Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

• Vulnerabilidad en e-mobi.hu de Mobiliti (CVE-2026-26051)
  Severidad: CRÍTICA
  Fecha de publicación: 06/03/2026
  Fecha de última actualización: 05/05/2026
  Los puntos finales de WebSocket carecen de mecanismos de autenticación adecuados, lo que permite a los atacantes realizar suplantación de estación no autorizada y manipular datos enviados al backend. Un atacante no autenticado puede conectarse al punto final WebSocket de OCPP utilizando un identificador de estación de carga conocido o descubierto, luego emitir o recibir comandos OCPP como un cargador legítimo. Dado que no se requiere autenticación, esto puede llevar a la escalada de privilegios, control no autorizado de la infraestructura de carga y corrupción de los datos de la red de carga informados al backend.
  
• Vulnerabilidad en e-mobi.hu de Mobiliti (CVE-2026-20882)
  Severidad: ALTA
  Fecha de publicación: 06/03/2026
  Fecha de última actualización: 05/05/2026
  La interfaz de programación de aplicaciones WebSocket carece de restricciones sobre el número de solicitudes de autenticación. Esta ausencia de limitación de velocidad puede permitir a un atacante realizar ataques de denegación de servicio suprimiendo o redirigiendo erróneamente la telemetría legítima del cargador, o realizar ataques de fuerza bruta para obtener acceso no autorizado.
  
• Vulnerabilidad en e-mobi.hu de Mobiliti (CVE-2026-27764)
  Severidad: MEDIA
  Fecha de publicación: 06/03/2026
  Fecha de última actualización: 05/05/2026
  El backend de WebSocket utiliza identificadores de estaciones de carga para asociar sesiones de forma única, pero permite que múltiples puntos finales se conecten utilizando el mismo identificador de sesión. Esta implementación resulta en identificadores de sesión predecibles y permite el secuestro o la suplantación de sesión, donde la conexión más reciente desplaza a la estación de carga legítima y recibe comandos del backend destinados a esa estación. Esta vulnerabilidad puede permitir a usuarios no autorizados autenticarse como otros usuarios o permitir a un actor malicioso causar una condición de denegación de servicio al sobrecargar el backend con solicitudes de sesión válidas.
  
• Vulnerabilidad en inetutils de GNU (CVE-2026-32746)
  Severidad: CRÍTICA
  Fecha de publicación: 13/03/2026
  Fecha de última actualización: 05/05/2026
  telnetd en GNU inetutils hasta 2.7 permite una escritura fuera de límites en el gestor de la subopción LINEMODE SLC (Set Local Characters) porque add_slc no verifica si el búfer está lleno.
  
• Vulnerabilidad en inetutils de GNU (CVE-2026-32772)
  Severidad: BAJA
  Fecha de publicación: 16/03/2026
  Fecha de última actualización: 05/05/2026
  telnet en GNU inetutils a través de 2.7 permite a los servidores leer variables de entorno arbitrarias de los clientes a través de NEW_ENVIRON SEND USERVAR.
  
• Vulnerabilidad en Red Hat (CVE-2026-4424)
  Severidad: ALTA
  Fecha de publicación: 19/03/2026
  Fecha de última actualización: 05/05/2026
  Se encontró una falla en libarchive. Esta vulnerabilidad de lectura fuera de límites de la pila (heap) existe en la lógica de procesamiento de archivos RAR debido a una validación incorrecta del tamaño de la ventana deslizante LZSS después de las transiciones entre métodos de compresión. Un atacante remoto puede explotar esto al proporcionar un archivo RAR especialmente diseñado, lo que lleva a la divulgación de información sensible de la memoria de la pila (heap) sin requerir autenticación ni interacción del usuario.