Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

• Vulnerabilidad en linlinjava litemall v.1.8.0 (CVE-2024-24323)
  Severidad: ALTA
  Fecha de publicación: 27/02/2024
  Fecha de última actualización: 15/09/2025
  Vulnerabilidad de inyección SQL en linlinjava litemall v.1.8.0 permite a un atacante remoto obtener información confidencial a través de los parámetros apodo, consignatario, orderSN, orderStatusArray del componente AdminOrdercontroller.java.
  
• Vulnerabilidad en phpseclib (CVE-2024-27354)
  Severidad: ALTA
  Fecha de publicación: 01/03/2024
  Fecha de última actualización: 15/09/2025
  Se descubrió un problema en phpseclib 1.x anterior a 1.0.23, 2.x anterior a 2.0.47 y 3.x anterior a 3.0.36. Un atacante puede crear un certificado con formato incorrecto que contenga un valor principal extremadamente grande para provocar una denegación de servicio (consumo de CPU para una verificación de primalidad de isPrime). NOTA: este problema se introdujo al intentar solucionar CVE-2023-27560.
  
• Vulnerabilidad en phpseclib (CVE-2024-27355)
  Severidad: ALTA
  Fecha de publicación: 01/03/2024
  Fecha de última actualización: 15/09/2025
  Se descubrió un problema en phpseclib 1.x anterior a 1.0.23, 2.x anterior a 2.0.47 y 3.x anterior a 3.0.36. Al procesar el identificador de objeto ASN.1 de un certificado, se puede proporcionar un subidentificador que conduzca a una denegación de servicio (consumo de CPU para decodeOID).
  
• Vulnerabilidad en TYPO3 (CVE-2024-22188)
  Severidad: ALTA
  Fecha de publicación: 05/03/2024
  Fecha de última actualización: 15/09/2025
  TYPO3 anterior a 13.0.1 permite a un usuario administrador autenticado (con privilegios de mantenimiento del sistema) ejecutar comandos de shell arbitrarios (con los privilegios del servidor web) a través de una vulnerabilidad de inyección de comandos en los campos de formulario de la herramienta de instalación. Las versiones fijas son 8.7.57 ELTS, 9.5.46 ELTS, 10.4.43 ELTS, 11.5.35 LTS, 12.4.11 LTS y 13.0.1.
  
• Vulnerabilidad en Sentry (CVE-2024-32474)
  Severidad: ALTA
  Fecha de publicación: 18/04/2024
  Fecha de última actualización: 15/09/2025
  Sentry es una plataforma de seguimiento de errores y supervisión del rendimiento. Antes de 24.4.1, al autenticarse como superusuario en Sentry con un nombre de usuario y contraseña, la contraseña se filtraba como texto plano en los registros bajo el _event_: `auth-index.validate_superuser`. Un atacante con acceso a los datos de registro podría utilizar estas credenciales filtradas para iniciar sesión en el sistema Sentry como superusuario. Los usuarios autohospedados de las versiones afectadas deben actualizar a 24.4.1 o posterior. Los usuarios pueden configurar el nivel de registro para excluir registros del nivel "INFO" y solo generar registros para niveles en "ADVERTENCIA" o más.
  
• Vulnerabilidad en ARM mbed-os v.6.17.0 (CVE-2024-22905)
  Severidad: ALTA
  Fecha de publicación: 19/04/2024
  Fecha de última actualización: 15/09/2025
  Vulnerabilidad de desbordamiento de búfer en ARM mbed-os v.6.17.0 permite a un atacante remoto ejecutar código arbitrario a través de un script manipulado para la función hciTrSerialRxIncoming.
  
• Vulnerabilidad en Tormach xsTECH CNC Router, PathPilot Controller v2.9.6 (CVE-2024-22807)
  Severidad: MEDIA
  Fecha de publicación: 22/04/2024
  Fecha de última actualización: 15/09/2025
  Un problema en Tormach xsTECH CNC Router, PathPilot Controller v2.9.6 permite a los atacantes borrar un sector crítico de la memoria flash, lo que hace que la máquina pierda conectividad de red y sufra daños en el firmware.
  
• Vulnerabilidad en Tormach xsTECH CNC Router, PathPilot Controller v2.9.6 (CVE-2024-22808)
  Severidad: ALTA
  Fecha de publicación: 22/04/2024
  Fecha de última actualización: 15/09/2025
  Un problema en Tormach xsTECH CNC Router, PathPilot Controller v2.9.6 permite a los atacantes provocar una denegación de servicio (DoS) al interrumpir la comunicación entre el controlador PathPilot y el enrutador CNC sobrescribiendo el nombre de la tarjeta en la memoria del dispositivo.
  
• Vulnerabilidad en LoMag WareHouse Management (CVE-2024-32213)
  Severidad: MEDIA
  Fecha de publicación: 01/05/2024
  Fecha de última actualización: 15/09/2025
  Se descubrió que la aplicación LoMag WareHouse Management versión 1.0.20.120 y anteriores permitía contraseñas débiles. De forma predeterminada, se permiten contraseñas codificadas de 10 caracteres con poca o ninguna complejidad.
  
• Vulnerabilidad en Tencent Lippag v4.3 (CVE-2024-33078)
  Severidad: CRÍTICA
  Fecha de publicación: 01/05/2024
  Fecha de última actualización: 15/09/2025
  Tencent Lippag v4.3 es vulnerable al desbordamiento de búfer. Un usuario puede enviar una imagen manipulada para desencadenar un desbordamiento que conduzca a la ejecución remota de código.
  
• Vulnerabilidad en stsaz phiola v2.0-rc22 (CVE-2024-33428)
  Severidad: ALTA
  Fecha de publicación: 01/05/2024
  Fecha de última actualización: 15/09/2025
  Vulnerabilidad de desbordamiento de búfer en conv.c:68 de stsaz phiola v2.0-rc22 permite a un atacante remoto ejecutar código arbitrario a través de un archivo .wav manipulado.
  
• Vulnerabilidad en Sentry (CVE-2024-41656)
  Severidad: ALTA
  Fecha de publicación: 23/07/2024
  Fecha de última actualización: 15/09/2025
  Sentry es una plataforma de seguimiento de errores y supervisión del rendimiento. A partir de la versión 10.0.0 y antes de la versión 24.7.1, un payload no saneado enviado por una integración de plataforma de integración permite almacenar etiquetas HTML arbitrarias en el lado de Sentry y luego representarlas en la página de Issues. Los usuarios de Sentry autohospedados pueden verse afectados en caso de integraciones de plataformas de integración no confiables que envíen problemas externos de su lado a Sentry. Se lanzó un parche en Sentry 24.7.1. Para los clientes de Sentry SaaS, no es necesario realizar ninguna acción. Esto fue parcheado el 23 de julio e incluso antes de la solución, la explotación no era posible debido a la estricta Política de seguridad de contenido implementada en el sitio sentry.io. Para los usuarios autohospedados, los mantenedores de Sentry recomiendan encarecidamente actualizar Sentry a la última versión. Si no es posible, se podría habilitar CSP en la instalación autohospedada con `CSP_REPORT_ONLY = False` (enforcing mode). Esto mitigará el riesgo de Cross Site Scripting.
  
• Vulnerabilidad en Sentry (CVE-2024-53253)
  Severidad: MEDIA
  Fecha de publicación: 22/11/2024
  Fecha de última actualización: 15/09/2025
  Sentry es una plataforma de seguimiento de errores y monitoreo de rendimiento. La versión 24.11.0, y solo la versión 24.11.0, es vulnerable a un escenario en el que un mensaje de error específico generado por la plataforma Sentry podría incluir un ID de cliente y un secreto de cliente en texto plano para una integración de aplicaciones. El ID de cliente y el secreto de cliente no se mostrarían en la interfaz de usuario, pero se devolverían en la respuesta HTTP subyacente al usuario final. Esto podría ocurrir en las siguientes condiciones: una instalación de aplicación hizo uso de un componente de interfaz de usuario de búsqueda con el indicador `async` establecido en verdadero (valor predeterminado: verdadero); un usuario escribe en el componente de búsqueda que crea una solicitud al tercero para obtener resultados de búsqueda o consulta; y esa respuesta de terceros puede fallar en la validación y Sentry devolvería el código de error `select-requester.invalid-response` junto con una versión serializada de una aplicación Sentry que contiene el secreto de cliente de integración. Si se encuentra este error, es razonable suponer la posible exposición de un secreto de cliente de integración. Sin embargo, un par de ID y secreto por sí solo no proporciona acceso directo a ningún dato. Para que se abuse de ese secreto, un atacante también necesitaría obtener un token de API válido para una aplicación Sentry. Los usuarios de Sentry SaaS no necesitan realizar ninguna acción. Para los usuarios de Sentry SaaS, solo se vio afectada una única integración de aplicación y el propietario ha rotado su secreto de cliente. No se ha producido ningún abuso del secreto de cliente filtrado. Al momento de la publicación, hay una solución disponible para los usuarios de Sentry autoalojado en la solicitud de extracción 81038. Sentry autoalojado no se envía con ninguna integración de aplicaciones. Esto solo podría afectar a los usuarios autoalojados que mantienen sus propias integraciones. En ese caso, busque un evento `select-requester.invalid-response`. Tenga en cuenta que este error también se compartió con otro evento no relacionado con este aviso, por lo que los usuarios autoalojados de Sentry también deberán revisar los parámetros registrados para cada evento nombrado. Los usuarios autoalojados de Sentry pueden revisar `select_requester.py` para las instancias en las que se pueden generar estos errores. Con la solución de seguridad, este ya no es un tipo de evento compartido. Los usuarios alojados en Sentry no pueden instalar la versión 24.11.0 y, en su lugar, esperar a la próxima versión. Las instancias alojadas en Sentry que ya estén ejecutando la versión afectada pueden considerar la posibilidad de actualizar a la versión 24.10.0.
  
• Vulnerabilidad en Prestashop 8.1.4 (CVE-2024-36626)
  Severidad: MEDIA
  Fecha de publicación: 29/11/2024
  Fecha de última actualización: 15/09/2025
  En Prestashop 8.1.4, se identificó una desreferencia de puntero NULL en la función math_round dentro de Tools.php.
  
• Vulnerabilidad en O2OA 9.1.3 (CVE-2025-22994)
  Severidad: MEDIA
  Fecha de publicación: 31/01/2025
  Fecha de última actualización: 15/09/2025
  O2OA 9.1.3 es vulnerable a Cross Site Scripting (XSS) en Reuniones - Configuración.
  
• Vulnerabilidad en dhtmlxFileExplorer v.8.4.6 (CVE-2024-55213)
  Severidad: MEDIA
  Fecha de publicación: 07/02/2025
  Fecha de última actualización: 15/09/2025
  La vulnerabilidad de directory traversal en dhtmlxFileExplorer v.8.4.6 permite a un atacante remoto obtener información confidencial a través de la función de listado de archivos.
  
• Vulnerabilidad en dhtmlxFileExplorer v.8.4.6 (CVE-2024-55214)
  Severidad: MEDIA
  Fecha de publicación: 07/02/2025
  Fecha de última actualización: 15/09/2025
  La vulnerabilidad de inclusión de archivos locales en dhtmlxFileExplorer v.8.4.6 permite a un atacante remoto obtener información confidencial a través de la funcionalidad de descarga de archivos.
  
• Vulnerabilidad en Gleamtech FileVista 9.2.0.0 (CVE-2024-57248)
  Severidad: MEDIA
  Fecha de publicación: 07/02/2025
  Fecha de última actualización: 15/09/2025
  Directory Traversal durante la carga de archivos en Gleamtech FileVista 9.2.0.0 permite a atacantes remotos lograr la ejecución de código, la divulgación de información y la escalada de privilegios mediante la inyección de payloads en solicitudes HTTP para manipular rutas de archivos, eludir controles de acceso y cargar archivos maliciosos.
  
• Vulnerabilidad en Gleamtech FileVista 9.2.0.0 (CVE-2024-57249)
  Severidad: MEDIA
  Fecha de publicación: 07/02/2025
  Fecha de última actualización: 15/09/2025
  Un control de acceso incorrecto en la función de vista previa de Gleamtech FileVista 9.2.0.0 permite a atacantes remotos obtener acceso no autorizado mediante la explotación de una vulnerabilidad en los mecanismos de control de acceso eliminando los encabezados HTTP relacionados con la autenticación, como el encabezado Cookie, en la solicitud. Esto evita el proceso de autenticación y otorga a los atacantes acceso a archivos de imágenes confidenciales sin las credenciales de inicio de sesión adecuadas.
  
• Vulnerabilidad en LuxCal Web Calendar (CVE-2025-25221)
  Severidad: CRÍTICA
  Fecha de publicación: 18/02/2025
  Fecha de última actualización: 15/09/2025
  LuxCal Web Calendar antes de 5.3.3m (versión MySQL) y antes de 5.3.3L (versión SQLite) contiene una vulnerabilidad de inyección SQL en PDF.PHP. Si se explota esta vulnerabilidad, la información en una base de datos puede eliminarse, alterarse o recuperarse.
  
• Vulnerabilidad en LuxCal Web Calendar (CVE-2025-25222)
  Severidad: CRÍTICA
  Fecha de publicación: 18/02/2025
  Fecha de última actualización: 15/09/2025
  LuxCal Web Calendar antes de 5.3.3m (versión MySQL) y antes de 5.3.3L (versión SQLite) contiene una vulnerabilidad de inyección SQL en Retrieve.php. Si se explota esta vulnerabilidad, la información en una base de datos puede eliminarse, alterarse o recuperarse.
  
• Vulnerabilidad en LuxCal Web Calendar (CVE-2025-25223)
  Severidad: MEDIA
  Fecha de publicación: 18/02/2025
  Fecha de última actualización: 15/09/2025
  LuxCal Web Calendar antes de 5.3.3m (versión MySQL) y antes de 5.3.3L (versión sqlite) contiene una vulnerabilidad Path Traversal en dloader.php. Si se explota esta vulnerabilidad, se pueden obtener archivos arbitrarios en un servidor.
  
• Vulnerabilidad en LuxCal Web Calendar (CVE-2025-25224)
  Severidad: ALTA
  Fecha de publicación: 18/02/2025
  Fecha de última actualización: 15/09/2025
  LuxCal Web Calendar antes de 5.3.3m (versión MySQL) y antes de 5.3.3L (versión SQLite) contiene una vulnerabilidad de autenticación faltante en dloader.php. Si se explota esta vulnerabilidad, se pueden obtener archivos arbitrarios en un servidor.
  
• Vulnerabilidad en Roo Code (CVE-2025-53098)
  Severidad: ALTA
  Fecha de publicación: 27/06/2025
  Fecha de última actualización: 15/09/2025
  Roo Code es un agente de codificación autónomo basado en IA. La configuración de MCP específica del proyecto para el agente de Roo Code se almacena en el archivo `.roo/mcp.json` dentro del espacio de trabajo de VS Code. Dado que el formato de configuración de MCP permite la ejecución de comandos arbitrarios, antes de la versión 3.20.3, un atacante con acceso habría podido manipular un mensaje para solicitar al agente que escribiera un comando malicioso en el archivo de configuración de MCP. Si el usuario hubiera habilitado la aprobación automática de escrituras de archivos dentro del proyecto, esto habría provocado la ejecución de comandos arbitrarios. Este problema es de gravedad moderada, ya que requiere que el atacante ya pueda enviar mensajes al agente (por ejemplo, mediante un ataque de inyección de mensajes), que el usuario tenga MCP habilitado (activado por defecto) y que tenga habilitada la aprobación automática de escrituras de archivos (desactivada por defecto). La versión 3.20.3 corrige el problema agregando una capa adicional de configuración opt-in para aprobar automáticamente la escritura en los archivos de configuración de Roo, incluidos todos los archivos dentro de la carpeta `.roo/`.
  
• Vulnerabilidad en Sentry (CVE-2025-53099)
  Severidad: MEDIA
  Fecha de publicación: 01/07/2025
  Fecha de última actualización: 15/09/2025
  Sentry es una herramienta de seguimiento de errores y monitorización del rendimiento centrada en el desarrollador. Antes de la versión 25.5.0, un atacante con una aplicación OAuth maliciosa registrada en Sentry podía aprovechar una condición de ejecución y la gestión incorrecta del código de autorización en Sentry para mantener la persistencia en la cuenta de un usuario. Con solicitudes y flujos de redirección con tiempos específicos, un atacante podía generar múltiples códigos de autorización que se podían usar para intercambiar tokens de acceso y actualización. Esto era posible incluso después de desautorizar la aplicación en cuestión. Este problema se ha corregido en la versión 25.5.0. Los usuarios de Sentry autoalojado deben actualizar a la versión 25.5.0 o superior. Los usuarios de Sentry SaaS no necesitan realizar ninguna acción.
  
• Vulnerabilidad en BoyunCMS (CVE-2025-7099)
  Severidad: MEDIA
  Fecha de publicación: 07/07/2025
  Fecha de última actualización: 15/09/2025
  Se ha detectado una vulnerabilidad en BoyunCMS hasta la versión 1.21 en PHP7, clasificada como crítica. Esta vulnerabilidad afecta a una funcionalidad desconocida del archivo install/install2.php del componente Installation Handler. La manipulación del argumento db_host provoca la deserialización. El ataque puede ejecutarse en remoto. Es un ataque de complejidad bastante alta. Parece difícil de explotar. Se ha hecho público el exploit y puede que sea utilizado.
  
• Vulnerabilidad en BoyunCMS (CVE-2025-7100)
  Severidad: MEDIA
  Fecha de publicación: 07/07/2025
  Fecha de última actualización: 15/09/2025
  Se encontró una vulnerabilidad en BoyunCMS hasta la versión 1.4.20, clasificada como crítica. Este problema afecta a una funcionalidad desconocida del archivo /application/user/controller/Index.php. La manipulación del argumento "image" permite la carga sin restricciones. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado.
  
• Vulnerabilidad en BoyunCMS (CVE-2025-7101)
  Severidad: MEDIA
  Fecha de publicación: 07/07/2025
  Fecha de última actualización: 15/09/2025
  Se encontró una vulnerabilidad en BoyunCMS hasta la versión 1.4.20. Se ha clasificado como crítica. Afecta una parte desconocida del archivo /install/install_ok.php del componente "Configuration File Handler". La manipulación del argumento db_pass provoca la inyección de código. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado.
  
• Vulnerabilidad en BoyunCMS (CVE-2025-7102)
  Severidad: MEDIA
  Fecha de publicación: 07/07/2025
  Fecha de última actualización: 15/09/2025
  Se encontró una vulnerabilidad en BoyunCMS hasta la versión 1.4.20. Se ha declarado crítica. Esta vulnerabilidad afecta al código desconocido del archivo application/update/controller/Server.php. La manipulación del argumento phone provoca una inyección SQL. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado.
  
• Vulnerabilidad en BoyunCMS (CVE-2025-7103)
  Severidad: MEDIA
  Fecha de publicación: 07/07/2025
  Fecha de última actualización: 15/09/2025
  Se encontró una vulnerabilidad en BoyunCMS hasta la versión 1.4.20. Se ha clasificado como crítica. Este problema afecta a un procesamiento desconocido del archivo /application/pay/controller/Index.php del componente curl. La manipulación provoca server-side request forgery. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado.
  
• Vulnerabilidad en Roo Code (CVE-2025-53536)
  Severidad: ALTA
  Fecha de publicación: 07/07/2025
  Fecha de última actualización: 15/09/2025
  Roo Code es un agente de codificación autónomo basado en IA. Antes de la versión 3.22.6, si la víctima tenía la opción "Escribir" aprobada automáticamente, un atacante con la capacidad de enviar solicitudes al agente podía escribir en los archivos de configuración de VS Code y activar la ejecución del código. Había varias maneras de lograrlo. Un ejemplo es la configuración php.validate.executablePath, que permite establecer la ruta del ejecutable PHP para la validación de sintaxis. El atacante podría haber escrito la ruta a un comando arbitrario y luego haber creado un archivo PHP para activarlo. Esta vulnerabilidad se corrigió en la versión 3.22.6.
  
• Vulnerabilidad en Indico (CVE-2025-53640)
  Severidad: MEDIA
  Fecha de publicación: 14/07/2025
  Fecha de última actualización: 15/09/2025
  Indico es un sistema de gestión de eventos que utiliza Flask-Multipass, un sistema de autenticación multibackend para Flask. A partir de la versión 2.2 y anteriores a la 3.3.7, un endpoint utilizado para mostrar la información de los usuarios en ciertos campos (como las ACL) podía utilizarse indebidamente para volcar información básica del usuario (como nombre, afiliación y correo electrónico) de forma masiva. La versión 3.3.7 soluciona este problema. Los propietarios de instancias que permiten a cualquier persona crear una cuenta de usuario y que deseen restringir el acceso a esta información de usuario deberían considerar restringir la búsqueda de usuarios a los administradores. Como solución alternativa, es posible restringir el acceso a los endpoints afectados (por ejemplo, en la configuración del servidor web); sin embargo, esto interrumpiría el funcionamiento de ciertos campos de formulario, que ya no mostrarían la información de los usuarios incluidos en ellos, por lo que se recomienda encarecidamente actualizar la versión.
  
• Vulnerabilidad en Eluktronics Control Center (CVE-2025-7883)
  Severidad: ALTA
  Fecha de publicación: 20/07/2025
  Fecha de última actualización: 15/09/2025
  Se ha detectado una vulnerabilidad crítica en Eluktronics Control Center 5.23.51.41. La vulnerabilidad se ve afectada por una función desconocida del archivo \AiStoneService\MyControlCenter\Command del componente PowerShell Script Handler. La manipulación provoca la inyección de comandos. Es necesario atacar localmente. Se ha hecho público el exploit y puede que sea utilizado. Se contactó al proveedor con antelación para informarle sobre esta divulgación, pero no respondió.
  
• Vulnerabilidad en Eluktronics Control Center (CVE-2025-7884)
  Severidad: MEDIA
  Fecha de publicación: 20/07/2025
  Fecha de última actualización: 15/09/2025
  Se encontró una vulnerabilidad clasificada como problemática en Eluktronics Control Center 5.23.51.41. Esta vulnerabilidad afecta a una funcionalidad desconocida del componente REG File Handler. La manipulación provoca una verificación insuficiente de la autenticidad de los datos. Es posible lanzar el ataque contra el host local. Se ha hecho público el exploit y puede que sea utilizado. Se contactó al proveedor con antelación sobre esta divulgación, pero no respondió.
  
• Vulnerabilidad en Huashengdun WebSSH (CVE-2025-7885)
  Severidad: MEDIA
  Fecha de publicación: 20/07/2025
  Fecha de última actualización: 15/09/2025
  Se ha detectado una vulnerabilidad clasificada como problemática en Huashengdun WebSSH hasta la versión 1.6.2. Este problema afecta a una funcionalidad desconocida del componente "Login Page". La manipulación del argumento "hostname/port" provoca ataques de Cross-Site Scripting. El ataque podría ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado. Se contactó al proveedor con antelación para informarle sobre esta divulgación, pero no respondió.
  
• Vulnerabilidad en Zavy86 WikiDocs (CVE-2025-7887)
  Severidad: MEDIA
  Fecha de publicación: 20/07/2025
  Fecha de última actualización: 15/09/2025
  Se ha encontrado una vulnerabilidad en Zavy86 WikiDocs hasta la versión 1.0.78, clasificada como problemática. Esta vulnerabilidad afecta al código desconocido del archivo template.inc.php. La manipulación de la ruta de argumentos provoca ataques de Cross-Site Scripting. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado.
  
• Vulnerabilidad en CallApp Caller ID App (CVE-2025-7889)
  Severidad: MEDIA
  Fecha de publicación: 20/07/2025
  Fecha de última actualización: 15/09/2025
  Se encontró una vulnerabilidad en CallApp Caller ID App (hasta la versión 2.0.4) para Android. Se ha clasificado como problemática. Afecta a una función desconocida del archivo AndroidManifest.xml del componente caller.id.phone.number.block. La manipulación provoca la exportación incorrecta de componentes de la aplicación Android. Es posible lanzar el ataque en el host local. Se ha hecho público el exploit y puede que sea utilizado. Se contactó al proveedor con antelación sobre esta divulgación, pero no respondió.
  
• Vulnerabilidad en neurobin shc (CVE-2025-9174)
  Severidad: MEDIA
  Fecha de publicación: 19/08/2025
  Fecha de última actualización: 15/09/2025
  Se detectó una vulnerabilidad en neurobin shc hasta la versión 4.0.3. Esta vulnerabilidad afecta la función "make" del archivo src/shc.c del componente Filename Handler. La manipulación puede provocar la inyección de comandos del sistema operativo. El ataque solo puede ejecutarse localmente. Se ha hecho público el exploit y puede que sea utilizado.
  
• Vulnerabilidad en IBM QRadar SIEM (CVE-2025-33120)
  Severidad: ALTA
  Fecha de publicación: 22/08/2025
  Fecha de última actualización: 15/09/2025
  IBM QRadar SIEM 7.5 a 7.5.0 UP13 podría permitir que un usuario autenticado aumente sus privilegios a través de un cronjob mal configurado debido a la ejecución con privilegios innecesarios.
  
• Vulnerabilidad en IBM QRadar SIEM (CVE-2025-36042)
  Severidad: MEDIA
  Fecha de publicación: 22/08/2025
  Fecha de última actualización: 15/09/2025
  El panel de control de IBM QRadar SIEM 7.5 a 7.5.0 es vulnerable a cross-site scripting. Esta vulnerabilidad permite a un usuario autenticado incrustar código JavaScript arbitrario en la interfaz web, alterando así la funcionalidad prevista y pudiendo provocar la divulgación de credenciales en una sesión de confianza.
  
• Vulnerabilidad en QuantumNous (CVE-2025-55573)
  Severidad: ALTA
  Fecha de publicación: 22/08/2025
  Fecha de última actualización: 15/09/2025
  La nueva API v.0.8.5.2 de QuantumNous es vulnerable a cross-site scripting (XSS).
  
• Vulnerabilidad en docmost (CVE-2025-55574)
  Severidad: MEDIA
  Fecha de publicación: 25/08/2025
  Fecha de última actualización: 15/09/2025
  La vulnerabilidad de Cross-Site Scripting en docmost v.0.21.0 y anteriores permite que un atacante ejecute código arbitrario
  
• Vulnerabilidad en File Station 5 (CVE-2025-29901)
  Severidad: ALTA
  Fecha de publicación: 26/08/2025
  Fecha de última actualización: 15/09/2025
  Se ha informado de una vulnerabilidad de desreferencia de puntero nulo que afecta a File Station 5. Si un atacante remoto obtiene una cuenta de usuario, puede explotar la vulnerabilidad para lanzar un ataque de denegación de servicio (DoS). Ya hemos corregido la vulnerabilidad en la siguiente versión: File Station 5 5.5.6.4933 y posteriores.
  
• Vulnerabilidad en n8n-workflows (CVE-2025-55526)
  Severidad: CRÍTICA
  Fecha de publicación: 26/08/2025
  Fecha de última actualización: 15/09/2025
  El commit principal ee25413 de n8n-workflows permite a los atacantes ejecutar directory traversal através de la función download_workflow dentro de api_server.py