Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

• Vulnerabilidad en Stupid Simple CMS 1.2.4 (CVE-2024-27558)
  Severidad: MEDIA
  Fecha de publicación: 01/03/2024
  Fecha de última actualización: 28/03/2025
  Stupid Simple CMS 1.2.4 es vulnerable a Cross Site Scripting (XSS) dentro del título del blog de la configuración.
  
• Vulnerabilidad en Stupid Simple CMS v1.2.4 (CVE-2024-27559)
  Severidad: MEDIA
  Fecha de publicación: 01/03/2024
  Fecha de última actualización: 28/03/2025
  Se descubrió que Stupid Simple CMS v1.2.4 contiene un Cross-Site Request Forgery (CSRF) a través del componente /save_settings.php
  
• Vulnerabilidad en Stupid Simple CMS v1.2.4 (CVE-2024-27689)
  Severidad: ALTA
  Fecha de publicación: 01/03/2024
  Fecha de última actualización: 28/03/2025
  Se descubrió que Stupid Simple CMS v1.2.4 contenía un Cross-Site Request Forgery (CSRF) a través de /update-article.php.
  
• Vulnerabilidad en Customer Support System v1 (CVE-2023-49544)
  Severidad: MEDIA
  Fecha de publicación: 01/03/2024
  Fecha de última actualización: 28/03/2025
  Una inclusión de archivo local (LFI) en Customer Support System v1 permite a los atacantes incluir archivos PHP internos y obtener acceso no autorizado mediante la manipulación del parámetro page= en /customer_support/index.php.
  
• Vulnerabilidad en Customer Support System v1 (CVE-2023-49545)
  Severidad: ALTA
  Fecha de publicación: 01/03/2024
  Fecha de última actualización: 28/03/2025
  Una vulnerabilidad de listado de directorios en Customer Support System v1 permite a los atacantes enumerar directorios y archivos confidenciales dentro de la aplicación sin requerir autorización.
  
• Vulnerabilidad en Petrol Pump Mangement Software v.1.0 (CVE-2024-27743)
  Severidad: MEDIA
  Fecha de publicación: 01/03/2024
  Fecha de última actualización: 28/03/2025
  Una vulnerabilidad de Cross-Site Scripting en Petrol Pump Mangement Software v.1.0 permite a un atacante ejecutar código arbitrario a través de un payload manipulado en el parámetro Dirección en el componente add_invoices.php.
  
• Vulnerabilidad en Petrol Pump Mangement Software v.1.0 (CVE-2024-27744)
  Severidad: MEDIA
  Fecha de publicación: 01/03/2024
  Fecha de última actualización: 28/03/2025
  Vulnerabilidad de Cross-Site Scripting en Petrol Pump Mangement Software v.1.0 permite a un atacante ejecutar código arbitrario a través de un payload manipulado en el parámetro de imagen en el componente profile.php.
  
• Vulnerabilidad en Petrol Pump Mangement Software v.1.0 (CVE-2024-27746)
  Severidad: CRÍTICA
  Fecha de publicación: 01/03/2024
  Fecha de última actualización: 28/03/2025
  Vulnerabilidad de inyección SQL en Petrol Pump Mangement Software v.1.0 permite a un atacante ejecutar código arbitrario a través de un payload manipulado en el parámetro de dirección de correo electrónico en el componente index.php.
  
• Vulnerabilidad en Petrol Pump Mangement Software v.1.0 (CVE-2024-27747)
  Severidad: CRÍTICA
  Fecha de publicación: 01/03/2024
  Fecha de última actualización: 28/03/2025
  Vulnerabilidad de carga de archivos en Petrol Pump Mangement Software v.1.0 permite a un atacante ejecutar código arbitrario a través de un payload manipulado en el parámetro Imagen de correo electrónico en el componente profile.php.
  
• Vulnerabilidad en Customer Support System v1 (CVE-2023-49546)
  Severidad: ALTA
  Fecha de publicación: 05/03/2024
  Fecha de última actualización: 28/03/2025
  Se descubrió que Customer Support System v1 contenía una vulnerabilidad de inyección SQL a través del parámetro de correo electrónico en /customer_support/ajax.php.
  
• Vulnerabilidad en Customer Support System v1 (CVE-2023-49547)
  Severidad: CRÍTICA
  Fecha de publicación: 05/03/2024
  Fecha de última actualización: 28/03/2025
  Se descubrió que Customer Support System v1 contenía una vulnerabilidad de inyección SQL a través del parámetro de nombre de usuario en /customer_support/ajax.php?action=login.
  
• Vulnerabilidad en Customer Support System v1 (CVE-2023-49548)
  Severidad: ALTA
  Fecha de publicación: 05/03/2024
  Fecha de última actualización: 28/03/2025
  Se descubrió que Customer Support System v1 contiene una vulnerabilidad de inyección SQL a través del parámetro apellido en /customer_support/ajax.php?action=save_user.
  
• Vulnerabilidad en Customer Support System v1 (CVE-2023-49968)
  Severidad: ALTA
  Fecha de publicación: 05/03/2024
  Fecha de última actualización: 28/03/2025
  Se descubrió que Customer Support System v1 contenía una vulnerabilidad de inyección SQL a través del parámetro id en /customer_support/manage_department.php.
  
• Vulnerabilidad en Customer Support System v1 (CVE-2023-49969)
  Severidad: MEDIA
  Fecha de publicación: 05/03/2024
  Fecha de última actualización: 28/03/2025
  Se descubrió que Customer Support System v1 contiene una vulnerabilidad de inyección SQL a través del parámetro id en /customer_support/index.php?page=edit_customer.
  
• Vulnerabilidad en Customer Support System v1 (CVE-2023-49970)
  Severidad: CRÍTICA
  Fecha de publicación: 05/03/2024
  Fecha de última actualización: 28/03/2025
  Se descubrió que Customer Support System v1 contenía una vulnerabilidad de inyección SQL a través del parámetro de asunto en /customer_support/ajax.php?action=save_ticket.
  
• Vulnerabilidad en Customer Support System v1 (CVE-2023-49974)
  Severidad: MEDIA
  Fecha de publicación: 06/03/2024
  Fecha de última actualización: 28/03/2025
  Una vulnerabilidad de cross-site scripting (XSS) en Customer Support System v1 permite a los atacantes ejecutar scripts web arbitrarios o HTML a través de un payload manipulado inyectado en el parámetro de contacto en /customer_support/index.php?page=customer_list.
  
• Vulnerabilidad en Customer Support System v1 (CVE-2023-49976)
  Severidad: MEDIA
  Fecha de publicación: 06/03/2024
  Fecha de última actualización: 28/03/2025
  Una vulnerabilidad de cross-site scripting (XSS) en Customer Support System v1 permite a los atacantes ejecutar scripts web arbitrarios o HTML a través de un payload manipulado inyectado en el parámetro del asunto en /customer_support/index.php?page=new_ticket.
  
• Vulnerabilidad en Customer Support System v1 (CVE-2023-49977)
  Severidad: MEDIA
  Fecha de publicación: 06/03/2024
  Fecha de última actualización: 28/03/2025
  Una vulnerabilidad de cross-site scripting (XSS) en Customer Support System v1 permite a los atacantes ejecutar scripts web arbitrarios o HTML a través de un payload manipulado inyectado en el parámetro de dirección en /customer_support/index.php?page=new_customer.
  
• Vulnerabilidad en Customer Support System v.1.0 (CVE-2023-51281)
  Severidad: MEDIA
  Fecha de publicación: 07/03/2024
  Fecha de última actualización: 28/03/2025
  La vulnerabilidad de Cross-Site Scripting en Customer Support System v.1.0 permite a un atacante remoto escalar privilegios a través de un script manipulado con parámetros de nombre, "apellido", "segundo nombre", "contacto" y dirección.
  
• Vulnerabilidad en open source FreeImage v.3.19.0 [r1909] (CVE-2024-28562)
  Severidad: MEDIA
  Fecha de publicación: 20/03/2024
  Fecha de última actualización: 28/03/2025
  Vulnerabilidad de desbordamiento de búfer en open source FreeImage v.3.19.0 [r1909] permite a un atacante local ejecutar código arbitrario a través del componente Imf_2_2::copyIntoFrameBuffer() al leer imágenes en formato EXR.
  
• Vulnerabilidad en open source FreeImage v.3.19.0 [r1909] (CVE-2024-28563)
  Severidad: MEDIA
  Fecha de publicación: 20/03/2024
  Fecha de última actualización: 28/03/2025
  Vulnerabilidad de desbordamiento de búfer en open source FreeImage v.3.19.0 [r1909] permite que un atacante local provoque una denegación de servicio (DoS) a través de la función Imf_2_2::DwaCompressor::Classifier::Classifier() al leer imágenes en formato EXR.
  
• Vulnerabilidad en open source FreeImage v.3.19.0 [r1909] (CVE-2024-28564)
  Severidad: MEDIA
  Fecha de publicación: 20/03/2024
  Fecha de última actualización: 28/03/2025
  Vulnerabilidad de desbordamiento de búfer en open source FreeImage v.3.19.0 [r1909] permite que un atacante local provoque una denegación de servicio (DoS) a través de la función Imf_2_2::CharPtrIO::readChars() al leer imágenes en formato EXR.
  
• Vulnerabilidad en open source FreeImage v.3.19.0 [r1909] (CVE-2024-28565)
  Severidad: MEDIA
  Fecha de publicación: 20/03/2024
  Fecha de última actualización: 28/03/2025
  Vulnerabilidad de desbordamiento de búfer en open source FreeImage v.3.19.0 [r1909] permite que un atacante local provoque una denegación de servicio (DoS) a través de la función psdParser::ReadImageData() al leer imágenes en formato PSD.
  
• Vulnerabilidad en FreeImage v.3.19.0 [r1909] (CVE-2024-28566)
  Severidad: ALTA
  Fecha de publicación: 20/03/2024
  Fecha de última actualización: 28/03/2025
  Vulnerabilidad de desbordamiento de búfer en FreeImage v.3.19.0 [r1909] de código abierto permite a un atacante local ejecutar código arbitrario a través de la función AssignPixel() al leer imágenes en formato TIFF.
  
• Vulnerabilidad en FreeImage v.3.19.0 [r1909] (CVE-2024-28567)
  Severidad: MEDIA
  Fecha de publicación: 20/03/2024
  Fecha de última actualización: 28/03/2025
  Vulnerabilidad de desbordamiento de búfer en FreeImage v.3.19.0 [r1909] de código abierto permite que un atacante local provoque una denegación de servicio (DoS) a través de la función FreeImage_CreateICCProfile() al leer imágenes en formato TIFF.
  
• Vulnerabilidad en FreeImage v.3.19.0 [r1909] (CVE-2024-28568)
  Severidad: MEDIA
  Fecha de publicación: 20/03/2024
  Fecha de última actualización: 28/03/2025
  Vulnerabilidad de desbordamiento de búfer en FreeImage v.3.19.0 [r1909] de código abierto permite que un atacante local provoque una denegación de servicio (DoS) a través de la función read_iptc_profile() al leer imágenes en formato TIFF.
  
• Vulnerabilidad en FreeImage v.3.19.0 [r1909] (CVE-2024-28569)
  Severidad: ALTA
  Fecha de publicación: 20/03/2024
  Fecha de última actualización: 28/03/2025
  Vulnerabilidad de desbordamiento de búfer en el código abierto FreeImage v.3.19.0 [r1909] permite a un atacante local ejecutar código arbitrario a través de la función Imf_2_2::Xdr::read() al leer imágenes en formato EXR.
  
• Vulnerabilidad en FreeImage v.3.19.0 [r1909] (CVE-2024-28570)
  Severidad: MEDIA
  Fecha de publicación: 20/03/2024
  Fecha de última actualización: 28/03/2025
  Vulnerabilidad de desbordamiento de búfer en FreeImage v.3.19.0 [r1909] de código abierto permite que un atacante local provoque una denegación de servicio (DoS) a través de la función ProcessMakerNote() al leer imágenes en formato JPEG.
  
• Vulnerabilidad en FreeImage v.3.19.0 [r1909] (CVE-2024-28571)
  Severidad: MEDIA
  Fecha de publicación: 20/03/2024
  Fecha de última actualización: 28/03/2025
  La vulnerabilidad de desbordamiento de búfer en FreeImage v.3.19.0 [r1909] de código abierto permite a un atacante local provocar una denegación de servicio (DoS) a través de la función fill_input_buffer() al leer imágenes en formato JPEG.
  
• Vulnerabilidad en FreeImage v.3.19.0 [r1909] (CVE-2024-28572)
  Severidad: MEDIA
  Fecha de publicación: 20/03/2024
  Fecha de última actualización: 28/03/2025
  Vulnerabilidad de desbordamiento de búfer en FreeImage v.3.19.0 [r1909] de código abierto permite que un atacante local provoque una denegación de servicio (DoS) a través de la función FreeImage_SetTagValue() al leer imágenes en formato JPEG.
  
• Vulnerabilidad en FreeImage v.3.19.0 [r1909] (CVE-2024-28573)
  Severidad: MEDIA
  Fecha de publicación: 20/03/2024
  Fecha de última actualización: 28/03/2025
  Vulnerabilidad de desbordamiento de búfer en FreeImage v.3.19.0 [r1909] de código abierto permite que un atacante local provoque una denegación de servicio (DoS) a través de la función jpeg_read_exif_profile() al leer imágenes en formato JPEG.
  
• Vulnerabilidad en FreeImage v.3.19.0 [r1909] (CVE-2024-28574)
  Severidad: MEDIA
  Fecha de publicación: 20/03/2024
  Fecha de última actualización: 28/03/2025
  Vulnerabilidad de desbordamiento de búfer en FreeImage v.3.19.0 [r1909] de código abierto permite que un atacante local provoque una denegación de servicio (DoS) a través de la función opj_j2k_copy_default_tcp_and_create_tcd() al leer imágenes en formato J2K.
  
• Vulnerabilidad en FreeImage v.3.19.0 [r1909] (CVE-2024-28575)
  Severidad: MEDIA
  Fecha de publicación: 20/03/2024
  Fecha de última actualización: 28/03/2025
  Vulnerabilidad de desbordamiento de búfer en FreeImage v.3.19.0 [r1909] de código abierto permite que un atacante local provoque una denegación de servicio (DoS) a través de la función opj_j2k_read_mct() al leer imágenes en formato J2K.
  
• Vulnerabilidad en FreeImage v.3.19.0 [r1909] (CVE-2024-28576)
  Severidad: MEDIA
  Fecha de publicación: 20/03/2024
  Fecha de última actualización: 28/03/2025
  Vulnerabilidad de desbordamiento de búfer en FreeImage v.3.19.0 [r1909] de código abierto permite que un atacante local provoque una denegación de servicio (DoS) a través de la función opj_j2k_tcp_destroy() al leer imágenes en formato J2K.
  
• Vulnerabilidad en FreeImage v.3.19.0 [r1909] (CVE-2024-28577)
  Severidad: MEDIA
  Fecha de publicación: 20/03/2024
  Fecha de última actualización: 28/03/2025
  Vulnerabilidad de desreferencia de puntero nulo en FreeImage v.3.19.0 [r1909] de código abierto permite que un atacante local provoque una denegación de servicio (DoS) a través de la función jpeg_read_exif_profile_raw() al leer imágenes en formato JPEG.
  
• Vulnerabilidad en FreeImage v.3.19.0 [r1909] (CVE-2024-28578)
  Severidad: ALTA
  Fecha de publicación: 20/03/2024
  Fecha de última actualización: 28/03/2025
  Vulnerabilidad de desbordamiento de búfer en el código abierto FreeImage v.3.19.0 [r1909] permite a un atacante local ejecutar código arbitrario a través de la función Load() al leer imágenes en formato RAS.
  
• Vulnerabilidad en FreeImage v.3.19.0 [r1909] (CVE-2024-28579)
  Severidad: MEDIA
  Fecha de publicación: 20/03/2024
  Fecha de última actualización: 28/03/2025
  Vulnerabilidad de desbordamiento de búfer en FreeImage v.3.19.0 [r1909] de código abierto permite que un atacante local provoque una denegación de servicio (DoS) a través de la función FreeImage_Unload() al leer imágenes en formato HDR.
  
• Vulnerabilidad en FreeImage v.3.19.0 [r1909] (CVE-2024-28580)
  Severidad: ALTA
  Fecha de publicación: 20/03/2024
  Fecha de última actualización: 28/03/2025
  Vulnerabilidad de desbordamiento de búfer en el código abierto FreeImage v.3.19.0 [r1909] permite a un atacante local ejecutar código arbitrario a través de la función ReadData() al leer imágenes en formato RAS.
  
• Vulnerabilidad en FreeImage v.3.19.0 [r1909] (CVE-2024-28581)
  Severidad: ALTA
  Fecha de publicación: 20/03/2024
  Fecha de última actualización: 28/03/2025
  Vulnerabilidad de desbordamiento de búfer en el código abierto FreeImage v.3.19.0 [r1909] permite a un atacante local ejecutar código arbitrario a través de la función _assignPixel<>() al leer imágenes en formato TARGA.
  
• Vulnerabilidad en FreeImage v.3.19.0 [r1909] (CVE-2024-28582)
  Severidad: ALTA
  Fecha de publicación: 20/03/2024
  Fecha de última actualización: 28/03/2025
  Vulnerabilidad de desbordamiento de búfer en FreeImage v.3.19.0 [r1909] de código abierto permite a un atacante local ejecutar código arbitrario a través de la función rgbe_RGBEToFloat() al leer imágenes en formato HDR.
  
• Vulnerabilidad en FreeImage v.3.19.0 [r1909] (CVE-2024-28583)
  Severidad: ALTA
  Fecha de publicación: 20/03/2024
  Fecha de última actualización: 28/03/2025
  Vulnerabilidad de desbordamiento de búfer en el código abierto FreeImage v.3.19.0 [r1909] permite a un atacante local ejecutar código arbitrario a través de la función readLine() al leer imágenes en formato XPM.
  
• Vulnerabilidad en open source FreeImage v.3.19.0 [r1909] (CVE-2024-28584)
  Severidad: BAJA
  Fecha de publicación: 20/03/2024
  Fecha de última actualización: 28/03/2025
  Vulnerabilidad de desreferencia de puntero nulo en open source FreeImage v.3.19.0 [r1909] permite que un atacante local provoque una denegación de servicio (DoS) a través de la función J2KImageToFIBITMAP() al leer imágenes en formato J2K.
  
• Vulnerabilidad en Dell Avamar (CVE-2025-21117)
  Severidad: MEDIA
  Fecha de publicación: 05/02/2025
  Fecha de última actualización: 28/03/2025
  Dell Avamar, versión 19.4 o posterior, contiene una vulnerabilidad de reutilización de token de acceso en la interfaz de usuario de autenticación. Un atacante local con pocos privilegios podría aprovechar esta vulnerabilidad y suplantar por completo la identidad del usuario.
  
• Vulnerabilidad en Cisco ISE (CVE-2025-20124)
  Severidad: CRÍTICA
  Fecha de publicación: 05/02/2025
  Fecha de última actualización: 28/03/2025
  Una vulnerabilidad en una API de Cisco ISE podría permitir que un atacante remoto autenticado ejecute comandos arbitrarios como usuario superusuario en un dispositivo afectado. Esta vulnerabilidad se debe a la deserialización insegura de secuencias de bytes de Java proporcionadas por el usuario por parte del software afectado. Un atacante podría aprovechar esta vulnerabilidad enviando un objeto Java serializado manipulado a una API afectada. Una explotación exitosa podría permitir al atacante ejecutar comandos arbitrarios en el dispositivo y elevar privilegios. Nota: Para aprovechar esta vulnerabilidad con éxito, el atacante debe tener credenciales administrativas válidas de solo lectura. En una implementación de un solo nodo, los dispositivos nuevos no podrán autenticarse durante el tiempo de recarga.
  
• Vulnerabilidad en Cisco ISE (CVE-2025-20125)
  Severidad: CRÍTICA
  Fecha de publicación: 05/02/2025
  Fecha de última actualización: 28/03/2025
  Una vulnerabilidad en una API de Cisco ISE podría permitir que un atacante remoto autenticado con credenciales válidas de solo lectura obtenga información confidencial, cambie las configuraciones de los nodos y reinicie el nodo. Esta vulnerabilidad se debe a la falta de autorización en una API específica y a una validación incorrecta de los datos proporcionados por el usuario. Un atacante podría aprovechar esta vulnerabilidad enviando una solicitud HTTP manipulada a una API específica en el dispositivo. Una explotación exitosa podría permitir al atacante obtener información, modificar la configuración del sistema y recargar el dispositivo. Nota: Para aprovechar esta vulnerabilidad con éxito, el atacante debe tener credenciales administrativas válidas de solo lectura. En una implementación de un solo nodo, los dispositivos nuevos no podrán autenticarse durante el tiempo de recarga.
  
• Vulnerabilidad en Cisco Identity Services Engine (CVE-2025-20204)
  Severidad: MEDIA
  Fecha de publicación: 05/02/2025
  Fecha de última actualización: 28/03/2025
  Una vulnerabilidad en la interfaz de administración basada en web de Cisco Identity Services Engine (ISE) podría permitir que un atacante remoto autenticado realice ataques de cross-site scripting (XSS) contra un usuario de la interfaz. Esta vulnerabilidad se debe a una validación insuficiente de la entrada proporcionada por el usuario por parte de la interfaz de administración basada en web de un sistema afectado. Un atacante podría aprovechar esta vulnerabilidad inyectando código malicioso en páginas específicas de la interfaz. Una explotación exitosa podría permitir al atacante ejecutar código de secuencia de comandos arbitrario en el contexto de la interfaz afectada o acceder a información confidencial basada en el navegador. Para aprovechar esta vulnerabilidad, el atacante debe tener credenciales administrativas válidas.
  
• Vulnerabilidad en Cisco Identity Services Engine (CVE-2025-20205)
  Severidad: MEDIA
  Fecha de publicación: 05/02/2025
  Fecha de última actualización: 28/03/2025
  Una vulnerabilidad en la interfaz de administración basada en web de Cisco Identity Services Engine (ISE) podría permitir que un atacante remoto autenticado realice ataques de cross-site scripting (XSS) contra un usuario de la interfaz. Esta vulnerabilidad se debe a una validación insuficiente de la entrada proporcionada por el usuario por parte de la interfaz de administración basada en web de un sistema afectado. Un atacante podría aprovechar esta vulnerabilidad inyectando código malicioso en páginas específicas de la interfaz. Una explotación exitosa podría permitir al atacante ejecutar código de secuencia de comandos arbitrario en el contexto de la interfaz afectada o acceder a información confidencial basada en el navegador. Para aprovechar esta vulnerabilidad, el atacante debe tener credenciales administrativas válidas.
  
• Vulnerabilidad en Directory Listings WordPress plugin – uListing de WordPress (CVE-2025-1653)
  Severidad: ALTA
  Fecha de publicación: 15/03/2025
  Fecha de última actualización: 28/03/2025
  El complemento Directory Listings WordPress plugin – uListing de WordPress es vulnerable a la escalada de privilegios en todas las versiones hasta la 2.1.7 incluida. Esto se debe a que la acción AJAX stm_listing_profile_edit no tiene suficientes restricciones en los metadatos del usuario que se pueden actualizar. Esto permite que atacantes autenticados, con acceso de suscriptor o superior, eleven sus privilegios a los de administrador.
  
• Vulnerabilidad en Directory Listings WordPress plugin – uListing de WordPress (CVE-2025-1657)
  Severidad: ALTA
  Fecha de publicación: 15/03/2025
  Fecha de última actualización: 28/03/2025
  El complemento Directory Listings WordPress plugin – uListing de WordPress es vulnerable a la modificación no autorizada de datos y a la inyección de objetos PHP debido a la falta de una comprobación de capacidad en la acción AJAX stm_listing_ajax en todas las versiones hasta la 2.1.7 incluida. Esto permite a atacantes autenticados, con acceso de suscriptor o superior, actualizar los metadatos de las entradas e inyectar objetos PHP que podrían no estar serializados.
  
• Vulnerabilidad en WC Affiliate – A Complete WooCommerce Affiliate Plugin para WordPress (CVE-2024-12336)
  Severidad: MEDIA
  Fecha de publicación: 15/03/2025
  Fecha de última actualización: 28/03/2025
  El complemento WC Affiliate – A Complete WooCommerce Affiliate Plugin para WordPress es vulnerable al acceso no autorizado a datos debido a la falta de comprobación de la función «export_all_data» en todas las versiones hasta la 2.5.3 incluida. Esto permite que atacantes autenticados, con acceso de suscriptor o superior, expongan datos confidenciales de afiliados, incluyendo información de identificación personal (PII).
  
• Vulnerabilidad en Portfolio and Projects para WordPress (CVE-2024-13847)
  Severidad: MEDIA
  Fecha de publicación: 15/03/2025
  Fecha de última actualización: 28/03/2025
  El complemento Portfolio and Projects para WordPress es vulnerable a cross-site scripting almacenado a través de la configuración de administrador en todas las versiones hasta la 1.5.3 incluida, debido a una depuración de entrada y al escape de salida insuficiente. Esto permite a atacantes autenticados, con permisos de administrador o superiores, inyectar secuencias de comandos web arbitrarias en páginas que se ejecutarán al acceder un usuario a una página inyectada. Esto solo afecta a instalaciones multisitio y a instalaciones donde se ha deshabilitado unfiltered_html.
  
• Vulnerabilidad en School Management System – WPSchoolPress para WordPress (CVE-2025-1667)
  Severidad: ALTA
  Fecha de publicación: 15/03/2025
  Fecha de última actualización: 28/03/2025
  El complemento School Management System – WPSchoolPress para WordPress es vulnerable a la escalada de privilegios debido a la falta de una comprobación de capacidad en la función wpsp_UpdateTeacher() en todas las versiones hasta la 2.2.16 incluida. Esto permite a atacantes autenticados, con acceso de profesor o superior, actualizar datos arbitrarios de usuarios, incluyendo el correo electrónico, lo que permite solicitar el restablecimiento de contraseña y acceder a cuentas de usuario arbitrarias, incluyendo las de administrador.
  
• Vulnerabilidad en Traveler para WordPress (CVE-2025-1771)
  Severidad: CRÍTICA
  Fecha de publicación: 15/03/2025
  Fecha de última actualización: 28/03/2025
  El tema Traveler para WordPress es vulnerable a la inclusión de archivos locales en todas las versiones hasta la 3.1.8 incluida, a través del parámetro 'style' de la función 'hotel_alone_load_more_post'. Esto permite a atacantes no autenticados incluir y ejecutar archivos arbitrarios en el servidor, permitiendo la ejecución de cualquier código PHP en dichos archivos. Esto puede utilizarse para eludir los controles de acceso, obtener datos confidenciales o ejecutar código cuando se permite subir e incluir archivos PHP.
  
• Vulnerabilidad en Traveler para WordPress (CVE-2025-1773)
  Severidad: MEDIA
  Fecha de publicación: 15/03/2025
  Fecha de última actualización: 28/03/2025
  El tema Traveler para WordPress es vulnerable a ataques Cross-Site Scripting Reflejado mediante múltiples parámetros en todas las versiones hasta la 3.1.8 incluida, debido a una depuración de entrada y al escape de salida insuficiente. Esto permite a atacantes no autenticados inyectar scripts web arbitrarios en las páginas que se ejecutan si logran engañar al usuario para que realice una acción, como hacer clic en un enlace.
  
• Vulnerabilidad en iOS y iPadOS (CVE-2024-44276)
  Severidad: ALTA
  Fecha de publicación: 17/03/2025
  Fecha de última actualización: 28/03/2025
  Este problema se solucionó mediante el uso de HTTPS al enviar información a través de la red. Este problema se solucionó en iOS 18.2 y iPadOS 18.2. Un usuario con privilegios de red podría filtrar información confidencial.
  
• Vulnerabilidad en aimhubio/aim (CVE-2025-0189)
  Severidad: ALTA
  Fecha de publicación: 20/03/2025
  Fecha de última actualización: 28/03/2025
  En la versión 3.25.0 de aimhubio/aim, el servidor de seguimiento es vulnerable a un ataque de denegación de servicio. El servidor sobrescribe el tamaño máximo de los mensajes websocket, lo que permite el seguimiento de imágenes muy grandes. Esto provoca que el servidor deje de responder a otras solicitudes mientras procesa la imagen grande, lo que genera una condición de denegación de servicio.
  
• Vulnerabilidad en aimhubio/aim (CVE-2025-0190)
  Severidad: ALTA
  Fecha de publicación: 20/03/2025
  Fecha de última actualización: 28/03/2025
  En la versión 3.25.0 de aimhubio/aim, existe una vulnerabilidad de denegación de servicio. Al rastrear una gran cantidad de objetos `Text` y consultarlos simultáneamente a través de la API web, el servidor web de Aim deja de responder a otras solicitudes durante un período prolongado mientras procesa y devuelve estos objetos. Esta vulnerabilidad puede explotarse repetidamente, lo que provoca una denegación de servicio completa.
  
• Vulnerabilidad en lunary-ai/lunary (CVE-2025-0281)
  Severidad: MEDIA
  Fecha de publicación: 20/03/2025
  Fecha de última actualización: 28/03/2025
  Existe una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en las versiones 1.6.7 y anteriores de lunary-ai/lunary. Un atacante puede inyectar JavaScript malicioso en los metadatos XML del IdP SAML, que se utilizan para generar la URL de redirección de inicio de sesión SAML. Esta URL se configura con el valor `window.location.href` sin la validación ni la depuración adecuada. Esta vulnerabilidad permite al atacante ejecutar JavaScript arbitrario en el navegador del usuario, lo que podría provocar el secuestro de sesión, el robo de datos u otras acciones maliciosas. El problema se solucionó en la versión 1.7.10.
  
• Vulnerabilidad en ollama/ollama (CVE-2025-0312)
  Severidad: ALTA
  Fecha de publicación: 20/03/2025
  Fecha de última actualización: 28/03/2025
  Una vulnerabilidad en ollama/ollama versiones anteriores a la 0.3.14 permite a un usuario malintencionado crear un archivo de modelo GGUF personalizado que, al cargarse y crearse en el servidor Ollama, puede provocar un bloqueo debido a una desreferencia de puntero nulo no comprobada. Esto puede provocar un ataque de denegación de servicio (DoS) a través de una red remota.