Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • Vulnerabilidad en Content Blocks para WordPress (CVE-2024-3564)
    Severidad: ALTA
    Fecha de publicación: 01/06/2024
    Fecha de última actualización: 19/02/2025
    El complemento Content Blocks (Widget de publicación personalizado) para WordPress es vulnerable a la inclusión de archivos locales en todas las versiones hasta la 3.3.0 incluida a través del código corto 'content_block' del complemento. Esto hace posible que atacantes autenticados, con acceso de nivel de colaborador y superior, incluyan y ejecuten archivos arbitrarios en el servidor, permitiendo la ejecución de cualquier código PHP en esos archivos. Esto se puede utilizar para eludir los controles de acceso, obtener datos confidenciales o lograr la ejecución de código en los casos en que se puedan cargar e incluir imágenes y otros tipos de archivos "seguros".
  • Vulnerabilidad en Content Blocks para WordPress (CVE-2024-3565)
    Severidad: MEDIA
    Fecha de publicación: 01/06/2024
    Fecha de última actualización: 19/02/2025
    El complemento Content Blocks (Widget de publicación personalizado) para WordPress es vulnerable a Cross-Site Scripting Almacenado a través del código corto 'content_block' del complemento en todas las versiones hasta la 3.3.0 incluida debido a una sanitización de entrada insuficiente y a un escape de salida en los atributos proporcionados por el usuario. Esto hace posible que atacantes autenticados, con acceso de nivel de colaborador y superior, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
  • Vulnerabilidad en Jira Core Data Center (CVE-2024-21685)
    Severidad: MEDIA
    Fecha de publicación: 18/06/2024
    Fecha de última actualización: 19/02/2025
    Esta vulnerabilidad de divulgación de información de alta gravedad se introdujo en las versiones 9.4.0, 9.12.0 y 9.15.0 de Jira Core Data Center. Esta vulnerabilidad de divulgación de información, con una puntuación CVSS de 7,4, permite a un atacante no autenticado ver información confidencial a través de una vulnerabilidad de divulgación de información que tiene un alto impacto en la confidencialidad, ningún impacto en la integridad, ningún impacto en la disponibilidad y requiere la interacción del usuario. Atlassian recomienda que los clientes de Jira Core Data Center actualicen a la última versión; si no pueden hacerlo, actualicen su instancia a una de las versiones fijas admitidas especificadas: Jira Core Data Center 9.4: actualice a una versión superior o igual a 9.4. 21 Jira Core Data Center 9.12: actualice a una versión superior o igual a 9.12.8 Jira Core Data Center 9.16: actualice a una versión superior o igual a 9.16.0 Consulte las notas de la versión. Puede descargar la última versión de Jira Core Data Center desde el centro de descargas. Esta vulnerabilidad se encontró internamente.
  • Vulnerabilidad en complemento WooCommerce Product Table Lite para WordPress (CVE-2024-6458)
    Severidad: MEDIA
    Fecha de publicación: 27/07/2024
    Fecha de última actualización: 19/02/2025
    El complemento WooCommerce Product Table Lite para WordPress es vulnerable a modificaciones no autorizadas del título de la publicación debido a una falta de verificación de capacidad en la función wcpt_presets__duplicate_preset_to_table en todas las versiones hasta la 3.5.1 incluida. Esto hace posible que atacantes autenticados con acceso de suscriptor y superior cambien títulos de publicaciones arbitrarias. La falta de sanitización puede provocar Cross Site Scripting almacenado cuando un administrador los ve a través de la tabla de productos de WooCommerce.
  • Vulnerabilidad en WC Product Table WooCommerce Product Table Lite (CVE-2024-43128)
    Severidad: MEDIA
    Fecha de publicación: 13/08/2024
    Fecha de última actualización: 19/02/2025
    Vulnerabilidad de control inadecuado de generación de código ("inyección de código") en WC Product Table WooCommerce Product Table Lite permite la inyección de código. Este problema afecta a WooCommerce Product Table Lite: desde n/a hasta 3.5.1.
  • Vulnerabilidad en SSLVPN authentication mechanism (CVE-2024-53704)
    Severidad: CRÍTICA
    Fecha de publicación: 09/01/2025
    Fecha de última actualización: 19/02/2025
    Una vulnerabilidad de autenticación incorrecta en SSLVPN authentication mechanism permite a un atacante remoto eludir la autenticación.
  • Vulnerabilidad en woocommerce-pdf-invoices-packing-slips (CVE-2025-24373)
    Severidad: MEDIA
    Fecha de publicación: 04/02/2025
    Fecha de última actualización: 19/02/2025
    woocommerce-pdf-invoices-packing-slips es una extensión que permite a los usuarios crear, imprimir y enviar automáticamente por correo electrónico facturas y albaranes en formato PDF para pedidos de WooCommerce. Esta vulnerabilidad permite a usuarios no autorizados acceder a cualquier documento PDF de una tienda si: 1. Tienen acceso a un enlace de documento de invitado y 2. Reemplazan la variable URL `my-account` por `bulk`. El problema ocurre cuando: 1. El acceso al documento de la tienda está configurado como "invitado". y 2. El usuario ha cerrado la sesión. Esta vulnerabilidad compromete la confidencialidad de documentos confidenciales, lo que afecta a todas las tiendas que utilizan el complemento con la opción de acceso de invitado habilitada. Este problema se ha solucionado en la versión 4.0.0 y se recomienda a todos los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.
  • Vulnerabilidad en Microsoft Corporation (CVE-2025-21381)
    Severidad: ALTA
    Fecha de publicación: 11/02/2025
    Fecha de última actualización: 19/02/2025
    Vulnerabilidad de ejecución remota de código en Microsoft Excel
  • Vulnerabilidad en Microsoft Corporation (CVE-2025-21383)
    Severidad: ALTA
    Fecha de publicación: 11/02/2025
    Fecha de última actualización: 19/02/2025
    Vulnerabilidad de divulgación de información en Microsoft Excel
  • Vulnerabilidad en Microsoft Corporation (CVE-2025-21386)
    Severidad: ALTA
    Fecha de publicación: 11/02/2025
    Fecha de última actualización: 19/02/2025
    Vulnerabilidad de ejecución remota de código en Microsoft Excel
  • Vulnerabilidad en Microsoft Corporation (CVE-2025-21387)
    Severidad: ALTA
    Fecha de publicación: 11/02/2025
    Fecha de última actualización: 19/02/2025
    Vulnerabilidad de ejecución remota de código en Microsoft Excel
  • Vulnerabilidad en Microsoft Corporation (CVE-2025-21390)
    Severidad: ALTA
    Fecha de publicación: 11/02/2025
    Fecha de última actualización: 19/02/2025
    Vulnerabilidad de ejecución remota de código en Microsoft Excel
  • Vulnerabilidad en Microsoft Corporation (CVE-2025-21394)
    Severidad: ALTA
    Fecha de publicación: 11/02/2025
    Fecha de última actualización: 19/02/2025
    Vulnerabilidad de ejecución remota de código en Microsoft Excel
  • Vulnerabilidad en Tungsten Automation Power PDF (CVE-2024-12547)
    Severidad: ALTA
    Fecha de publicación: 11/02/2025
    Fecha de última actualización: 19/02/2025
    Vulnerabilidad de ejecución de código remoto fuera de los límites en el análisis de archivos JPF de Tungsten Automation Power PDF. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en las instalaciones afectadas de Tungsten Automation Power PDF. Se requiere la interacción del usuario para explotar esta vulnerabilidad, ya que el objetivo debe visitar una página maliciosa o abrir un archivo malicioso. La falla específica existe en el análisis de archivos JPF. El problema es el resultado de la falta de una validación adecuada de los datos proporcionados por el usuario, lo que puede provocar una escritura más allá del final de un objeto asignado. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual. Era ZDI-CAN-25560.
  • Vulnerabilidad en Tungsten Automation Power PDF (CVE-2024-12548)
    Severidad: BAJA
    Fecha de publicación: 11/02/2025
    Fecha de última actualización: 19/02/2025
    Vulnerabilidad de divulgación de información de Use-After-Free en el análisis de archivos JP2 de Tungsten Automation Power PDF. Esta vulnerabilidad permite a atacantes remotos divulgar información confidencial sobre instalaciones afectadas de Tungsten Automation Power PDF. Se requiere la interacción del usuario para explotar esta vulnerabilidad, ya que el objetivo debe visitar una página maliciosa o abrir un archivo malicioso. La falla específica existe en el análisis de archivos JP2. El problema es el resultado de la falta de validación de la existencia de un objeto antes de realizar operaciones en el objeto. Un atacante puede aprovechar esto junto con otras vulnerabilidades para ejecutar código arbitrario en el contexto del proceso actual. Era ZDI-CAN-25564.
  • Vulnerabilidad en Tungsten Automation Power PD (CVE-2024-12549)
    Severidad: ALTA
    Fecha de publicación: 11/02/2025
    Fecha de última actualización: 19/02/2025
    Vulnerabilidad de ejecución de código remoto en el análisis de archivos JP2 de Tungsten Automation Power PDF fuera de los límites. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en las instalaciones afectadas de Tungsten Automation Power PDF. Se requiere la interacción del usuario para explotar esta vulnerabilidad, ya que el objetivo debe visitar una página maliciosa o abrir un archivo malicioso. La falla específica existe en el análisis de archivos JP2. El problema es el resultado de la falta de una validación adecuada de los datos proporcionados por el usuario, lo que puede resultar en una lectura más allá del final de un objeto asignado. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual. Era ZDI-CAN-25565.
  • Vulnerabilidad en Tenda AC6 V15.03.05.16 (CVE-2025-25343)
    Severidad: CRÍTICA
    Fecha de publicación: 12/02/2025
    Fecha de última actualización: 19/02/2025
    El firmware Tenda AC6 V15.03.05.16 tiene una vulnerabilidad de desbordamiento de búfer en la función formexeCommand.
  • Vulnerabilidad en PAN-OS de Palo Alto Networks (CVE-2025-0108)
    Severidad: ALTA
    Fecha de publicación: 12/02/2025
    Fecha de última actualización: 19/02/2025
    Una omisión de autenticación en el software PAN-OS de Palo Alto Networks permite que un atacante no autenticado con acceso a la red a la interfaz web de administración omita la autenticación que de otro modo requeriría la interfaz web de administración de PAN-OS e invoque ciertos scripts PHP. Si bien la invocación de estos scripts PHP no permite la ejecución remota de código, puede afectar negativamente la integridad y la confidencialidad de PAN-OS. Puede reducir en gran medida el riesgo de este problema al restringir el acceso a la interfaz web de administración solo a direcciones IP internas confiables de acuerdo con nuestras pautas de implementación de mejores prácticas recomendadas https://live.paloaltonetworks.com/t5/community-blogs/tips-amp-tricks-how-to-secure-the-management-access-of-your-palo/ba-p/464431 . Este problema no afecta al software Cloud NGFW ni a Prisma Access.