Seis nuevos avisos de seguridad
Índice
- Cross-Site Scripting (XSS) almacenado en Chatbot de Oct8ne
- Path Traversal en Gandia Integra Total de TESI
- Vulnerabilidad de redirección abierta en MOLGENIS EMX2
- Múltiples vulnerabilidades en OS4ED de OpenSIS
- Inyección HTML en Dbizle de Originatesoft
- Boletín mensual de seguridad de Juniper: octubre 2025
Cross-Site Scripting (XSS) almacenado en Chatbot de Oct8ne
- Chatbot v2.3.
INCIBE ha coordinado la publicación de 1 vulnerabilidad de severidad media, que afecta a Chatbot de Oct8ne, solución orientada a tiendas online (e-commerce) y atención al cliente. La vulnerabilidad ha sido descubierta por Alonso Quijano y Javier Hernández.
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE de cada vulnerabilidad:
- CVE-2025-10869: CVSS v4.0: 5.3 | CVSS AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N | CWE-79
La vulnerabilidad ha sido solucionada por el equipo de Oct8ne en la última versión.
- CVE-2025-10869: Cross-site Scripting (XSS) almacenado en Oct8ne Chatbot v2.3. Esta vulnerabilidad permite a un atacante ejecutar código JavaScript en el navegador de la víctima mediante la inyección de una carga maliciosa a través de la creación de una transcripción que se envía por correo electrónico. Esta vulnerabilidad puede explotarse para robar datos confidenciales del usuario, como cookies de sesión, o para realizar acciones en nombre del usuario.
Path Traversal en Gandia Integra Total de TESI
Gandia Integra Total, versiones anteriores a 4.4.2246.2.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad alta, que afecta a Gandia Integra Total de TESI, un software para la gestión de encuestas y análisis de mercados. La vulnerabilidad ha sido descubierta por David Utón Amaya (m3n0sd0n4ld).
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2025-41073: CVSS v4.0: 7.1 | CVSS AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N | CWE-22
La vulnerabilidad ha sido solucionada por el equipo de TESI en la versión 4.4.2446.2.
- CVE-2025-41073: vulnerabilidad de Path Traversal en la versión 4.4.2236.1 de TESI Gandia Integra Total. Este problema permite a un atacante autenticado descargar un archivo ZIP que contiene archivos del servidor, incluidos los ubicados en directorios padre (por ejemplo, ..\..\..), explotando el parámetro 'direstudio' en '/encuestas/integraweb[_v4]/integra/html/view/comprimir.php'.
Vulnerabilidad de redirección abierta en MOLGENIS EMX2
MOLGENIS EMX2, versión 11.14.0.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad media que afecta a MOLGENIS EMX2, una plataforma científica de datos. La vulnerabilidad ha sido descubierta por Erlaitz Parreño Muñoz.
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2025-10355: CVSS v4.0: 5.1 | CVSS AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N | CWE-601
El equipo de MOLGENIS , ha solucionado la vulnerabilidad reportada en la versión 13.19.4.
- CVE-2025-10355: vulnerabilidad de redirección abierta en MOLGENIS EMX2 v11.14.0. Esta vulnerabilidad permite a un atacante crear una URL maliciosa utilizando un parámetro de redirección manipulado, pudiendo llevar a los usuarios a sitios de phishing u otros destinos maliciosos a través de '/%2f%2f<MALICIOUS_DOMAIN>'.
Múltiples vulnerabilidades en OS4ED de OpenSIS
OS4ED, versión 9.1.
INCIBE ha coordinado la publicación de 7 vulnerabilidades, 5 de severidad alta y 2 de severidad media, que afectan a OpenSIS de OS4ED, un sistema de gestión de información estudiantil. Las vulnerabilidades han sido descubiertas por Rafael Pedrero.
A estas vulnerabilidades se les han asignado los siguientes códigos, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE de cada vulnerabilidad:
- de CVE-2025-10333 a CVE-2025-10337: CVSS v4.0: 8.7 | CVSS AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N | CWE-89
- CVE-2025-10338 y CVE-2025-10339: CVSS v4.0: 4.8 | CVSS AV:N/AC:L/AT:N/PR:L/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N | CWE-79
No hay solución reportada por el momento.
- Vulnerabilidad de inyección SQL en OpenSIS v9.1 de OS4ED. Esta vulnerabilidad permite a un atacante recuperar, crear, actualizar y eliminar bases de datos. La relación de parámetros e identificadores asignados es la siguiente:
- CVE-2025-10333: parámetros 'marking_period_id', 'modfunc', 'cpv_id' en '/openSIS/Ajax.php'.
- CVE-2025-10334: parámetro 'str' en '/openSIS/NamesList.php'.
- CVE-2025-10335: parámetro 'marking_period_id' en '/openSIS/Modules.php'.
- CVE-2025-10336: parámetro 'id' en '/openSIS/EmailCheckOthers.php'.
- CVE-2025-10337: parámetro 'course_period_id' en '/openSIS/MassDropSessionSet.php'.
- Vulnerabilidad de Cross-Site Scripting reflejado en OpenSIS v9.1 de OS4ED. Esta vulnerabilidad permite a un atacante ejecutar código JavaScript en el navegador de la víctima enviándole una URL maliciosa. La relación de parámetros e identificadores asignados es la siguiente:
- CVE-2025-10338: parámetro 'str' en '/openSIS/NamesList.php'.
- CVE-2025-10339: parámetro 'userid' en '/openSIS/Validator.php'.
Inyección HTML en Dbizle de Originatesoft
Dbizle.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad media que afecta a Dbizle de Originatesoft, que ofrece un script para sitios web de anuncios clasificados personalizable. La vulnerabilidad ha sido descubierta por Gonzalo Aguilar Garcia (6h4ack).
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2025-10347: CVSS v4.0: 4.8 | CVSS AV:N/AC:L/AT:N/PR:L/UI:A/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N | CWE-79
No hay solución reportada por el momento.
- CVE-2025-10347: vulnerabilidad de inyección HTML en Best Classified Script (Dbizle) de Originatesoft. Esta vulnerabilidad permite a un atacante modificar el código HTML en el navegador de la víctima enviándole una URL maliciosa utilizando el parámetro 'term' en 'ads-list'.
Boletín mensual de seguridad de Juniper: octubre 2025
Juniper Networks Junos Space anteriores a la versión 24.1R4 del parche V1.
Juniper ha publicado en su boletín de seguridad 115 vulnerabilidades, de las cuales 9 son de severidad crítica, 64 altas, 61 medias, 6 bajas y al resto no se les ha asignado criticidad.
Se han actualizado versiones de software para resolver estos problemas en Junos Space 24.1R4 Patch V1 y todas las versiones posteriores.
- CVE-2019-12900: la función 'BZ2_decompress' en el archivo decompress.c en bzip2 hasta 1.0.6, presenta una escritura fuera de límites cuando hay muchos selectores.
- CVE-2023-38408: la característica PKCS#11 en ssh-agent en OpenSSH anterior a 9.3p2 tiene una ruta de búsqueda insuficientemente confiable, lo que lleva a la ejecución remota de código si un agente se reenvía a un sistema controlado por un atacante.
- CVE-2024-27280: problema de sobrelectura del búfer en StringIO 3.0.1, distribuido en Ruby 3.0.x hasta 3.0.6 y 3.1.x hasta 3.1.4. Los métodos ungetbyte y ungetc en StringIO pueden leer más allá del final de una cadena, y una llamada posterior a StringIO.gets puede devolver el valor de la memoria.
- CVE-2024-47615: escritura OOB en la función 'gst_parse_vorbis_setup_packet' dentro de 'vorbis_parse.c'. Esta escritura OOB puede sobrescribir hasta 380 bytes de memoria más allá de los límites de la matriz 'pad->vorbis_mode_sizes'.
- CVE-2024-47607: desbordamiento del búfer de pila en la función 'gst_opus_dec_parse_header' dentro de 'gstopusdec.c'. Este error permite sobrescribir la dirección EIP asignada en la pila.
- CVE-2024-47538: desbordamiento del búfer de pila en la función 'vorbis_handle_identification_packet' dentro de 'gstvorbisdec.c'. este error puede sobrescribir la estructura de información GstAudioInfo.
- CVE-2024-35845: en el kernel de Linux, se ha resuelto la vulnerabilidad: 'wifi: iwlwifi: dbg-tlv'. El 'iwl_fw_ini_debug_info_tlv' se usa como una cadena, por lo que debemos asegurarnos de que la cadena termine correctamente antes de usarla.
- CVE-2024-38428: 'url.c' en GNU Wget hasta 1.24.5 maneja mal los puntos y comas en el subcomponente de información de usuario de un URI y, por lo tanto, puede haber un comportamiento inseguro en el que los datos.
- CVE-2024-3596: el protocolo RADIUS según RFC 2865 es susceptible a ataques de falsificación por parte de un atacante local que puede modificar cualquier respuesta válida utilizando un ataque de colisión de prefijo elegido contra la firma del autenticador de respuesta MD5.