Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Dos nuevos avisos de seguridad

Índice

  • Múltiples vulnerabilidades en appRain CMF
  • Múltiples vulnerabilidades en productos de VMware

Múltiples vulnerabilidades en appRain CMF

Fecha04/09/2025
Importancia4 - Alta
Recursos Afectados
  • appRain CMF, versión 4.0.5.
Descripción

INCIBE ha coordinado la publicación de 32 vulnerabilidades, 4 de severidad alta y 28 de severidad media, que afectan a appRain CMF (Content Management Framework). Las vulnerabilidades han sido descubiertas por Rafael Pedrero.

A estas vulnerabilidades se les han asignado los siguientes códigos, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE de cada vulnerabilidad:

  • de CVE-2025-41032 a CVE-2025-41034: CVSS v4.0: 8.7 | CVSS AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N | CWE-89
  • CVE-2025-41035: CVSS v4.0: 7.1 | CVSS AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N | CWE-22
  • de CVE-2025-41036 a CVE-2025-41061: CVSS v4.0: 5.1 | CVSS AV:N/AC:L/AT:N/PR:L/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N | CWE-79
  • de CVE-2025-41062 a CVE-2025-41063: CVSS v4.0: 4.8 | CVSS AV:N/AC:L/AT:N/PR:L/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N | CWE-79
Solución

No hay solución reportada por el momento. 

Detalle
  • Se ha encontrado una vulnerabilidad de inyección SQL en appRain CMF 4.0.5. Esta vulnerabilidad permite a un atacante recuperar, crear, actualizar y eliminar la base de datos. La lista de parámetros e identificadores asignados es la siguiente:
    • CVE-2025-41032: parámetro 'data%5BAdmin%5D%5Busername%5D' en /apprain/incibe-cert/tags/manage/add/.
    • CVE-2025-41033: parámetro 'data%5BPage%5D%5Bname%5D' en /apprain/page/manage-dynamic-pages/create.
    • CVE-2025-41034: parámetro 'data%5BPage%5D%5Bname%5D' en /apprain/page/manage-static-pages/create/.
  • CVE-2025-41035: se ha descubierto un problema en appRain CMF 4.0.5. Una vulnerabilidad de Path Traversal autenticada en /apprain/common/download/ permite a usuarios remotos eludir las restricciones de SecurityManager previstas y descargar cualquier archivo si tiene permisos adecuados fuera de la documentroot configurada en el servidor a través de la ruta base64 después de /download/.
  • Se ha descubierto una vulnerabilidad en appRain CMF versión 4.0.5, que consiste en un XSS autenticado almacenado debido a la falta de validación adecuada de las entradas de usuario. La lista de parámetros e identificadores asignados es la siguiente:
    • CVE-2025-41036: parámetros 'data[Admin][description]', 'data[Admin][f_name]' y 'data[Admin][l_name]' en /apprain/incibe-cert/tags/account/edit.
    • CVE-2025-41037: parámetro 'data[FileManager][search]' en /apprain/incibe-cert/tags/filemanager.
    • CVE-2025-41038: parámetro 'data[Group][name]' en /apprain/incibe-cert/tags/managegroup/add/.
    • CVE-2025-41039: parámetros 'data[sconfig][admin_landing_page]', 'data[sconfig][currency]', 'data[sconfig][db_version]', 'data[sconfig][default_pagination]', 'data[sconfig][emailsetup_from_email]', 'data[sconfig][emailsetup_host]', 'data[sconfig][emailsetup_password]', 'data[sconfig][emailsetup_port]', 'data[sconfig][emailsetup_username]', 'data[sconfig][fileresource_id]', 'data[sconfig][large_image_height]', 'data[sconfig][large_image_width]' y 'data[sconfig][time_zone_padding]' en /apprain/incibe-cert/tags/config/opts.
    • parámetros 'data[code]', 'data[lang][0][key]', 'data[lang][0][value]', 'data[lang][1][key]' y 'data[title]' en:
      • CVE-2025-41040: /apprain/developer/language/lipsum.xml.
      • CVE-2025-41041: /apprain/developer/language/default.xml.
    • CVE-2025-41042: parámetros 'data[Option][message]', 'data[Option][subject]' y 'data[Option][templatetype]' en /apprain/information/manage/emailtemplate/add.
    • CVE-2025-41043: parámetros 'data[AppReportCode][id]' y 'data[AppReportCode][name]' en /apprain/appreport/manage/.
    • CVE-2025-41044: parámetro 'data[Page][name]' en /apprain/page/manage-static-pages/create.
    • CVE-2025-41045: parámetro 'data[sconfig][ethical_licensekey]' en /apprain/incibe-cert/tags/config/ethical.
    • parámetros 'data[Addon][layouts]' y 'data[Addon][layouts_except]' en:
      • CVE-2025-41046: /apprain/developer/addons/update/960grid.
      • CVE-2025-41047: /apprain/developer/addons/update/ace.
      • CVE-2025-41048: /apprain/developer/addons/update/admin.
      • CVE-2025-41049: /apprain/developer/addons/update/appform.
      • CVE-2025-41050: /apprain/developer/addons/update/base_libs.
      • CVE-2025-41051: /apprain/developer/addons/update/bootstrap.
      • CVE-2025-41052: /apprain/developer/addons/update/canvasjs.
      • CVE-2025-41053: /apprain/developer/addons/update/commonresource.
      • CVE-2025-41054: /apprain/developer/addons/update/cycle.
      • CVE-2025-41055: /apprain/developer/addons/update/dialogs.
      • CVE-2025-41056: /apprain/developer/addons/update/hysontable.
      • CVE-2025-41057: /apprain/developer/addons/update/rich_text_editor.
      • CVE-2025-41058: /apprain/developer/addons/update/row_manager.
      • CVE-2025-41059: /apprain/developer/addons/update/tablesorter.
      • CVE-2025-41060: /apprain/developer/addons/update/tree.
      • CVE-2025-41061: /apprain/developer/addons/update/uploadify.
  • Se ha descubierto una vulnerabilidad en la versión 4.0.5 de appRain CMF, que consiste en un XSS autenticado reflejado debido a la falta de validación adecuada de las entradas de usuario. La lista de parámetros e identificadores asignados es la siguiente:
    • CVE-2025-41062: parámetro 'page' en /apprain/developer/addons.
    • CVE-2025-41063: parámetro 's' en /apprain/developer/debug-log/db.

Múltiples vulnerabilidades en productos de VMware

Fecha04/09/2025
Importancia5 - Crítica
Recursos Afectados
  • Consola de administración VMware Tanzu GemFire ​​versiones anteriores a 1.4.0.
  • VMware Tanzu Greenplum versiones anteriores a 7.5.4.
Descripción

VMware a publicado dos avisos de seguridad con 42 vulnerabilidades de las cuales 8 son de severidad crítica y de ser explotadas podrían permitir acceso no autorizado, manipulación de solicitudes HTTP, denegación de servicio, escritura arbitraria en el sistema de archivos, generación de colisiones o ejecución remota de código.

Solución

Actualizar a las últimas versiones disponibles:

  • Consola de administración VMware Tanzu GemFire ​​versión 1.4.0.
  • VMware Tanzu Greenplum 7.5.4.
Detalle

Las vulnerabilidades de severidad critica se resumen a continuación:

  • CVE-2024-45337: las aplicaciones y bibliotecas que hacen un uso indebido de connection.serverAuthenticate (mediante el campo de devolución de llamada ServerConfig.PublicKeyCallback) pueden ser susceptibles a una omisión de autorización.
  • CVE-2024-41110: vulnerabilidad en ciertas versiones de Docker Engine que podría permitir a un atacante eludir los complementos de autorización (AuthZ) en circunstancias específicas.
  • CVE-2025-22871: Un paquete net/http acepta incorrectamente un LF simple como terminador de línea en líneas de datos fragmentados. Esto puede permitir la manipulación de solicitudes.
  • CVE-2025-30204: ante una solicitud maliciosa cuyo encabezado de autorización consiste en "Bearer" seguido de muchos puntos, una llamada a dicha función genera asignaciones de O(n) bytes, con un factor constante de aproximadamente 16.
  • CVE-2024-7804: falta de verificación de seguridad durante el proceso de deserialización de objetos PythonUDF en pytorch/torch/distributed/rpc/internal.py. Esto permite a un atacante ejecutar código arbitrario remotamente.
  • CVE-2023-39631: un problema en LanChain-ai permite que un atacante remoto ejecute código arbitrario a través de la función de evaluación en la biblioteca numexpr.
  • CVE-2025-4517: permite escrituras arbitrarias en el sistema de archivos fuera del directorio de extracción durante la extracción con filter="data".
  • CVE-2025-9288: la vulnerabilidad de validación de entrada incorrecta en sha.js permite la manipulación de datos de entrada.