Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • Vulnerabilidad en HackerOne (CVE-2024-21890)
    Severidad: MEDIA
    Fecha de publicación: 20/02/2024
    Fecha de última actualización: 12/02/2025
    El modelo de permisos de Node.js no aclara en la documentación que los comodines solo deben usarse como último carácter de la ruta de un archivo. Por ejemplo: ``` --allow-fs-read=/home/node/.ssh/*.pub ``` ignorará `pub` y dará acceso a todo lo que esté después de `.ssh/`. Esta documentación engañosa afecta a todos los usuarios que utilizan el modelo de permiso experimental en Node.js 20 y Node.js 21. Tenga en cuenta que en el momento en que se emitió este CVE, el modelo de permiso es una característica experimental de Node.js.
  • Vulnerabilidad en HackerOne (CVE-2024-21891)
    Severidad: ALTA
    Fecha de publicación: 20/02/2024
    Fecha de última actualización: 12/02/2025
    Node.js depende de múltiples funciones de utilidad integradas para normalizar las rutas proporcionadas a las funciones de node:fs, que pueden ser exageradas con implementaciones definidas por el usuario que conducen a la omisión del modelo de permisos del sistema de archivos mediante un ataque de path traversal. Esta vulnerabilidad afecta a todos los usuarios que utilizan el modelo de permiso experimental en Node.js 20 y Node.js 21. Tenga en cuenta que en el momento en que se emitió este CVE, el modelo de permiso es una característica experimental de Node.js.
  • Vulnerabilidad en Animate (CVE-2025-21135)
    Severidad: ALTA
    Fecha de publicación: 14/01/2025
    Fecha de última actualización: 12/02/2025
    Las versiones 24.0.6, 23.0.9 y anteriores de Animate se ven afectadas por una vulnerabilidad de desbordamiento de enteros (Wrap o Wraparound) que podría provocar la ejecución de código arbitrario en el contexto del usuario actual. Para explotar este problema es necesaria la interacción del usuario, ya que la víctima debe abrir un archivo malicioso.
  • Vulnerabilidad en Fortinet, Inc. (CVE-2022-23439)
    Severidad: MEDIA
    Fecha de publicación: 22/01/2025
    Fecha de última actualización: 12/02/2025
    Una referencia controlada externamente a un recurso en otra esfera en Fortinet FortiManager anterior a la versión 7.4.3, FortiMail anterior a la versión 7.0.3, FortiAnalyzer anterior a la versión 7.4.3, FortiVoice versión 7.0.0, 7.0.1 y anterior a 6.4.8, FortiProxy anterior a la versión 7.0.4, FortiRecorder versión 6.4.0 a 6.4.2 y anterior a 6.0.10, FortiAuthenticator versión 6.4.0 a 6.4.1 y anterior a 6.3.3, FortiNDR versión 7.2.0 anterior a 7.1.0, FortiWLC anterior a la versión 8.6.4, FortiPortal anterior a la versión 6.0.9, FortiOS versión 7.2.0 y anterior a 7.0.5, FortiADC versión 7.0.0 a 7.0.1 y anterior 6.2.3, FortiDDoS anterior a la versión 5.5.1, FortiDDoS-F anterior a la versión 6.3.3, FortiTester anterior a la versión 7.2.1, FortiSOAR anterior a la versión 7.2.2 y FortiSwitch anterior a la versión 6.3.3 permiten a los atacantes envenenar cachés web a través de solicitudes HTTP manipulado, donde el encabezado `Host` apunta a un servidor web arbitrario.
  • Vulnerabilidad en libsthmbc.so (CVE-2025-20881)
    Severidad: ALTA
    Fecha de publicación: 04/02/2025
    Fecha de última actualización: 12/02/2025
    Fuera de los límites permite que los atacantes locales ejecuten código arbitrario con privilegios al acceder al búfer que almacena los fotogramas de vídeo decodificados en libsthmbc.so antes de la versión 1 de SMR de enero de 2025. Se requiere la interacción del usuario para activar esta vulnerabilidad.
  • Vulnerabilidad en libsthmbc.so (CVE-2025-20882)
    Severidad: ALTA
    Fecha de publicación: 04/02/2025
    Fecha de última actualización: 12/02/2025
    Fuera de los límites permite que los atacantes locales ejecuten código arbitrario con privilegios al acceder a la memoria no inicializada para svc1td en libsthmbc.so anterior a la versión 1 de SMR de enero de 2025. Se requiere la interacción del usuario para activar esta vulnerabilidad.
  • Vulnerabilidad en SoundPicker (CVE-2025-20883)
    Severidad: MEDIA
    Fecha de publicación: 04/02/2025
    Fecha de última actualización: 12/02/2025
    El control de acceso inadecuado en SoundPicker anterior a SMR Jan-2025 Release 1 permite que atacantes físicos accedan a datos de múltiples perfiles de usuario.
  • Vulnerabilidad en Samsung Message (CVE-2025-20884)
    Severidad: MEDIA
    Fecha de publicación: 04/02/2025
    Fecha de última actualización: 12/02/2025
    El control de acceso inadecuado en Samsung Message anterior a SMR Jan-2025 Release 1 permite que atacantes físicos accedan a datos de múltiples perfiles de usuario.
  • Vulnerabilidad en softsim TA (CVE-2025-20885)
    Severidad: MEDIA
    Fecha de publicación: 04/02/2025
    Fecha de última actualización: 12/02/2025
    Fuera de los límites escrito en softsim TA antes de SMR Jan-2025 Release 1 permite que atacantes privilegiados locales provoquen corrupción en la memoria.
  • Vulnerabilidad en Softsim TA (CVE-2025-20886)
    Severidad: MEDIA
    Fecha de publicación: 04/02/2025
    Fecha de última actualización: 12/02/2025
    La inclusión de información confidencial en el código de prueba en Softsim TA anterior a SMR Jan-2025 Release 1 permite que atacantes privilegiados locales obtengan la clave de prueba.
  • Vulnerabilidad en libsthmbc.so (CVE-2025-20887)
    Severidad: MEDIA
    Fecha de publicación: 04/02/2025
    Fecha de última actualización: 12/02/2025
    Fuera de los límites permite a atacantes locales leer memoria arbitraria al acceder a la tabla utilizada para svp8t en libsthmbc.so anterior a la versión 1 de SMR de enero de 2025. Se requiere la interacción del usuario para activar esta vulnerabilidad.
  • Vulnerabilidad en libsthmbc.so (CVE-2025-20888)
    Severidad: ALTA
    Fecha de publicación: 04/02/2025
    Fecha de última actualización: 12/02/2025
    La escritura fuera de los límites en la gestión del tamaño de bloque para smp4vtd en libsthmbc.so anterior a la versión 1 de SMR de enero de 2025 permite que los atacantes locales ejecuten código arbitrario con privilegios. Se requiere la interacción del usuario para activar esta vulnerabilidad.
  • Vulnerabilidad en libsthmbc.so (CVE-2025-20889)
    Severidad: MEDIA
    Fecha de publicación: 04/02/2025
    Fecha de última actualización: 12/02/2025
    Fuera de los límites lee un flujo de bits mal formado para decodificar smp4vtd en libsthmbc.so anterior a la versión 1 de SMR de enero de 2025 que permite a los atacantes locales leer memoria arbitraria. Se requiere la interacción del usuario para activar esta vulnerabilidad.
  • Vulnerabilidad en libsthmbc.so (CVE-2025-20890)
    Severidad: ALTA
    Fecha de publicación: 04/02/2025
    Fecha de última actualización: 12/02/2025
    La escritura fuera de los límites en el búfer de decodificación framework en libsthmbc.so anterior a la versión 1 de SMR de enero de 2025 permite a los atacantes locales ejecutar código arbitrario con privilegios. Se requiere la interacción del usuario para activar esta vulnerabilidad.
  • Vulnerabilidad en libsthmbc.so (CVE-2025-20891)
    Severidad: MEDIA
    Fecha de publicación: 04/02/2025
    Fecha de última actualización: 12/02/2025
    Fuera de los límites lee secuencias de bits mal formadas de decodificación de miniaturas de video en libsthmbc.so anteriores a la versión 1 de SMR de enero de 2025, lo que permite a atacantes locales leer memoria arbitraria. Se requiere la interacción del usuario para activar esta vulnerabilidad.
  • Vulnerabilidad en Samsung Mobile (CVE-2025-20892)
    Severidad: MEDIA
    Fecha de publicación: 04/02/2025
    Fecha de última actualización: 12/02/2025
    Un fallo en el mecanismo de protección del cargador de arranque anterior a la versión 1 de SMR de enero de 2025 permite a los atacantes físicos ejecutar el comando fastboot. Se requiere la interacción del usuario para activar esta vulnerabilidad.
  • Vulnerabilidad en Samsung Mobile (CVE-2025-20893)
    Severidad: MEDIA
    Fecha de publicación: 04/02/2025
    Fecha de última actualización: 12/02/2025
    El control de acceso inadecuado en NotificationManager anterior a SMR Jan-2025 Release 1 permite a atacantes locales cambiar la configuración de las notificaciones.
  • Vulnerabilidad en Samsung Mobile (CVE-2025-20904)
    Severidad: MEDIA
    Fecha de publicación: 04/02/2025
    Fecha de última actualización: 12/02/2025
    Fuera de los límites escribe en el trustlet TUI de mPOS antes de la versión 1 de SMR de febrero de 2025 que permite que atacantes privilegiados locales provoquen corrupción en la memoria.
  • Vulnerabilidad en Samsung Mobile (CVE-2025-20905)
    Severidad: MEDIA
    Fecha de publicación: 04/02/2025
    Fecha de última actualización: 12/02/2025
    La lectura y escritura de fuera de los límites en el trustlet TUI de mPOS anterior a SMR (febrero de 2025), versión 1, permite a atacantes privilegiados locales leer y escribir memoria fuera de los límites.
  • Vulnerabilidad en Samsung Mobile (CVE-2025-20907)
    Severidad: MEDIA
    Fecha de publicación: 04/02/2025
    Fecha de última actualización: 12/02/2025
    La gestión inadecuada de privilegios en Samsung Find anterior a SMR Feb-2025 Release 1 permite que atacantes privilegiados locales desactiven Samsung Find.