Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

Vulnerabilidad en ZeusWeb (CVE-2025-13651)
Severidad: MEDIA
Fecha de publicación: 11/02/2026
Fecha de última actualización: 26/03/2026
Exposición de Información Sensible del Sistema a un Actor No Autorizado vulnerabilidad en Microcom ZeusWeb permite la Huella Digital de Aplicación Web de datos sensibles. Este problema afecta a ZeusWeb: 6.1.31.
Vulnerabilidad en Red Hat (CVE-2025-9907)
Severidad: MEDIA
Fecha de publicación: 27/02/2026
Fecha de última actualización: 26/03/2026
Se encontró una falla en la Plataforma de Automatización Red Hat Ansible, API de Flujo de Eventos de Ansible Orientado a Eventos (EDA). Esta vulnerabilidad permite la exposición de credenciales sensibles del cliente y encabezados de infraestructura interna a través del campo test_headers cuando un flujo de eventos está en modo de prueba. El posible resultado incluye la fuga de detalles de infraestructura interna, la divulgación accidental de credenciales de usuario o del sistema, la escalada de privilegios si se exponen tokens de alto valor, y la exposición persistente de datos sensibles a todos los usuarios con acceso de lectura al flujo de eventos.
Vulnerabilidad en wolfSSL (CVE-2026-3230)
Severidad: BAJA
Fecha de publicación: 19/03/2026
Fecha de última actualización: 26/03/2026
Falta un paso criptográfico requerido en la lógica de handshake HelloRetryRequest del cliente TLS 1.3 en wolfSSL podría llevar a un compromiso en la confidencialidad de las comunicaciones protegidas por TLS a través de un HelloRetryRequest manipulado seguido de un mensaje ServerHello que omite la extensión key_share requerida, resultando en la derivación de secretos de tráfico predecibles a partir del secreto compartido (EC)DHE. Este problema no afecta la autenticación del cliente del servidor durante los handshakes TLS.
Vulnerabilidad en wolfSSL (CVE-2026-3547)
Severidad: ALTA
Fecha de publicación: 19/03/2026
Fecha de última actualización: 26/03/2026
Lectura fuera de límites en el análisis de ALPN debido a una validación incompleta. wolfSSL 5.8.4 y versiones anteriores contenían una lectura fuera de límites en el manejo de ALPN cuando se compilaba con ALPN habilitado (HAVE_ALPN / --enable-alpn). Una lista de protocolos ALPN manipulada podría desencadenar una lectura fuera de límites, lo que podría llevar a un bloqueo potencial del proceso (denegación de servicio). Tenga en cuenta que ALPN está deshabilitado por defecto, pero está habilitado para estas características de compatibilidad de terceros: enable-apachehttpd, enable-bind, enable-curl, enable-haproxy, enable-hitch, enable-lighty, enable-jni, enable-nginx, enable-quic.
Vulnerabilidad en wofSSL (CVE-2026-3549)
Severidad: ALTA
Fecha de publicación: 19/03/2026
Fecha de última actualización: 26/03/2026
Desbordamiento de montículo en el análisis de ECH de TLS 1.3. Existía un desbordamiento negativo de enteros en la lógica de análisis de la extensión ECH al calcular la longitud de un búfer, lo que resultó en la escritura más allá de los límites de un búfer asignado. Tenga en cuenta que en wolfSSL, ECH está desactivado por defecto, y el estándar ECH aún está evolucionando.
Vulnerabilidad en wolfSSL Inc. (CVE-2026-3849)
Severidad: MEDIA
Fecha de publicación: 19/03/2026
Fecha de última actualización: 26/03/2026
Desbordamiento de búfer de pila en wc_HpkeLabeledExtract a través de una configuración ECH sobredimensionada. Existía una vulnerabilidad en el soporte ECH (Encrypted Client Hello) de wolfSSL 5.8.4, donde una configuración ECH creada maliciosamente podría causar un desbordamiento de búfer de pila en el lado del cliente, lo que podría llevar a una ejecución remota potencial y a un fallo del programa del cliente. Esto podría ser explotado por un servidor TLS malicioso que soporte ECH. Tenga en cuenta que ECH está desactivado por defecto y solo se habilita con enable-ech.
Vulnerabilidad en wolfSSL (CVE-2026-4395)
Severidad: BAJA
Fecha de publicación: 19/03/2026
Fecha de última actualización: 26/03/2026
Un desbordamiento de búfer basado en montículo en la ruta de código KCAPI ECC de wc_ecc_import_x963_ex() en wolfSSL wolfcrypt permite a un atacante remoto escribir datos controlados por el atacante más allá de los límites del búfer pubkey_raw a través de un punto de clave pública EC sobredimensionado y manipulado. La ruta de código WOLFSSL_KCAPI_ECC copia la entrada a key->pubkey_raw (132 bytes) usando XMEMCPY sin una verificación de límites, a diferencia de la ruta de código ATECC que incluye una validación de longitud. Esto puede ser activado durante el intercambio de claves TLS cuando un par malicioso envía un ECPoint manipulado en ServerKeyExchange.
Vulnerabilidad en pyLoad (CVE-2026-32808)
Severidad: ALTA
Fecha de publicación: 20/03/2026
Fecha de última actualización: 26/03/2026
pyLoad es un gestor de descargas gratuito y de código abierto escrito en Python. Las versiones anteriores a 0.5.0b3.dev97 son vulnerables a salto de ruta durante la verificación de contraseña de ciertos archivos 7z cifrados (archivos cifrados con encabezados no cifrados), causando la eliminación arbitraria de archivos fuera del directorio de extracción. Durante la verificación de contraseña, pyLoad deriva un nombre de entrada de archivo de la salida de listado de 7z y lo trata como una ruta del sistema de archivos sin restringirlo al directorio de extracción. Este problema ha sido corregido en la versión 0.5.0b3.dev97.
Vulnerabilidad en XnSoft NConvert (CVE-2026-30006)
Severidad: MEDIA
Fecha de publicación: 23/03/2026
Fecha de última actualización: 26/03/2026
XnSoft NConvert 7.230 es vulnerable a desbordamiento de búfer de pila a través de un archivo .tiff manipulado.
Vulnerabilidad en XnSoft NConvert (CVE-2026-30007)
Severidad: MEDIA
Fecha de publicación: 23/03/2026
Fecha de última actualización: 26/03/2026
XnSoft NConvert 7.230 es vulnerable a uso después de liberación a través de un archivo .tiff manipulado.
Vulnerabilidad en pipeline de tektoncd (CVE-2026-33211)
Severidad: CRÍTICA
Fecha de publicación: 24/03/2026
Fecha de última actualización: 26/03/2026
El proyecto Tekton Pipelines proporciona recursos estilo k8s para declarar pipelines estilo CI/CD. A partir de la versión 1.0.0 y antes de las versiones 1.0.1, 1.3.3, 1.6.1, 1.9.2 y 1.10.2, el resolvedor git de Tekton Pipelines es vulnerable a salto de ruta a través del parámetro 'pathInRepo'. Un inquilino con permiso para crear 'ResolutionRequests' (por ejemplo, creando 'TaskRuns' o 'PipelineRuns' que usan el resolvedor git) puede leer archivos arbitrarios del sistema de archivos del pod del resolvedor, incluyendo tokens de ServiceAccount. El contenido del archivo se devuelve codificado en base64 en 'resolutionrequest.status.data'. Las versiones 1.0.1, 1.3.3, 1.6.1, 1.9.2 y 1.10.2 contienen un parche.
Vulnerabilidad en Android-ImageMagick7 de MolotovCherry (CVE-2026-33856)
Severidad: ALTA
Fecha de publicación: 24/03/2026
Fecha de última actualización: 26/03/2026
Vulnerabilidad por falta de liberación de memoria después de la vida útil efectiva en MolotovCherry Android-ImageMagick7. Este problema afecta a Android-ImageMagick7: antes de 7.1.2-11.
Vulnerabilidad en Android-ImageMagick7 de MolotovCherry (CVE-2026-33852)
Severidad: ALTA
Fecha de publicación: 24/03/2026
Fecha de última actualización: 26/03/2026
Vulnerabilidad por ausencia de liberación de memoria después de la vida útil efectiva en MolotovCherry Android-ImageMagick7. Este problema afecta a Android-ImageMagick7: antes de 7.1.2-11.
Vulnerabilidad en Android-ImageMagick7 de MolotovCherry (CVE-2026-4754)
Severidad: MEDIA
Fecha de publicación: 24/03/2026
Fecha de última actualización: 26/03/2026
Vulnerabilidad CWE-79 en MolotovCherry Android-ImageMagick7. Este problema afecta a Android-ImageMagick7: anterior a 7.1.2-11.
Vulnerabilidad en Android-ImageMagick7 de MolotovCherry (CVE-2026-4755)
Severidad: CRÍTICA
Fecha de publicación: 24/03/2026
Fecha de última actualización: 26/03/2026
Vulnerabilidad CWE-20 en MolotovCherry Android-ImageMagick7. Este problema afecta a Android-ImageMagick7: anterior a 7.1.2-11.
Vulnerabilidad en Android-ImageMagick7 de MolotovCherry (CVE-2026-4756)
Severidad: ALTA
Fecha de publicación: 24/03/2026
Fecha de última actualización: 26/03/2026
Vulnerabilidad de escritura fuera de límites en MolotovCherry Android-ImageMagick7. Este problema afecta a Android-ImageMagick7: anterior a 7.1.2-11.