Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

Vulnerabilidad en libcdio v2.1.0 (CVE-2024-36600)
Severidad: ALTA
Fecha de publicación: 14/06/2024
Fecha de última actualización: 09/03/2026
La vulnerabilidad de desbordamiento de búfer en libcdio v2.1.0 permite a un atacante ejecutar código arbitrario a través de un archivo de imagen ISO 9660 manipulado.
Vulnerabilidad en fast-xml-parser (CVE-2024-41818)
Severidad: ALTA
Fecha de publicación: 29/07/2024
Fecha de última actualización: 09/03/2026
fast-xml-parser es un analizador xml de JavaScript puro de código abierto. Existe un ReDOS en currency.js. Esta vulnerabilidad se soluciona en 4.4.1.
Vulnerabilidad en Discover (CVE-2026-0925)
Severidad: BAJA
Fecha de publicación: 26/01/2026
Fecha de última actualización: 09/03/2026
Tanium abordó una vulnerabilidad de validación de entrada incorrecta en Discover.
Vulnerabilidad en Discover (CVE-2026-1224)
Severidad: MEDIA
Fecha de publicación: 26/01/2026
Fecha de última actualización: 09/03/2026
Tanium abordó una vulnerabilidad de consumo de recursos no controlado en Discover.
Vulnerabilidad en Archer MR600 v5.0 (CVE-2025-14756)
Severidad: ALTA
Fecha de publicación: 26/01/2026
Fecha de última actualización: 09/03/2026
Vulnerabilidad de inyección de comandos fue encontrada en el componente de la interfaz de administración del firmware TP-Link Archer MR600 v5, permitiendo a atacantes autenticados ejecutar comandos del sistema con una longitud de caracteres limitada mediante entrada manipulada en la consola de desarrollador del navegador, posiblemente llevando a la interrupción del servicio o a un compromiso total.
Vulnerabilidad en AssertJ (CVE-2026-24400)
Severidad: ALTA
Fecha de publicación: 26/01/2026
Fecha de última actualización: 09/03/2026
AssertJ proporciona aserciones de prueba fluidas para Java y la Máquina Virtual de Java (JVM). A partir de la versión 1.4.0 y antes de la versión 3.27.7, existe una vulnerabilidad de Entidad Externa XML (XXE) en `org.assertj.core.util.xml.XmlStringPrettyFormatter`: el método `toXmlDocument(String)` inicializa `DocumentBuilderFactory` con configuraciones predeterminadas, sin deshabilitar DTDs o entidades externas. Este formateador es utilizado por la aserción `isXmlEqualTo(CharSequence)` para valores `CharSequence`. Una aplicación es vulnerable solo cuando utiliza entrada XML no confiable con `isXmlEqualTo(CharSequence)` de `org.assertj.core.api.AbstractCharSequenceAssert` o `xmlPrettyFormat(String)` de `org.assertj.core.util.xml.XmlStringPrettyFormatter`. Si la entrada XML no confiable es procesada por uno de estos métodos, un atacante podría leer archivos locales arbitrarios a través de URIs `file://` (por ejemplo, `/etc /passwd`, archivos de configuración de la aplicación); realizar Falsificación de Petición del Lado del Servidor (SSRF) a través de URIs HTTP/HTTPS, y/o causar Denegación de Servicio a través de ataques de expansión de entidad "Billion Laughs". `isXmlEqualTo(CharSequence)` ha sido desaprobado a favor de XMLUnit en la versión 3.18.0 y será eliminado en la versión 4.0. Los usuarios de las versiones afectadas deberían, en orden de preferencia: reemplazar `isXmlEqualTo(CharSequence)` con XMLUnit, actualizar a la versión 3.27.7, o evitar usar `isXmlEqualTo(CharSequence)` o `XmlStringPrettyFormatter` con entrada no confiable. `XmlStringPrettyFormatter` históricamente ha sido considerado una utilidad para `isXmlEqualTo(CharSequence)` en lugar de una característica para los usuarios de AssertJ, por lo que es desaprobado en la versión 3.27.7 y eliminado en la versión 4.0, sin reemplazo.
Vulnerabilidad en FunJSQ (CVE-2022-40619)
Severidad: ALTA
Fecha de publicación: 28/01/2026
Fecha de última actualización: 09/03/2026
FunJSQ, un módulo de terceros integrado en algunos routers NETGEAR y sistemas WiFi Orbi, expone un servidor HTTP a través de la interfaz LAN de los dispositivos afectados. Esta interfaz es vulnerable a la inyección de comandos arbitrarios no autenticada a través del parámetro funjsq_access_token. Esto afecta a los R6230 anteriores a 1.1.0.112, R6260 anteriores a 1.1.0.88, R7000 anteriores a 1.0.11.134, R8900 anteriores a 1.0.5.42, R9000 anteriores a 1.0.5.42, y XR300 anteriores a 1.0.3.72 y a los Orbi RBR20 anteriores a 2.7.2.26, RBR50 anteriores a 2.7.4.26, RBS20 anteriores a 2.7.2.26, y RBS50 anteriores a 2.7.4.26.
Vulnerabilidad en FunJSQ (CVE-2022-40620)
Severidad: ALTA
Fecha de publicación: 28/01/2026
Fecha de última actualización: 09/03/2026
FunJSQ, un módulo de terceros integrado en algunos routers NETGEAR y sistemas WiFi Orbi, no valida correctamente los certificados TLS al descargar paquetes de actualización a través de su mecanismo de autoactualización. Un atacante (posicionado adecuadamente en la red) podría interceptar la solicitud de actualización y entregar un paquete de actualización malicioso para obtener ejecución de código arbitrario en los dispositivos afectados. Esto afecta a R6230 anterior a 1.1.0.112, R6260 anterior a 1.1.0.88, R7000 anterior a 1.0.11.134, R8900 anterior a 1.0.5.42, R9000 anterior a 1.0.5.42, y XR300 anterior a 1.0.3.72 y Orbi RBR20 anterior a 2.7.2.26, RBR50 anterior a 2.7.4.26, RBS20 anterior a 2.7.2.26, y RBS50 anterior a 2.7.4.26.
Vulnerabilidad en Drupal (CVE-2026-0749)
Severidad: MEDIA
Fecha de publicación: 28/01/2026
Fecha de última actualización: 09/03/2026
Neutralización Incorrecta de la Entrada Durante la Generación de Páginas Web ('cross-site scripting') vulnerabilidad en Drupal Form Builder permite cross-site scripting (XSS).Este problema afecta a Drupal: desde 7.X-1.0 hasta 7.X-1.22.
Vulnerabilidad en Drupal Commerce Paybox (CVE-2026-0750)
Severidad: ALTA
Fecha de publicación: 28/01/2026
Fecha de última actualización: 09/03/2026
Vulnerabilidad de verificación incorrecta de firma criptográfica en Drupal Commerce Paybox en Drupal 7.X permite la omisión de autenticación. Este problema afecta a Drupal Commerce Paybox: desde 7-x-1.0 hasta 7.X-1.5.
Vulnerabilidad en PremierColor de Dell (CVE-2025-46691)
Severidad: ALTA
Fecha de publicación: 28/01/2026
Fecha de última actualización: 09/03/2026
Dell PremierColor Panel Driver, versiones anteriores a 1.0.0.1 A01, contiene una vulnerabilidad de control de acceso inadecuado. Un atacante con privilegios bajos y acceso local podría potencialmente explotar esta vulnerabilidad, lo que llevaría a una Elevación de Privilegios.
Vulnerabilidad en Asset de Tanium (CVE-2025-15344)
Severidad: MEDIA
Fecha de publicación: 29/01/2026
Fecha de última actualización: 09/03/2026
Tanium abordó una vulnerabilidad de inyección SQL en Asset.
Vulnerabilidad en SmarterMail de SmarterTools (CVE-2026-25067)
Severidad: MEDIA
Fecha de publicación: 29/01/2026
Fecha de última actualización: 09/03/2026
Las versiones de SmarterTools SmarterMail anteriores a la compilación 9518 contienen una vulnerabilidad de coerción de ruta no autenticada en el endpoint de vista previa del fondo del día. La aplicación decodifica en base64 la entrada suministrada por el atacante y la utiliza como una ruta del sistema de archivos sin validación. En sistemas Windows, esto permite que las rutas UNC se resuelvan, haciendo que el servicio SmarterMail inicie intentos de autenticación SMB salientes a hosts controlados por el atacante. Esto puede ser abusado para la coerción de credenciales, ataques de retransmisión NTLM y autenticación de red no autorizada.
Vulnerabilidad en QR Menu (CVE-2025-7015)
Severidad: MEDIA
Fecha de publicación: 29/01/2026
Fecha de última actualización: 09/03/2026
Vulnerabilidad de fijación de sesión en el menú QR de Ak?n Software Computer Import Export Industry and Trade Ltd. permite la fijación de sesión. Este problema afecta a QR Menu: anterior a la versión s1.05.12.
Vulnerabilidad en QR Menu (CVE-2025-7016)
Severidad: ALTA
Fecha de publicación: 29/01/2026
Fecha de última actualización: 09/03/2026
Vulnerabilidad de control de acceso inadecuado en Ak?n Software Computer Import Export Industry and Trade Ltd. QR Menu permite el Abuso de Autenticación. Este problema afecta a QR Menu: antes de s1.05.12.
Vulnerabilidad en PlanManager (CVE-2026-1469)
Severidad: MEDIA
Fecha de publicación: 29/01/2026
Fecha de última actualización: 09/03/2026
Cross-Site Scripting (XSS) Almacenado en el PlanManager de RLE NOVA. Esta vulnerabilidad permite a un atacante ejecutar código JavaScript en el navegador de la víctima inyectando una carga útil maliciosa a través de los parámetros 'comment' y 'brand' en '/index.PHP'. La carga útil es almacenada por la aplicación y posteriormente mostrada sin la sanitización adecuada cuando otros usuarios acceden a ella. Esta vulnerabilidad puede ser explotada para robar datos sensibles del usuario, como cookies de sesión, o para realizar acciones en nombre del usuario.
Vulnerabilidad en Menu Panel (CVE-2025-7013)
Severidad: MEDIA
Fecha de publicación: 29/01/2026
Fecha de última actualización: 09/03/2026
Vulnerabilidad de elusión de autorización mediante clave controlada por el usuario en el Panel de Menú de los Sistemas de Menú Inteligentes QR Menu Pro permite la explotación de identificadores de confianza. Este problema afecta al Panel de Menú: hasta el 29012026. NOTA: Se contactó al proveedor con antelación sobre esta divulgación, pero no respondió de ninguna manera.
Vulnerabilidad en Menu Panel (CVE-2025-7014)
Severidad: MEDIA
Fecha de publicación: 29/01/2026
Fecha de última actualización: 09/03/2026
Vulnerabilidad de fijación de sesión en el Panel de Menú de QR Menu Pro Smart Menu Systems permite el secuestro de sesión. Este problema afecta al Panel de Menú: hasta el 29012026. NOTA: El proveedor fue contactado con antelación sobre esta divulgación pero no respondió de ninguna manera.
Vulnerabilidad en Archer RE605X de TP-Link Systems Inc. (CVE-2025-15545)
Severidad: ALTA
Fecha de publicación: 29/01/2026
Fecha de última actualización: 09/03/2026
La función de restauración de copias de seguridad no valida correctamente las etiquetas inesperadas o no reconocidas dentro del archivo de copia de seguridad. Cuando se restaura un archivo así manipulado, la etiqueta inyectada es interpretada por un shell, permitiendo la ejecución de comandos arbitrarios con privilegios de root. La explotación exitosa permite al atacante obtener ejecución de comandos a nivel de root, comprometiendo la confidencialidad, integridad y disponibilidad.
Vulnerabilidad en VX800v v1.0 de TP-Link Systems Inc. (CVE-2025-13399)
Severidad: ALTA
Fecha de publicación: 29/01/2026
Fecha de última actualización: 09/03/2026
Una debilidad en el cifrado de capa de aplicación de la interfaz web en VX800v v1.0 permite a un atacante adyacente forzar por fuerza bruta la clave AES débil y descifrar el tráfico interceptado. La explotación exitosa requiere proximidad de red pero no autenticación, y puede resultar en un alto impacto en la confidencialidad, integridad y disponibilidad de los datos transmitidos.
Vulnerabilidad en VX800v v1.0 de TP-Link Systems Inc. (CVE-2025-15541)
Severidad: MEDIA
Fecha de publicación: 29/01/2026
Fecha de última actualización: 09/03/2026
Resolución incorrecta de enlaces en el servicio SFTP VX800v v1.0 permite a atacantes adyacentes autenticados utilizar enlaces simbólicos manipulados para acceder a archivos del sistema, lo que resulta en un alto impacto en la confidencialidad y un riesgo limitado para la integridad.
Vulnerabilidad en Denial of Service (DoS) of VoIP Communication on TP-Link VX800v (CVE-2025-15542)
Severidad: MEDIA
Fecha de publicación: 29/01/2026
Fecha de última actualización: 09/03/2026
Manejo inadecuado de condiciones excepcionales en VX800v v1.0 en el procesamiento SIP permite a un atacante inundar el dispositivo con mensajes INVITE manipulados, bloqueando todas las líneas de voz y causando una denegación de servicio en las llamadas entrantes.
Vulnerabilidad en Read-Only Root Access via USB Storage Device in TP-Link VX800v (CVE-2025-15543)
Severidad: MEDIA
Fecha de publicación: 29/01/2026
Fecha de última actualización: 09/03/2026
Resolución de enlaces incorrecta en la ruta de acceso HTTP USB en VX800v v1.0 permite que un dispositivo USB manipulado exponga el contenido del sistema de archivos raíz, dando a un atacante con acceso físico acceso de solo lectura a los archivos del sistema.
Vulnerabilidad en VX800v v1.0 de TP-Link Systems Inc. (CVE-2025-15548)
Severidad: MEDIA
Fecha de publicación: 29/01/2026
Fecha de última actualización: 09/03/2026
Algunos puntos finales de la interfaz web VX800v v1.0 transmiten información sensible a través de HTTP sin cifrar debido a la falta de cifrado en la capa de aplicación, lo que permite a un atacante adyacente a la red interceptar este tráfico y comprometer su confidencialidad.
Vulnerabilidad en VIGI C485 V1 de TP-Link Systems Inc. (CVE-2026-1457)
Severidad: ALTA
Fecha de publicación: 29/01/2026
Fecha de última actualización: 09/03/2026
Una falla autenticada en el manejo de búfer en la API web de TP-Link VIGI C385 V1 que carece de saneamiento de entrada, puede permitir la corrupción de memoria lo que lleva a la ejecución remota de código. Atacantes autenticados pueden desencadenar un desbordamiento de búfer y potencialmente ejecutar código arbitrario con privilegios elevados.
Vulnerabilidad en Interact de Tanium (CVE-2025-15288)
Severidad: BAJA
Fecha de publicación: 29/01/2026
Fecha de última actualización: 09/03/2026
Tanium abordó una vulnerabilidad de controles de acceso inadecuados en Interact.
Vulnerabilidad en el parámetro dmzIp en la función mDMZSetCfg en Tenda AX3 (CVE-2026-1638)
Severidad: MEDIA
Fecha de publicación: 30/01/2026
Fecha de última actualización: 09/03/2026
Se ha descubierto una falla de seguridad en Tenda AC21 1.1.1.1/1.dmzip/16.03.08.16. El elemento afectado es la función mDMZSetCfg del archivo /goform/mDMZSetCfg. La manipulación del argumento dmzIp resulta en inyección de comandos. El ataque puede ser ejecutado remotamente. El exploit ha sido publicado y puede ser usado para ataques.
Vulnerabilidad en thinkgem JeeSite (CVE-2026-3404)
Severidad: BAJA
Fecha de publicación: 02/03/2026
Fecha de última actualización: 09/03/2026
Se ha encontrado una vulnerabilidad en thinkgem JeeSite hasta la versión 5.15.1, la cual afecta a una función desconocida del archivo /com/jeesite/common/shiro/cas/CasOutHandler.java del componente Endpoint. Su manipulación puede conducir a una referencia a entidad externa XML. El ataque puede realizarse de forma remota. Los ataques de esta naturaleza son altamente complejos y su explotabilidad difícil. El exploit ha sido publicado y puede ser utilizado. Antes de divulgar esta vulnerabilidad se contactó con el proveedor, pero no respondió de ninguna manera.
Vulnerabilidad en IDExpert Windows Logon Agent (CVE-2026-2999)
Severidad: CRÍTICA
Fecha de publicación: 02/03/2026
Fecha de última actualización: 09/03/2026
El Agente de Inicio de Sesión de Windows IDExpert desarrollado por Changing tiene una vulnerabilidad de ejecución remota de código, que permite a atacantes remotos no autenticados forzar al sistema a descargar archivos ejecutables arbitrarios desde una fuente remota y ejecutarlos.
Vulnerabilidad en IDExpert Windows Logon Agent (CVE-2026-3000)
Severidad: CRÍTICA
Fecha de publicación: 02/03/2026
Fecha de última actualización: 09/03/2026
IDExpert Windows Logon Agent desarrollado por Changing tiene una vulnerabilidad de ejecución remota de código, que permite a atacantes remotos no autenticados forzar al sistema a descargar archivos DLL arbitrarios de una fuente remota y ejecutarlos.
Vulnerabilidad en U-Office Force (CVE-2026-3422)
Severidad: CRÍTICA
Fecha de publicación: 02/03/2026
Fecha de última actualización: 09/03/2026
U-Office Force desarrollado por e-Excellence tiene una vulnerabilidad de deserialización insegura, que permite a atacantes remotos no autenticados ejecutar código arbitrario en el servidor mediante el envío de contenido serializado maliciosamente manipulado.
Vulnerabilidad en AWS-LC de AWS (CVE-2026-3336)
Severidad: ALTA
Fecha de publicación: 02/03/2026
Fecha de última actualización: 09/03/2026
Validación incorrecta de certificados en PKCS7_verify() en AWS-LC permite a un usuario no autenticado eludir la verificación de la cadena de certificados al procesar objetos PKCS7 con múltiples firmantes, excepto el firmante final. Los clientes de los servicios de AWS no necesitan tomar ninguna medida. Las aplicaciones que utilizan AWS-LC deberían actualizarse a la versión 1.69.0 de AWS-LC.
Vulnerabilidad en AWS-LC-FIPS (CVE-2026-3337)
Severidad: ALTA
Fecha de publicación: 02/03/2026
Fecha de última actualización: 09/03/2026
Una discrepancia de temporización observable en el descifrado AES-CCM en AWS-LC permite a un usuario no autenticado determinar potencialmente la validez de la etiqueta de autenticación mediante análisis de temporización. Las implementaciones afectadas son a través de la API EVP CIPHER: EVP_aes_128_ccm, EVP_aes_192_ccm y EVP_aes_256_ccm. Los clientes de los servicios de AWS no necesitan tomar ninguna medida. Las aplicaciones que utilizan AWS-LC deberían actualizar a la versión 1.69.0 de AWS-LC.
Vulnerabilidad en MariaDB Server (CVE-2026-3494)
Severidad: MEDIA
Fecha de publicación: 03/03/2026
Fecha de última actualización: 09/03/2026
En la versión del servidor MariaDB hasta la 11.8.5, cuando el plugin de auditoría del servidor está habilitado con la variable server_audit_events configurada con el filtrado QUERY_DCL, QUERY_DDL o QUERY_DML, si un usuario de base de datos autenticado invoca una instrucción SQL prefijada con comentarios estilo doble guion (—) o almohadilla (#), la instrucción no se registra.
Vulnerabilidad en multer de expressjs (CVE-2026-3520)
Severidad: ALTA
Fecha de publicación: 04/03/2026
Fecha de última actualización: 09/03/2026
Multer es un middleware de node.js para manejar 'multipart/form-data'. Una vulnerabilidad en Multer anterior a la versión 2.1.1 permite a un atacante activar una denegación de servicio (DoS) enviando solicitudes malformadas, lo que podría causar un desbordamiento de pila. Los usuarios deben actualizar a la versión 2.1.1 para recibir un parche. No se conocen soluciones alternativas disponibles.
Vulnerabilidad en @opennextjs/cloudflare de opennextjs (CVE-2026-3125)
Severidad: ALTA
Fecha de publicación: 04/03/2026
Fecha de última actualización: 09/03/2026
Una vulnerabilidad de falsificación de petición del lado del servidor (SSRF) fue identificada en el paquete @opennextjs/cloudflare, resultante de un bypass de normalización de ruta en el gestor /cdn-cgi/image/. La plantilla de worker @opennextjs/cloudflare incluye un gestor /cdn-cgi/image/ destinado solo para uso en desarrollo. En producción, el edge de Cloudflare intercepta las peticiones /cdn-cgi/image/ antes de que lleguen al Worker. Sin embargo, al sustituir una barra invertida por una barra inclinada (/cdn-cgi\image/ en lugar de /cdn-cgi/image/), un atacante puede eludir la intercepción del edge y hacer que la petición llegue directamente al Worker. La clase URL de JavaScript luego normaliza la barra invertida a una barra inclinada, haciendo que la petición coincida con el gestor y desencadene una obtención no validada de URLs remotas arbitrarias. Por ejemplo: https://victim-site.com/cdn-cgi\image/aaaa/https://attacker.com En este ejemplo, contenido controlado por el atacante de attacker.com se sirve a través del dominio del sitio víctima (victim-site.com), violando la política de mismo origen y potencialmente engañando a usuarios u otros servicios. Nota: Este bypass solo funciona a través de clientes HTTP que preservan las barras invertidas en las rutas (p. ej., curl --path-as-is). Los navegadores normalizan las barras invertidas a barras inclinadas antes de enviar las peticiones. Además, Cloudflare Workers con Assets y Cloudflare Pages sufren de una vulnerabilidad similar. Los Assets almacenados bajo rutas /cdn-cgi/ no son accesibles públicamente bajo condiciones normales. Sin embargo, utilizando el mismo bypass de barra invertida (/cdn-cgi\... en lugar de /cdn-cgi/...), estos assets se vuelven accesibles públicamente. Esto podría usarse para recuperar datos privados. Por ejemplo, los proyectos Open Next almacenan datos de caché incremental bajo /cdn-cgi/_next_cache, que podrían ser expuestos a través de este bypass.
Vulnerabilidad en UnQLite de TOKUHIROM (CVE-2026-3257)
Severidad: CRÍTICA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 09/03/2026
Las versiones de UnQLite hasta la 0.06 para Perl utilizan una versión potencialmente insegura de la biblioteca UnQLite. UnQLite para Perl incrusta la biblioteca UnQLite. La versión 0.06 y anteriores del módulo Perl utilizan una versión de la biblioteca de 2014 que puede ser vulnerable a un desbordamiento basado en el montón.
Vulnerabilidad en calendar de humhub (CVE-2026-29052)
Severidad: MEDIA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 09/03/2026
El módulo de Calendario para HumHub permite a los usuarios crear eventos únicos o recurrentes, gestionar invitaciones de asistentes y rastrear eficientemente todas las actividades programadas. Antes de la versión 1.8.11, una vulnerabilidad de cross-site scripting (XSS) almacenado en los Tipos de Evento del módulo de Calendario de HumHub impacta a los usuarios que ven eventos creados por una cuenta administrativa. Este problema ha sido parcheado en la versión 1.8.11.
Vulnerabilidad en Ghost de TryGhost (CVE-2026-29053)
Severidad: ALTA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 09/03/2026
Ghost es un sistema de gestión de contenido Node.js. Desde la versión 0.7.2 hasta la 6.19.0, temas maliciosos específicamente diseñados pueden ejecutar código arbitrario en el servidor que ejecuta Ghost. Este problema ha sido parcheado en la versión 6.19.1.
Vulnerabilidad en SFX2100 Satellite Receiver de International Datacasting Corporation (CVE-2026-29128)
Severidad: ALTA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 09/03/2026
El firmware del receptor de satélite IDC SFX2100 se envía con múltiples archivos de configuración de demonios para componentes de enrutamiento (por ejemplo, zebra, bgpd, ospfd y ripd) que son propiedad de root pero legibles por todos. Los archivos de configuración (por ejemplo, zebra.conf, bgpd.conf, ospfd.conf, ripd.conf) contienen contraseñas de texto sin formato codificadas de forma rígida o de otro modo inseguras (incluidas las credenciales de modo privilegiado/'enable'). Un actor remoto es capaz de abusar de la naturaleza de reutilización/codificada de forma rígida de estas credenciales para acceder aún más a otros sistemas en la red, obtener un punto de apoyo en el receptor de satélite o potencialmente escalar privilegios localmente.
Vulnerabilidad en EC-CUBE CO.,LTD. (CVE-2026-30777)
Severidad: MEDIA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 09/03/2026
EC-CUBE proporcionado por EC-CUBE CO.,LTD. contiene una vulnerabilidad de omisión de autenticación multifactor (MFA). Un atacante que ha obtenido un ID y contraseña de administrador válidos podría ser capaz de omitir la autenticación de dos factores y obtener acceso no autorizado a la página administrativa.
Vulnerabilidad en Zephyr (CVE-2026-1678)
Severidad: CRÍTICA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 09/03/2026
dns_unpack_name() almacena en caché el espacio restante del búfer una vez y lo reutiliza al adjuntar etiquetas DNS. A medida que el búfer crece, el tamaño almacenado en caché se vuelve incorrecto, y el terminador nulo final puede escribirse más allá del búfer. Con las aserciones deshabilitadas (por defecto), una respuesta DNS maliciosa puede desencadenar una escritura fuera de los límites cuando CONFIG_DNS_RESOLVER está habilitado.
Vulnerabilidad en SUSE Linux Enterprise Server (CVE-2026-25702)
Severidad: ALTA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 09/03/2026
Una vulnerabilidad de control de acceso inadecuado en el kernel de SUSE SUSE Linux Enterprise Server 12 SP5 rompe nftables, haciendo que las reglas del cortafuegos aplicadas a través de nftables no sean efectivas. Este problema afecta a SUSE Linux Enterprise Server: desde 9e6d9d4601768c75fdb0bad3fbbe636e748939c2 antes de 9c294edb7085fb91650bc12233495a8974c5ff2d.
Vulnerabilidad en SeppMail (CVE-2026-2743)
Severidad: CRÍTICA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 09/03/2026
Escritura arbitraria de archivos mediante carga por salto de ruta que lleva a ejecución remota de código en la interfaz web de usuario de SeppMail. La característica afectada es la transferencia de archivos grandes (LFT). Este problema afecta a SeppMail: 15.0.2.1 y versiones anteriores.
Vulnerabilidad en EAP610 v3 de TP-Link Systems Inc. (CVE-2025-7375)
Severidad: MEDIA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 09/03/2026
Se identificó una vulnerabilidad de denegación de servicio (DoS) en Omada EAP610 v3. Un atacante con acceso a la red adyacente puede enviar solicitudes manipuladas para provocar que el servicio HTTP del dispositivo falle. Esto provoca una indisponibilidad temporal del servicio hasta que el dispositivo se reinicia. Este problema afecta a las versiones de firmware de Omada EAP610 anteriores a 1.6.0.
Vulnerabilidad en OpenClaw (CVE-2026-28391)
Severidad: CRÍTICA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 09/03/2026
Las versiones de OpenClaw anteriores a 2026.2.2 no validan correctamente los metacaracteres de cmd.exe de Windows en solicitudes de ejecución controladas por una lista de permitidos, lo que permite a los atacantes eludir las restricciones de aprobación de comandos. Los atacantes remotos pueden diseñar cadenas de comandos con metacaracteres de shell como & o %...% para ejecutar comandos no aprobados más allá de las operaciones permitidas.
Vulnerabilidad en OpenClaw (CVE-2026-28453)
Severidad: ALTA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 09/03/2026
Las versiones de OpenClaw anteriores a la 2026.2.14 no validan las rutas de entrada de archivos TAR durante la extracción, permitiendo que secuencias de salto de ruta escriban archivos fuera del directorio previsto. Los atacantes pueden crear archivos maliciosos con secuencias de salto de ruta como ../../ para escribir archivos fuera de los límites de extracción, lo que podría permitir la manipulación de la configuración y la ejecución de código.
Vulnerabilidad en OpenClaw (CVE-2026-28454)
Severidad: ALTA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 09/03/2026
Las versiones de OpenClaw anteriores a la 2026.2.2 no validan los secretos de webhook en el modo de webhook de Telegram (debe estar habilitado), permitiendo solicitudes HTTP POST no autenticadas al endpoint del webhook que confían en cargas útiles JSON controladas por el atacante. Los atacantes remotos pueden falsificar actualizaciones de Telegram suplantando los campos message.from.id y chat.id para eludir las listas blancas de remitentes y ejecutar comandos de bot privilegiados.
Vulnerabilidad en OpenClaw (CVE-2026-28459)
Severidad: ALTA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 09/03/2026
Las versiones de OpenClaw anteriores a la 2026.2.12 no validan el parámetro de ruta sessionFile, lo que permite a los clientes de pasarela autenticados escribir datos de transcripción en ubicaciones arbitrarias del sistema de archivos del host. Los atacantes pueden proporcionar una ruta de sessionFile fuera del directorio de sesiones para crear archivos y añadir datos repetidamente, lo que podría causar corrupción de la configuración o denegación de servicio.
Vulnerabilidad en OpenClaw (CVE-2026-28462)
Severidad: ALTA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 09/03/2026
Las versiones de OpenClaw anteriores a 2026.2.13 contienen una vulnerabilidad en la API de control del navegador en la que acepta rutas de salida proporcionadas por el usuario para archivos de rastreo y descarga sin restringir consistentemente las escrituras a directorios temporales. Atacantes con acceso a la API pueden explotar el salto de ruta en los endpoints POST /trace/stop, POST /wait/download y POST /download para escribir archivos fuera de las raíces temporales previstas.
Vulnerabilidad en OpenClaw (CVE-2026-28463)
Severidad: ALTA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 09/03/2026
La validación de la lista de permitidos de aprobaciones de ejecución de OpenClaw comprueba los tokens argv pre-expansión, pero la ejecución utiliza la expansión real del shell, permitiendo que binarios seguros como head, tail o grep lean archivos locales arbitrarios a través de patrones glob o variables de entorno. Los llamadores autorizados o los ataques de inyección de prompt pueden exploit esto para divulgar archivos legibles por el proceso de gateway o de nodo cuando la ejecución del host está habilitada en modo de lista de permitidos.
Vulnerabilidad en OpenClaw (CVE-2026-28464)
Severidad: ALTA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 09/03/2026
Versiones de OpenClaw anteriores a la 2026.2.12 utilizan una comparación de cadenas de tiempo no constante para la validación de tokens de hook, lo que permite a los atacantes inferir tokens a través de mediciones de tiempo. Atacantes remotos con acceso de red al endpoint de hooks pueden explotar canales laterales de tiempo a través de múltiples solicitudes para determinar gradualmente el token de autenticación.
Vulnerabilidad en voice-call de OpenClaw (CVE-2026-28465)
Severidad: ALTA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 09/03/2026
Las versiones del plugin de llamadas de voz de OpenClaw anteriores a la 2026.2.3 contienen una vulnerabilidad de autenticación impropia en la verificación de webhooks que permite a atacantes remotos eludir la verificación al suministrar encabezados reenviados no confiables. Los atacantes pueden falsificar eventos de webhook manipulando los encabezados Forwarded o X-Forwarded-* en configuraciones de proxy inverso que confían implícitamente en estos encabezados.
Vulnerabilidad en OpenClaw (CVE-2026-28467)
Severidad: MEDIA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 09/03/2026
Las versiones de OpenClaw anteriores a la 2026.2.2 contienen una vulnerabilidad de falsificación de petición del lado del servidor en la hidratación de URL de adjuntos y medios que permite a atacantes remotos obtener URL HTTP(S) arbitrarias. Los atacantes que pueden influir en las URL de medios a través de mecanismos de sendAttachment o de respuesta automática controlados por el modelo pueden desencadenar SSRF a recursos internos y exfiltrar los bytes de respuesta obtenidos como adjuntos salientes.
Vulnerabilidad en Chamilo (CVE-2025-55289)
Severidad: ALTA
Fecha de publicación: 06/03/2026
Fecha de última actualización: 09/03/2026
Chamilo es un sistema de gestión del aprendizaje. Antes de la versión 1.11.34, existe una vulnerabilidad XSS almacenado en Chamilo LMS (versión 1.11.32) que permite a un atacante inyectar JavaScript arbitrario en las funciones de red social y mensajería interna de la plataforma. Cuando es visto por un usuario autenticado (incluidos los administradores), la carga útil se ejecuta en su navegador dentro del contexto del LMS. Esto permite la toma de control total de la cuenta mediante el secuestro de sesión, acciones no autorizadas con los privilegios de la víctima, la exfiltración de datos sensibles y la posible autopropagación a otros usuarios. Este problema ha sido parcheado en la versión 1.11.34.
Vulnerabilidad en Chamilo (CVE-2025-59540)
Severidad: MEDIA
Fecha de publicación: 06/03/2026
Fecha de última actualización: 09/03/2026
Chamilo es un sistema de gestión del aprendizaje. Antes de la versión 1.11.34, existe una vulnerabilidad de XSS almacenado en Chamilo LMS que permite a una cuenta de personal ejecutar JavaScript arbitrario en el navegador de usuarios administradores con mayores privilegios. El problema surge porque la entrada de comentarios en la página de historial de ejercicios no se codifica correctamente antes de la renderización, permitiendo que scripts maliciosos persistan en la base de datos y se ejecuten al ser vistos. Este problema ha sido parcheado en la versión 1.11.34.
Vulnerabilidad en Chamilo (CVE-2025-59541)
Severidad: ALTA
Fecha de publicación: 06/03/2026
Fecha de última actualización: 09/03/2026
Chamilo es un sistema de gestión del aprendizaje. Antes de la versión 1.11.34, una vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) permite a un atacante eliminar proyectos dentro de un curso sin el consentimiento de la víctima. El problema surge porque las acciones sensibles, como la eliminación de proyectos, no implementan protecciones anti-CSRF (tokens) y se basan en peticiones GET. Como resultado, un usuario autenticado (Formador) puede ser engañado para ejecutar esta acción no deseada simplemente visitando una página maliciosa. Este problema ha sido parcheado en la versión 1.11.34.
Vulnerabilidad en Chamilo (CVE-2025-59542)
Severidad: CRÍTICA
Fecha de publicación: 06/03/2026
Fecha de última actualización: 09/03/2026
Chamilo es un sistema de gestión del aprendizaje. Antes de la versión 1.11.34, existe una vulnerabilidad de cross-site scripting (XSS) almacenado. Al inyectar JavaScript malicioso en el campo Settings de la ruta de aprendizaje del curso, un atacante con una cuenta de bajo privilegio (por ejemplo, instructor) puede ejecutar código JavaScript arbitrario en el contexto de cualquier otro usuario que vea la página de información del curso, incluidos los administradores. Esto permite a un atacante exfiltrar cookies o tokens de sesión sensibles, lo que resulta en la toma de control de cuentas (ATO) de usuarios con mayores privilegios. Este problema ha sido parcheado en la versión 1.11.34.
Vulnerabilidad en Chamilo (CVE-2025-59544)
Severidad: MEDIA
Fecha de publicación: 06/03/2026
Fecha de última actualización: 09/03/2026
Chamilo es un sistema de gestión del aprendizaje. Antes de la versión 1.11.34, la funcionalidad para que el usuario actualice la categoría no implementa comprobaciones de autorización para el parámetro 'category_id', lo que permite a los usuarios actualizar la categoría de cualquier usuario al reemplazar el parámetro 'category_id'. Este problema ha sido parcheado en la versión 1.11.34.
Vulnerabilidad en Gokapi de Forceu (CVE-2026-28682)
Severidad: MEDIA
Fecha de publicación: 06/03/2026
Fecha de última actualización: 09/03/2026
Gokapi es un servidor de intercambio de archivos autoalojado con expiración automática y soporte de cifrado. Antes de la versión 2.2.3, la implementación SSE del estado de carga en /uploadStatus publica el estado de carga global a cualquier oyente autenticado e incluye valores de file_id que no están acotados al usuario solicitante. Este problema ha sido parcheado en la versión 2.2.3.
Vulnerabilidad en Gokapi de Forceu (CVE-2026-29061)
Severidad: MEDIA
Fecha de publicación: 06/03/2026
Fecha de última actualización: 09/03/2026
Gokapi es un servidor de intercambio de archivos autoalojado con expiración automática y soporte de cifrado. Antes de la versión 2.2.3, una vulnerabilidad de escalada de privilegios en la lógica de degradación de rango de usuario permite que las claves API existentes de un usuario degradado retengan los permisos ApiPermManageFileRequests y ApiPermManageLogs, lo que permite el acceso continuo a los puntos finales de gestión de solicitudes de carga y visualización de registros después de que al usuario se le hayan retirado todos los privilegios. Este problema ha sido parcheado en la versión 2.2.3.