Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

Vulnerabilidad en Red Hat (CVE-2026-3047)
Severidad: ALTA
Fecha de publicación: 05/03/2026
Fecha de última actualización: 26/03/2026
Se encontró una vulnerabilidad en org.keycloak.broker.saml. Cuando un cliente de Security Assertion Markup Language (SAML) deshabilitado se configura como un objetivo de aterrizaje de intermediario iniciado por un Proveedor de Identidad (IdP), aún puede completar el proceso de inicio de sesión y establecer una sesión de Single Sign-On (SSO). Esto permite a un atacante remoto obtener acceso no autorizado a otros clientes habilitados sin re-autenticación, eludiendo eficazmente las restricciones de seguridad.
Vulnerabilidad en OpenClaw (CVE-2026-32062)
Severidad: ALTA
Fecha de publicación: 11/03/2026
Fecha de última actualización: 26/03/2026
Versiones de OpenClaw 2026.2.21-2 anteriores a la 2026.2.22 y versiones de @openclaw/voice-call 2026.2.21 anteriores a la 2026.2.22 aceptan actualizaciones de WebSocket de flujo de medios antes de la validación del flujo, permitiendo a clientes no autenticados establecer conexiones. Atacantes remotos pueden mantener sockets preautenticados inactivos abiertos para consumir recursos de conexión y degradar la disponibilidad del servicio para flujos legítimos.
Vulnerabilidad en devise de heartcombo (CVE-2026-32700)
Severidad: MEDIA
Fecha de publicación: 18/03/2026
Fecha de última actualización: 26/03/2026
Devise es una solución de autenticación para Rails basada en Warden. Antes de la versión 5.0.3, una condición de carrera en el módulo Confirmable de Devise permite a un atacante confirmar una dirección de correo electrónico que no posee. Esto afecta a cualquier aplicación Devise que utilice la opción 'reconfirmable' (la predeterminada al usar Confirmable con cambios de correo electrónico). Al enviar dos solicitudes concurrentes de cambio de correo electrónico, un atacante puede desincronizar los campos `confirmation_token` y `unconfirmed_email`. El token de confirmación se envía a un correo electrónico que el atacante controla, pero el `unconfirmed_email` en la base de datos apunta a la dirección de correo electrónico de una víctima. Cuando el atacante utiliza el token, el correo electrónico de la víctima se confirma en la cuenta del atacante. Esto está parcheado en Devise v5.0.3. Los usuarios deben actualizar lo antes posible. Como solución alternativa, las aplicaciones pueden sobrescribir un método específico de los modelos de Devise para forzar que `unconfirmed_email` se persista cuando no ha cambiado. Tenga en cuenta que Mongoid no parece respetar que `will_change!` debería forzar que el atributo se persista, incluso si realmente no cambió, por lo que el usuario podría tener que implementar una solución alternativa similar a Devise estableciendo `changed_attributes["unconfirmed_email"] = nil` también.
Vulnerabilidad en android de cryptomator (CVE-2026-32317)
Severidad: ALTA
Fecha de publicación: 20/03/2026
Fecha de última actualización: 26/03/2026
Cryptomator para Android ofrece cifrado del lado del cliente transparente multiplataforma para archivos en la nube. Antes de la versión 1.12.3, una vulnerabilidad de verificación de integridad permite a un atacante manipular el archivo de configuración de la bóveda, lo que lleva a una vulnerabilidad man-in-the-middle en el mecanismo de carga de claves de Hub. Antes de esta corrección, el cliente confiaba en los puntos finales de la configuración de la bóveda sin comprobaciones de autenticidad del host, lo que podría permitir la exfiltración de tokens al mezclar un punto final de autenticación legítimo con un punto final de API malicioso. Los usuarios afectados son aquellos que desbloquean bóvedas respaldadas por Hub con versiones de cliente afectadas en entornos donde un atacante puede alterar el archivo vault.cryptomator. Este problema ha sido parcheado en la versión 1.12.3.
Vulnerabilidad en CSWeb de Census (CVE-2025-60946)
Severidad: ALTA
Fecha de publicación: 23/03/2026
Fecha de última actualización: 26/03/2026
Census CSWeb 8.0.1 permite la entrada de ruta de archivo arbitraria. Un atacante remoto y autenticado podría acceder a directorios de archivos no deseados. Corregido en 8.1.0 alfa.
Vulnerabilidad en astro de withastro (CVE-2026-33768)
Severidad: MEDIA
Fecha de publicación: 24/03/2026
Fecha de última actualización: 26/03/2026
Astro es un web framework. Antes de la versión 10.0.2, el punto de entrada sin servidor @astrojs/vercel lee la cabecera x-astro-path y el parámetro de consulta x_astro_path para reescribir la ruta de solicitud interna, sin autenticación alguna. En despliegues sin Edge Middleware, esto permite a cualquiera eludir por completo las restricciones de ruta a nivel de plataforma de Vercel. La anulación preserva el método HTTP y el cuerpo originales, por lo que esto no se limita a GET. POST, PUT, DELETE todos aterrizan en la ruta reescrita. Una regla de cortafuegos que bloquea /admin/* no hace nada cuando la solicitud llega como POST /api/health?x_astro_path=/admin/delete-user. Este problema ha sido parcheado en la versión 10.0.2.
Vulnerabilidad en astro de withastro (CVE-2026-33769)
Severidad: BAJA
Fecha de publicación: 24/03/2026
Fecha de última actualización: 26/03/2026
Astro es un framework web. Desde la versión 2.10.10 hasta antes de la versión 5.18.1, este problema concierne la aplicación de rutas de remotePatterns de Astro para URLs remotas utilizadas por capturadores del lado del servidor, como el endpoint de optimización de imágenes. La lógica de coincidencia de rutas para comodines /* no está anclada, por lo que un nombre de ruta que contenga el prefijo permitido más adelante en la ruta aún puede coincidir. Como resultado, un atacante puede obtener rutas fuera del prefijo permitido previsto en un host que de otro modo estaría permitido. Este problema ha sido parcheado en la versión 5.18.1.