Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • Vulnerabilidad en ci4ms de ci4-cms-erp (CVE-2026-27599)
    Severidad: MEDIA
    Fecha de publicación: 30/03/2026
    Fecha de última actualización: 06/04/2026
    CI4MS es un esqueleto de CMS basado en CodeIgniter 4 que ofrece una arquitectura modular lista para producción con autorización RBAC y soporte de temas. Antes de la versión 0.31.0.0, la aplicación no logra sanear correctamente la entrada controlada por el usuario dentro de Configuración del Sistema – Configuración de Correo. Varios campos de configuración, incluyendo Servidor de Correo, Puerto de Correo, Dirección de Correo Electrónico, Contraseña de Correo Electrónico, Protocolo de Correo y configuraciones TLS, aceptan entrada controlada por el atacante que se almacena en el lado del servidor y luego se renderiza sin una codificación de salida adecuada. Este problema ha sido parcheado en la versión 0.31.0.0.
  • Vulnerabilidad en ci4ms de ci4-cms-erp (CVE-2026-34557)
    Severidad: CRÍTICA
    Fecha de publicación: 30/03/2026
    Fecha de última actualización: 06/04/2026
    CI4MS es un esqueleto de CMS basado en CodeIgniter 4 que ofrece una arquitectura modular lista para producción con autorización RBAC y soporte de temas. Antes de la versión 0.31.0.0, la aplicación no logra sanitizar correctamente la entrada controlada por el usuario dentro de la funcionalidad de gestión de grupos y roles. Múltiples campos de entrada (tres campos distintos relacionados con grupos) pueden ser inyectados con cargas útiles de JavaScript maliciosas, las cuales son luego almacenadas en el servidor. Estas cargas útiles almacenadas son luego renderizadas de forma insegura dentro de vistas administrativas privilegiadas sin una codificación de salida adecuada, lo que lleva a cross-site scripting (XSS) almacenado dentro del contexto de gestión de roles y permisos. Este problema ha sido parcheado en la versión 0.31.0.0.