Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • Vulnerabilidad en QNX SDP (CVE-2024-35213)
    Severidad: CRÍTICA
    Fecha de publicación: 11/06/2024
    Fecha de última actualización: 01/12/2025
    Una vulnerabilidad de validación de entrada incorrecta en el códec de imágenes SGI de las versiones 6.6, 7.0 y 7.1 de QNX SDP podría permitir que un atacante cause potencialmente una condición de denegación de servicio o ejecute código en el contexto del proceso de procesamiento de imágenes.
  • Vulnerabilidad en QNX SDP (CVE-2024-48858)
    Severidad: ALTA
    Fecha de publicación: 14/01/2025
    Fecha de última actualización: 01/12/2025
    Una validación de entrada incorrecta en el códec de imagen PCX en las versiones 8.0, 7.1 y 7.0 de QNX SDP podría permitir que un atacante no autenticado provoque una condición de denegación de servicio en el contexto del proceso que utiliza el códec de imagen.
  • Vulnerabilidad en Dell Client Platform BIOS (CVE-2024-52541)
    Severidad: ALTA
    Fecha de publicación: 19/02/2025
    Fecha de última actualización: 01/12/2025
    Dell Client Platform BIOS contiene una vulnerabilidad de autenticación débil. Un atacante de alto privilegiado con acceso local podría explotar esta vulnerabilidad, lo que lleva a la elevación de los privilegios.
  • Vulnerabilidad en QNX SDP (CVE-2025-2474)
    Severidad: CRÍTICA
    Fecha de publicación: 10/06/2025
    Fecha de última actualización: 01/12/2025
    La escritura fuera de los límites en el códec de imagen PCX en las versiones 8.0, 7.1 y 7.0 de QNX SDP podría permitir que un atacante no autenticado provoque una condición de denegación de servicio o ejecute código en el contexto del proceso que utiliza el códec de imagen.
  • Vulnerabilidad en D-Link DCS-6010L 1.15.03 (CVE-2025-8155)
    Severidad: MEDIA
    Fecha de publicación: 25/07/2025
    Fecha de última actualización: 01/12/2025
    Se ha detectado una vulnerabilidad en D-Link DCS-6010L 1.15.03, clasificada como problemática. Esta vulnerabilidad afecta a una funcionalidad desconocida del archivo /vb.htm del componente Aplicación de Gestión. La manipulación del argumento paratest provoca cross site scripting. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado. Esta vulnerabilidad solo afecta a los productos que ya no reciben soporte del fabricante.
  • Vulnerabilidad en JetBrains YouTrack (CVE-2025-54527)
    Severidad: MEDIA
    Fecha de publicación: 28/07/2025
    Fecha de última actualización: 01/12/2025
    En JetBrains YouTrack antes de 2025.2.86935, 2025.2.87167, 2025.3.87341, 2025.3.87344, la configuración incorrecta de iframe en el entorno de pruebas del widget permite que las ventanas emergentes eludan las restricciones de seguridad.
  • Vulnerabilidad en Cherry Studio (CVE-2025-54063)
    Severidad: ALTA
    Fecha de publicación: 11/08/2025
    Fecha de última actualización: 01/12/2025
    Cherry Studio es un cliente de escritorio compatible con múltiples proveedores LLM. Desde la versión 1.4.8 hasta la 1.5.0, existe una vulnerabilidad de ejecución remota de código con un solo clic mediante el manejo personalizado de URL. Un atacante puede explotarla alojando un sitio web malicioso o insertando una URL especialmente manipulado en cualquier sitio web. Si la víctima hace clic en el enlace del exploit en su navegador, se activa el manejador de URL personalizado de la aplicación, lo que provoca la ejecución remota de código en su equipo. Este problema se ha corregido en la versión 1.5.1.
  • Vulnerabilidad en Cherry Studio (CVE-2025-54074)
    Severidad: ALTA
    Fecha de publicación: 13/08/2025
    Fecha de última actualización: 01/12/2025
    Cherry Studio es un cliente de escritorio compatible con múltiples proveedores LLM. Desde la versión 1.2.5 hasta la 1.5.1, Cherry Studio es vulnerable a la inyección de comandos del sistema operativo durante la conexión con un servidor MCP malicioso en modo HTTP Streamable. Los atacantes pueden configurar un servidor MCP malicioso con endpoints de servidor de autorización OAuth compatibles y engañar a las víctimas para que se conecten, lo que provoca la inyección de comandos del sistema operativo en clientes vulnerables. Este problema se ha corregido en la versión 1.5.2.
  • Vulnerabilidad en Cherry Studio (CVE-2025-54382)
    Severidad: CRÍTICA
    Fecha de publicación: 13/08/2025
    Fecha de última actualización: 01/12/2025
    Cherry Studio es un cliente de escritorio compatible con múltiples proveedores LLM. En la versión 1.5.1, existe una vulnerabilidad de ejecución remota de código (RCE) en la plataforma Cherry Studio al conectarse a servidores MCP streamableHttp. El problema surge debido a la confianza implícita del servidor en los endpoints de redirección de autenticación OAuth y a la imposibilidad de depurar correctamente la URL. Este problema se ha corregido en la versión 1.5.2.
  • Vulnerabilidad en ThimPress WP Pipes (CVE-2025-28979)
    Severidad: ALTA
    Fecha de publicación: 14/08/2025
    Fecha de última actualización: 01/12/2025
    Vulnerabilidad de control inadecuado del nombre de archivo para la declaración Include/Require en un programa PHP ('Inclusión remota de archivos PHP') en ThimPress WP Pipes permite la inclusión local de archivos PHP. Este problema afecta a WP Pipes desde n/d hasta la versión 1.4.3.
  • Vulnerabilidad en IBM (CVE-2025-36088)
    Severidad: MEDIA
    Fecha de publicación: 15/08/2025
    Fecha de última actualización: 01/12/2025
    La interfaz web de IBM TS4500 1.11.0.0-D00, 1.11.0.1-C00, 1.11.0.2-C00 y 1.10.00-F00 es vulnerable a ataques de cross site scripting. Esta vulnerabilidad permite a un usuario autenticado incrustar código JavaScript arbitrario en la interfaz web, alterando así la funcionalidad prevista y pudiendo provocar la divulgación de credenciales en una sesión de confianza.
  • Vulnerabilidad en ThimPress WP Pipes (CVE-2025-28977)
    Severidad: ALTA
    Fecha de publicación: 20/08/2025
    Fecha de última actualización: 01/12/2025
    La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en ThimPress WP Pipes permite XSS reflejado. Este problema afecta a WP Pipes desde n/d hasta la versión 1.4.3.
  • Vulnerabilidad en kernel de Linux (CVE-2025-38643)
    Severidad: MEDIA
    Fecha de publicación: 22/08/2025
    Fecha de última actualización: 01/12/2025
    En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: wifi: cfg80211: Se ha añadido un bloqueo faltante en cfg80211_check_and_end_cac(). Quienes llaman a wdev_chandef() deben mantener el mutex de wiphy. Sin embargo, el trabajador cfg80211_propagate_cac_done_wk() nunca asume el bloqueo. Lo que activa la advertencia a continuación con la prueba mesh_peer_connected_dfs de hostapd y los cambios de código mac80211 no publicados (aún): ADVERTENCIA: CPU: 0 PID: 495 en net/wireless/chan.c:1552 wdev_chandef+0x60/0x165 Módulos vinculados: CPU: 0 UID: 0 PID: 495 Comm: kworker/u4:2 No contaminado 6.14.0-rc5-wt-g03960e6f9d47 #33 13c287eeabfe1efea01c0bcc863723ab082e17cf Cola de trabajo: cfg80211 cfg80211_propagate_cac_done_wk Pila: 00000000 00000001 ffffff00 6093267c 00000000 6002ec30 6d577c50 60037608 00000000 67e8d108 6063717b 00000000 Rastreo de llamadas: [<6002ec30>] ? _printk+0x0/0x98 [<6003c2b3>] show_stack+0x10e/0x11a [<6002ec30>] ? _printk+0x0/0x98 [<60037608>] dump_stack_lvl+0x71/0xb8 [<6063717b>] ? __warn+0x101/0x20f [<6005d3a8>] warn_slowpath_fmt+0xe3/0x15d [<600b0c5c>] ? mark_lock.part.0+0x0/0x4ec [<60751191>] ? __this_cpu_preempt_check+0x0/0x16 [<600b11a2>] ? mark_held_locks+0x5a/0x6e [<6005d2c5>] ? warn_slowpath_fmt+0x0/0x15d [<60052e53>] ? unblock_signals+0x3a/0xe7 [<60052f2d>] ? um_set_signals+0x2d/0x43 [<60751191>] ? __this_cpu_preempt_check+0x0/0x16 [<607508b2>] ? lock_is_held_type+0x207/0x21f [<6063717b>] wdev_chandef+0x60/0x165 [<605f89b4>] regulatory_propagate_dfs_state+0x247/0x43f [<60052f00>] ? um_set_signals+0x0/0x43 [<605e6bfd>] cfg80211_propagate_cac_done_wk+0x3a/0x4a [<6007e460>] proceso_trabajos_programados+0x3bc/0x60e [<6007d0ec>] ? mover_trabajos_vinculados+0x4d/0x81 [<6007d120>] ? asignar_trabajo+0x0/0xaa [<6007f81f>] subproceso_trabajador+0x220/0x2dc [<600786ef>] ? establecer_pf_trabajador+0x0/0x57 [<60087c96>] ? hilo_trabajador+0x0/0x2dc [<6006c05b>] ? calculate_sigpending+0x0/0x56 [<6003b37d>] new_thread_handler+0x4a/0x64 marca de evento de irq: 614611 hardirqs habilitados por última vez en (614621): [<00000000600bc96b>] __up_console_sem+0x82/0xaf hardirqs deshabilitados por última vez en (614630): [<00000000600bc92c>] __up_console_sem+0x43/0xaf softirqs habilitados por última vez en (614268): [<00000000606c55c6>] __ieee80211_wake_queue+0x933/0x985 softirqs deshabilitados por última vez en (614266): [<00000000606c52d6>] __ieee80211_wake_queue+0x643/0x985