Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

• Vulnerabilidad en Nginx UI (CVE-2024-49367)
  Severidad: MEDIA
  Fecha de publicación: 21/10/2024
  Fecha de última actualización: 07/11/2024
  Nginx UI es una interfaz de usuario web para el servidor web Nginx. Antes de la versión 2.0.0-beta.36, la ruta de registro de nginxui era controlable. Este problema se puede combinar con el recorrido del directorio en `/api/configs` para leer directorios y contenidos de archivos en el servidor. La versión 2.0.0-beta.36 soluciona el problema.
  
• Vulnerabilidad en kernel de Linux (CVE-2022-48994)
  Severidad: MEDIA
  Fecha de publicación: 21/10/2024
  Fecha de última actualización: 07/11/2024
  En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ALSA: seq: Fix function prototipo desajuste en snd_seq_expand_var_event Con la integridad del flujo de control del kernel de clang (kCFI, CONFIG_CFI_CLANG), los objetivos de llamada indirecta se validan contra el prototipo de puntero de función esperado para asegurarse de que el objetivo de llamada sea válido para ayudar a mitigar los ataques ROP. Si no son idénticos, hay un error en el tiempo de ejecución, que se manifiesta como un pánico del kernel o la muerte del hilo. seq_copy_in_user() y seq_copy_in_kernel() no tenían prototipos que coincidieran con snd_seq_dump_func_t. Ajústelo y elimine las conversiones. No hay diferencias de salida binaria resultantes. Esto se encontró como resultado del nuevo indicador -Wcast-function-type-strict de Clang, que es más sensible que el más simple -Wcast-function-type, que solo verifica los desajustes de ancho de tipo.
  
• Vulnerabilidad en Tenda i22 1.0.0.3(4687) (CVE-2024-10750)
  Severidad: ALTA
  Fecha de publicación: 04/11/2024
  Fecha de última actualización: 07/11/2024
  Se ha encontrado una vulnerabilidad en Tenda i22 1.0.0.3(4687) y se ha clasificado como problemática. Esta vulnerabilidad afecta a la función websReadEvent del archivo /goform/GetIPTV?fgHPOST/goform/SysToo. La manipulación del argumento Content-Length provoca la desreferenciación de un puntero nulo. El ataque se puede ejecutar de forma remota. El exploit se ha hecho público y puede utilizarse.
  
• Vulnerabilidad en University Event Management System 1.0 (CVE-2024-10805)
  Severidad: MEDIA
  Fecha de publicación: 04/11/2024
  Fecha de última actualización: 07/11/2024
  Se ha encontrado una vulnerabilidad en el University Event Management System 1.0. Se ha clasificado como crítica. Afecta a una parte desconocida del archivo doedit.php. La manipulación del argumento id provoca una inyección SQL. Es posible iniciar el ataque de forma remota. El exploit se ha hecho público y puede utilizarse. El aviso inicial para investigadores menciona que el nombre del producto afectado puede resultar confuso. También podrían verse afectados otros parámetros.
  
• Vulnerabilidad en WooCommerce - Social Login para WordPress (CVE-2024-10114)
  Severidad: ALTA
  Fecha de publicación: 05/11/2024
  Fecha de última actualización: 07/11/2024
  El complemento WooCommerce - Social Login para WordPress es vulnerable a la omisión de autenticación en todas las versiones hasta la 2.7.7 incluida. Esto se debe a una verificación insuficiente del usuario que devuelve el token de inicio de sesión social. Esto hace posible que atacantes no autenticados inicien sesión como cualquier usuario existente en el sitio, como un administrador, si tienen acceso al correo electrónico y el usuario no tiene una cuenta ya existente para el servicio que devuelve el token.
  
• Vulnerabilidad en WooCommerce Report para WordPress (CVE-2024-10711)
  Severidad: ALTA
  Fecha de publicación: 05/11/2024
  Fecha de última actualización: 07/11/2024
  El complemento WooCommerce Report para WordPress es vulnerable a Cross-Site Request Forgery en todas las versiones hasta la 1.5.1 incluida. Esto se debe a la falta o la validación incorrecta de nonce en la función de actualización de configuraciones. Esto permite que atacantes no autenticados actualicen opciones arbitrarias que se pueden aprovechar para la escalada de privilegios a través de una solicitud falsificada, siempre que puedan engañar a un administrador del sitio para que realice una acción como hacer clic en un enlace.
  
• Vulnerabilidad en logo module Impact (CVE-2024-51510)
  Severidad: MEDIA
  Fecha de publicación: 05/11/2024
  Fecha de última actualización: 07/11/2024
  Vulnerabilidad de acceso fuera de los límites en logo module Impact: La explotación exitosa de esta vulnerabilidad puede afectar la confidencialidad del servicio.
  
• Vulnerabilidad en WantAgent module Impact (CVE-2024-51511)
  Severidad: MEDIA
  Fecha de publicación: 05/11/2024
  Fecha de última actualización: 07/11/2024
  Vulnerabilidad del tipo de parámetro no verificado en WantAgent module Impact: La explotación exitosa de esta vulnerabilidad puede afectar la disponibilidad.
  
• Vulnerabilidad en WantAgent module Impact (CVE-2024-51512)
  Severidad: MEDIA
  Fecha de publicación: 05/11/2024
  Fecha de última actualización: 07/11/2024
  Vulnerabilidad del tipo de parámetro no verificado en WantAgent module Impact: La explotación exitosa de esta vulnerabilidad puede afectar la disponibilidad.