha de última actualización: 21/08/2025
Organization Portal System desarrollado por WellChoose tiene una vulnerabilidad de Cross-site Scripting reflejado, que permite a atacantes remotos no autenticados ejecutar códigos JavaScript arbitrarios en el navegador del usuario a través de ataques de phishing.
Vulnerabilidad en Organization Portal System (CVE-2025-8911)
Severidad: MEDIA
Fecha de publicación: 13/08/2025
Fecha de última actualización: 21/08/2025
Organization Portal System desarrollado por WellChoose tiene una vulnerabilidad de Cross-site Scripting reflejado, que permite a atacantes remotos no autenticados ejecutar códigos JavaScript arbitrarios en el navegador del usuario a través de ataques de phishing.
Vulnerabilidad en Organization Portal System (CVE-2025-8912)
Severidad: ALTA
Fecha de publicación: 13/08/2025
Fecha de última actualización: 21/08/2025
Organization Portal System desarrollado por WellChoose tiene una vulnerabilidad de lectura arbitraria de archivos, que permite a atacantes remotos no autenticados explotar Absolute Path Traversal para descargar archivos de sistema arbitrarios.
Vulnerabilidad en Organization Portal System (CVE-2025-8913)
Severidad: CRÍTICA
Fecha de publicación: 13/08/2025
Fecha de última actualización: 21/08/2025
Organization Portal System desarrollado por WellChoose tiene una vulnerabilidad de inclusión de archivos locales, que permite a atacantes remotos no autenticados ejecutar código arbitrario en el servidor.
Vulnerabilidad en Organization Portal System (CVE-2025-8914)
Severidad: ALTA
Fecha de publicación: 13/08/2025
Fecha de última actualización: 21/08/2025
Organization Portal System desarrollado por WellChoose tiene una vulnerabilidad de inyección SQL, que permite a atacantes remotos no autenticados inyectar comandos SQL arbitrarios para leer el contenido de la base de datos.
Vulnerabilidad en Autodesk AutoCAD (CVE-2025-5046)
Severidad: ALTA
Fecha de publicación: 15/08/2025
Fecha de última actualización: 20/08/2025
Un archivo DGN manipulado con fines maliciosos, al vincularse o importarse a Autodesk AutoCAD, puede forzar una vulnerabilidad de lectura fuera de los límites. Un agente malicioso puede aprovechar esta vulnerabilidad para provocar un bloqueo, leer datos confidenciales o ejecutar código arbitrario en el contexto del proceso actual.
Vulnerabilidad en Autodesk AutoCAD (CVE-2025-5047)
Severidad: ALTA
Fecha de publicación: 15/08/2025
Fecha de última actualización: 20/08/2025
Un archivo DGN manipulado con fines maliciosos, al analizarse mediante Autodesk AutoCAD, puede forzar una vulnerabilidad de variable no inicializada. Un agente malintencionado puede aprovechar esta vulnerabilidad para provocar un bloqueo, leer datos confidenciales o ejecutar código arbitrario en el contexto del proceso actual.
Vulnerabilidad en Autodesk AutoCAD (CVE-2025-5048)
Severidad: ALTA
Fecha de publicación: 15/08/2025
Fecha de última actualización: 20/08/2025
Un archivo DGN manipulado con fines maliciosos, al vincularse o importarse a Autodesk AutoCAD, puede generar una vulnerabilidad de corrupción de memoria. Un agente malicioso puede aprovechar esta vulnerabilidad para ejecutar código arbitrario en el contexto del proceso actual.
Vulnerabilidad en NamelessMC (CVE-2025-54117)
Severidad: CRÍTICA
Fecha de publicación: 18/08/2025
Fecha de última actualización: 20/08/2025
NamelessMC es un software web gratuito, fácil de usar y potente para servidores de Minecraft. Una vulnerabilidad de Cross-site scripting (XSS) en NamelessMC anterior a la versión 2.2.3 permite a atacantes remotos autenticados inyectar código web o HTML arbitrario a través del editor de texto del panel. Esta vulnerabilidad se corrigió en la versión 2.2.4.
Vulnerabilidad en NamelessMC (CVE-2025-54118)
Severidad: MEDIA
Fecha de publicación: 18/08/2025
Fecha de última actualización: 20/08/2025
NamelessMC es un software web gratuito, fácil de usar y potente para servidores de Minecraft. La divulgación de información confidencial en NamelessMC anterior a la versión 2.2.4 permite que un atacante remoto no autenticado obtenga información confidencial, como la ruta absoluta del código fuente, mediante el parámetro de lista. Esta vulnerabilidad se corrige en la versión 2.2.4.
Vulnerabilidad en NamelessMC (CVE-2025-54421)
Severidad: ALTA
Fecha de publicación: 18/08/2025
Fecha de última actualización: 20/08/2025
NamelessMC es un software web gratuito, fácil de usar y potente para servidores de Minecraft. Una vulnerabilidad de Cross-site scripting (XSS) en NamelessMC anterior a la versión 2.2.4 permite a atacantes remotos autenticados inyectar código web o HTML arbitrario mediante el parámetro `default_keywords`. Esta vulnerabilidad se corrigió en la versión 2.2.4.