Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • Vulnerabilidad en WUZHI CMS (CVE-2018-10248)
    Severidad: MEDIA
    Fecha de publicación: 20/04/2018
    Fecha de última actualización: 05/05/2025
    Se ha descubierto un problema en WUZHI CMS 4.1.0. Hay una vulnerabilidad de Cross-Site Request Forgery (CSRF) que puede eliminar cualquier artículo mediante index.php?m=contentf=contentv=recycle_delete.
  • Vulnerabilidad en WUZHI CMS (CVE-2018-10313)
    Severidad: MEDIA
    Fecha de publicación: 24/04/2018
    Fecha de última actualización: 05/05/2025
    WUZHI CMS 4.1.0 permite Cross-Site Scripting (XSS) persistente mediante el parámetro form%5Bqq_10%5D en el URI /index.php?m=memberf=indexv=profileset_iframe=1.
  • Vulnerabilidad en WUZHI CMS (CVE-2018-10311)
    Severidad: MEDIA
    Fecha de publicación: 24/04/2018
    Fecha de última actualización: 05/05/2025
    Se ha descubierto una vulnerabilidad en WUZHI CMS 4.1.0. Hay Cross-Site Scripting (XSS) persistente que permite que atacantes remotos inyecten scripts web o HTML arbitrarios mediante el parámetro tag[pinyin] en el URI /index.php?m=tagsf=indexv=add.
  • Vulnerabilidad en WUZHI CMS (CVE-2018-10367)
    Severidad: MEDIA
    Fecha de publicación: 25/04/2018
    Fecha de última actualización: 05/05/2025
    Se ha descubierto un problema en WUZHI CMS 4.1.0. La característica content-management tiene Cross-Site Scrfipting (XSS) persistente mediante la sección title o content.
  • Vulnerabilidad en WUZHI CMS (CVE-2018-10391)
    Severidad: MEDIA
    Fecha de publicación: 26/04/2018
    Fecha de última actualización: 05/05/2025
    Se ha descubierto un problema en WUZHI CMS 4.1.0. Hay Cross-Site Scripting (XSS) mediante el parámetro email en el URI index.php?m=memberv=register.
  • Vulnerabilidad en WUZHI CMS (CVE-2018-10368)
    Severidad: MEDIA
    Fecha de publicación: 25/04/2018
    Fecha de última actualización: 05/05/2025
    Se ha descubierto un problema en WUZHI CMS 4.1.0. La característica "Extension Module -> System Announcement" tiene Cross-Site Scripting (XSS) persistente mediante un anuncio.
  • Vulnerabilidad en WUZHI CMS (CVE-2018-10312)
    Severidad: ALTA
    Fecha de publicación: 24/04/2018
    Fecha de última actualización: 05/05/2025
    index.php?m=memberv=pw_reset en WUZHI CMS 4.1.0 permite Cross-Site Request Forgery (CSRF) para cambiar la contraseña de un miembro común.
  • Vulnerabilidad en WUZHI CMS (CVE-2018-11528)
    Severidad: CRÍTICA
    Fecha de publicación: 29/05/2018
    Fecha de última actualización: 05/05/2025
    WUZHI CMS 4.1.0 tiene una inyección SQL mediante un URI api/sms_check.php?param=.
  • Vulnerabilidad en WUZHI CMS (CVE-2018-11493)
    Severidad: ALTA
    Fecha de publicación: 26/05/2018
    Fecha de última actualización: 05/05/2025
    Se ha descubierto un problema en WUZHI CMS 4.1.0. Hay una vulnerabilidad de Cross-Site Request Forgery (CSRF) que puede añadir un enlace de amistad mediante index.php?m=linkf=indexv=add.
  • Vulnerabilidad en WUZHI CMS (CVE-2018-11549)
    Severidad: MEDIA
    Fecha de publicación: 29/05/2018
    Fecha de última actualización: 05/05/2025
    Se ha descubierto un problema en WUZHI CMS 4.1.0. Hay una vulnerabilidad de Cross-Site Scripting (XSS) persistente en "Account Settings -> Member Centre -> Chinese information -> Ordinary member" mediante un número QQ, tal y como queda demostrado con una subcadena form[qq_10]=.
  • Vulnerabilidad en WUZHI CMS (CVE-2019-9107)
    Severidad: MEDIA
    Fecha de publicación: 25/02/2019
    Fecha de última actualización: 05/05/2025
    Existe Cross-Site Scripting (XSS) en WUZHI CMS 4.1.0 mediante index.php?m=attachmentf=imagecutv=initimgurl=[XSS] en coreframe/app/attachment/imagecut.php.
  • Vulnerabilidad en WUZHI CMS (CVE-2019-9110)
    Severidad: MEDIA
    Fecha de publicación: 25/02/2019
    Fecha de última actualización: 05/05/2025
    Existe Cross-Site Scripting (XSS) en WUZHI CMS 4.1.0 mediante index.php?m=contentf=postinfov=listingset_iframe=[XSS] en coreframe/app/content/postinfo.php.
  • Vulnerabilidad en WUZHI CMS (CVE-2019-9109)
    Severidad: MEDIA
    Fecha de publicación: 25/02/2019
    Fecha de última actualización: 05/05/2025
    Existe Cross-Site Scripting (XSS) en WUZHI CMS 4.1.0 mediante index.php?m=messagef=messagev=addusername=[XSS] en coreframe/app/message/message.php.
  • Vulnerabilidad en WUZHI CMS (CVE-2018-17426)
    Severidad: MEDIA
    Fecha de publicación: 07/03/2019
    Fecha de última actualización: 05/05/2025
    WUZHI CMS, en su versión 4.1.0, tiene Cross-Site Scripting (XSS) persistente mediante los campos "Extension module" y "SMS in station" en el URI index.php?m=core.
  • Vulnerabilidad en WUZHI CMS (CVE-2018-17425)
    Severidad: MEDIA
    Fecha de publicación: 07/03/2019
    Fecha de última actualización: 05/05/2025
    WUZHI CMS, en su versión 4.1.0, tiene Cross-Site Scripting (XSS) persistente mediante los campos "Membership Center", "I want to ask" y "detailed description" en el URI index.php?m=member.
  • Vulnerabilidad en WUZHI CMS (CVE-2018-18938)
    Severidad: MEDIA
    Fecha de publicación: 05/11/2018
    Fecha de última actualización: 05/05/2025
    Se ha descubierto un problema en WUZHI CMS 4.1.0. Hay Cross-Site Scripting (XSS) persistente en index.php?m=coref=index mediante un atributo ontoggle en details/open/ en un segundo campo de entrada.
  • Vulnerabilidad en WUZHI CMS (CVE-2018-18712)
    Severidad: ALTA
    Fecha de publicación: 29/10/2018
    Fecha de última actualización: 05/05/2025
    Se ha descubierto un problema en WUZHI CMS 4.1.0. Hay una vulnerabilidad CSRF que puede cambiar el nombre de usuario del superadministrador mediante index.php?m=memberf=indexv=edituid=1.
  • Vulnerabilidad en WUZHI CMS (CVE-2018-18711)
    Severidad: ALTA
    Fecha de publicación: 29/10/2018
    Fecha de última actualización: 05/05/2025
    Se ha descubierto un problema en WUZHI CMS 4.1.0. Hay una vulnerabilidad CSRF que puede cambiar la contraseña del superadministrador mediante index.php?m=coref=panelv=edit_info.
  • Vulnerabilidad en WUZHI CMS (CVE-2018-14512)
    Severidad: MEDIA
    Fecha de publicación: 23/07/2018
    Fecha de última actualización: 05/05/2025
    Se ha descubierto una vulnerabilidad de Cross-Site Scripting (XSS) en WUZHI CMS 4.1.0. Hay Cross-Site Scripting (XSS) persistente que permite que atacantes remotos inyecten scripts web o HTML arbitrarios mediante el parámetro form[nickname] en el URI index.php?m=coref=setv=sendmail. Cuando el administrador accede a la pantalla "system settings - mail server", se desencadena la carga útil XSS.
  • Vulnerabilidad en curl (CVE-2022-32208)
    Severidad: MEDIA
    Fecha de publicación: 07/07/2022
    Fecha de última actualización: 05/05/2025
    Cuando curl versiones anteriores a 7.84.0, hace transferencias FTP aseguradas por krb5, maneja inapropiadamente los fallos de verificación de mensajes. Este fallo hace posible que un ataque de tipo Man-In-The-Middle pase desapercibido e incluso permite inyectar datos al cliente
  • Vulnerabilidad en curl (CVE-2022-32205)
    Severidad: MEDIA
    Fecha de publicación: 07/07/2022
    Fecha de última actualización: 05/05/2025
    Un servidor malicioso puede servir cantidades excesivas de encabezados "Set-Cookie:" en una respuesta HTTP a curl y curl versiones anteriores a 7.84.0 las almacena todas. Una cantidad suficientemente grande de cookies (grandes) hace que las subsiguientes peticiones HTTP a este, o a otros servidores con los que coincidan las cookies, creen peticiones que superen el umbral que curl usa internamente para evitar el envío de peticiones locamente grandes (1048576 bytes) y en su lugar devuelva un error. Este estado de denegación puede permanecer mientras sea mantenidas las mismas cookies, coincidan y no hayan expirado. Debido a las reglas de coincidencia de cookies, un servidor en "foo.example.com" puede establecer cookies que también coincidan para "bar.example.com", haciendo posible que un "servidor hermano" cause efectivamente una denegación de servicio para un sitio hermano en el mismo dominio de segundo nivel usando este método
  • Vulnerabilidad en el parámetro groupid en el archivo /coreframe/app/member/admin/group.php en Wuzhicms (CVE-2022-27431)
    Severidad: CRÍTICA
    Fecha de publicación: 04/05/2022
    Fecha de última actualización: 05/05/2025
    Se ha detectado que Wuzhicms versión v4.1.0, contiene una vulnerabilidad de inyección SQL por medio del parámetro groupid en el archivo /coreframe/app/member/admin/group.php
  • Vulnerabilidad en curl (CVE-2022-32206)
    Severidad: MEDIA
    Fecha de publicación: 07/07/2022
    Fecha de última actualización: 05/05/2025
    curl versiones anteriores a 7.84.0, soporta algoritmos de compresión HTTP "encadenados", lo que significa que una respuesta al servidor puede ser comprimida múltiples veces y potencialmente con diferentes algoritmos. El número de "eslabones" aceptables en esta "cadena de descompresión" era ilimitado, lo que permitía a un servidor malicioso insertar un número prácticamente ilimitado de pasos de compresión. El uso de una cadena de descompresión de este tipo podía resultar en una "bomba de malloc", haciendo que curl acabara gastando enormes cantidades de memoria de montón asignada, o intentando y devolviendo errores de memoria
  • Vulnerabilidad en el parámetro imgurl en wuzhicms (CVE-2020-19897)
    Severidad: MEDIA
    Fecha de publicación: 28/06/2022
    Fecha de última actualización: 05/05/2025
    Un ataque de tipo Cross Site Scripting (XSS) reflejado en wuzhicms versión v4.1.0, permite a atacantes remotos ejecutar un script web o HTML arbitrario por medio del parámetro imgurl
  • Vulnerabilidad en curl (CVE-2022-35252)
    Severidad: BAJA
    Fecha de publicación: 23/09/2022
    Fecha de última actualización: 05/05/2025
    Cuando curl es usado para recuperar y analizar las cookies de un servidor HTTP(S), acepta las cookies usando códigos de control que cuando son enviados de vuelta a un servidor HTTP podrían hacer que el servidor devolviera respuestas 400. En efecto, permite que un "sitio hermano" deniegue el servicio a todos los hermanos.
  • Vulnerabilidad en el archivo \attachment\admin\index.php en Wuzhi CMS (CVE-2020-20124)
    Severidad: ALTA
    Fecha de publicación: 28/09/2021
    Fecha de última actualización: 05/05/2025
    Wuzhi CMS versión v4.1.0, contiene una vulnerabilidad de ejecución de código remota (RCE) en el archivo \attachment\admin\index.php
  • Vulnerabilidad en el archivo valid.c en libxml2 (CVE-2022-23308)
    Severidad: ALTA
    Fecha de publicación: 26/02/2022
    Fecha de última actualización: 05/05/2025
    El archivo valid.c en libxml2 versiones anteriores a 2.9.13, presenta un uso de memoria previamente liberada de los atributos ID e IDREF.
  • Vulnerabilidad en el archivo /coreframe/app/content/admin/content.php en la función checktitle() en Wuzhi CMS (CVE-2020-20122)
    Severidad: CRÍTICA
    Fecha de publicación: 28/09/2021
    Fecha de última actualización: 05/05/2025
    Wuzhi CMS versión v4.1, contiene una vulnerabilidad de inyección SQL en la función checktitle() en el archivo /coreframe/app/content/admin/content.php
  • Vulnerabilidad en el componente system bulletin de WUZHI CMS (CVE-2020-19770)
    Severidad: MEDIA
    Fecha de publicación: 21/12/2021
    Fecha de última actualización: 05/05/2025
    Una vulnerabilidad de tipo cross-site scripting (XSS) en el componente system bulletin de WUZHI CMS versión v4.1.0, permite a atacantes robar la cookie del administrador
  • Vulnerabilidad en Wuzhicms v4.1.0 (CVE-2023-52064)
    Severidad: CRÍTICA
    Fecha de publicación: 10/01/2024
    Fecha de última actualización: 05/05/2025
    Se descubrió que Wuzhicms v4.1.0 contenía una vulnerabilidad de inyección SQL a través del parámetro $keywords en /core/admin/copyfrom.php.
  • Vulnerabilidad en SWFTools v0.9.2 (CVE-2024-25165)
    Severidad: ALTA
    Fecha de publicación: 14/02/2024
    Fecha de última actualización: 05/05/2025
    Se encontró una vulnerabilidad de desbordamiento de búfer global en SWFTools v0.9.2, en la función LineText en lib/swf5compiler.flex.
  • Vulnerabilidad en SLIMS (Senayan Library Management Systems) 9 Bulian v9.6.1 (CVE-2024-25288)
    Severidad: MEDIA
    Fecha de publicación: 21/02/2024
    Fecha de última actualización: 05/05/2025
    SLIMS (Senayan Library Management Systems) 9 Bulian v9.6.1 es vulnerable a la inyección SQL a través de pop-scope-vocabolary.php.
  • Vulnerabilidad en Hitron CODA-4582 y CODA-4589 (CVE-2024-25730)
    Severidad: CRÍTICA
    Fecha de publicación: 23/02/2024
    Fecha de última actualización: 05/05/2025
    Los dispositivos Hitron CODA-4582 y CODA-4589 tienen PSK predeterminados que se generan a partir de valores hexadecimales de 5 dígitos concatenados con una subcadena "Hitron", lo que resulta en una entropía insuficiente (sólo alrededor de un millón de posibilidades).
  • Vulnerabilidad en Indo-Sol PROFINET-INspektor NT (CVE-2023-49959)
    Severidad: CRÍTICA
    Fecha de publicación: 26/02/2024
    Fecha de última actualización: 05/05/2025
    En Indo-Sol PROFINET-INspektor NT hasta 2.4.0, una vulnerabilidad de inyección de comandos en el servicio gedtupdater del firmware permite a atacantes remotos ejecutar comandos arbitrarios del sistema con privilegios de root a través de un parámetro de nombre de archivo manipulado en solicitudes POST al /api/updater/ ctrl/start_update enpoint.
  • Vulnerabilidad en MediaTek, Inc. (CVE-2024-20017)
    Severidad: CRÍTICA
    Fecha de publicación: 04/03/2024
    Fecha de última actualización: 05/05/2025
    En el servicio WLAN, existe una posible escritura fuera de los límites debido a una validación de entrada incorrecta. Esto podría conducir a una escalada local de privilegios sin necesidad de permisos de ejecución adicionales. No se necesita la interacción del usuario para la explotación. ID de parche: WCNCR00350938; ID del problema: MSV-1132.
  • Vulnerabilidad en MediaTek, Inc. (CVE-2024-20019)
    Severidad: MEDIA
    Fecha de publicación: 04/03/2024
    Fecha de última actualización: 05/05/2025
    En el controlador WLAN, existe una posible pérdida de memoria debido a un manejo inadecuado de la entrada. Esto podría provocar una denegación remota de servicio sin necesidad de privilegios de ejecución adicionales. La interacción del usuario no es necesaria para la explotación. ID de parche: WCNCR00351241; ID del problema: MSV-1173.
  • Vulnerabilidad en zenml v0.55.4 (CVE-2024-28424)
    Severidad: ALTA
    Fecha de publicación: 14/03/2024
    Fecha de última actualización: 05/05/2025
    Se descubrió que zenml v0.55.4 contenía una vulnerabilidad de carga de archivos arbitraria en la función de carga en /materializers/cloudpickle_materializer.py. Esta vulnerabilidad permite a los atacantes ejecutar código arbitrario cargando un archivo manipulado.
  • Vulnerabilidad en Flusity CMS (CVE-2024-27757)
    Severidad: MEDIA
    Fecha de publicación: 18/03/2024
    Fecha de última actualización: 05/05/2025
    Flusity CMS hasta 2.45 permite herramientas/addons_model.php Nombre de galería XSS. El reportero indica que este producto “cesó su desarrollo a partir de febrero de 2024”.
  • Vulnerabilidad en Team Members de WordPress (CVE-2024-1331)
    Severidad: MEDIA
    Fecha de publicación: 18/03/2024
    Fecha de última actualización: 05/05/2025
    El complemento Team Members de WordPress anterior a 5.3.2 no valida ni escapa algunos de sus atributos de shortcode antes de devolverlos a una página/publicación donde está incrustado el shortcode, lo que podría permitir a los usuarios con el rol de autor y superior realizar un ataque de Cross-Site Scripting Almacenado
  • Vulnerabilidad en Responsive Pricing Table de WordPress (CVE-2024-1333)
    Severidad: MEDIA
    Fecha de publicación: 18/03/2024
    Fecha de última actualización: 05/05/2025
    El complemento Responsive Pricing Table de WordPress anterior a 5.1.11 no valida ni escapa algunas de sus opciones de la tabla de precios antes de mostrarlas nuevamente en una página/publicación donde está incrustado el shortcode relacionado, lo que podría permitir a los usuarios con el rol de autor y superior realizar ataque de Cross-Site Scripting Almacenado
  • Vulnerabilidad en Grid Shortcodes de WordPress (CVE-2024-1658)
    Severidad: MEDIA
    Fecha de publicación: 18/03/2024
    Fecha de última actualización: 05/05/2025
    El complemento Grid Shortcodes de WordPress anterior a 1.1.1 no valida ni escapa algunos de sus atributos de shortcode antes de devolverlos a una página/publicación donde está incrustado el shortcode, lo que podría permitir a los usuarios con el rol de colaborador y superiores realizar un ataque de Cross-Site Scripting Almacenado
  • Vulnerabilidad en Scalable Vector Graphics (SVG) de WordPress (CVE-2023-7085)
    Severidad: MEDIA
    Fecha de publicación: 18/03/2024
    Fecha de última actualización: 05/05/2025
    El complemento Scalable Vector Graphics (SVG) de WordPress hasta la versión 3.4 no sanitiza los archivos SVG cargados, lo que podría permitir a los usuarios con un rol tan bajo como Autor cargar un SVG malicioso que contenga payloads XSS.
  • Vulnerabilidad en Backup Bolt de WordPress (CVE-2023-7236)
    Severidad: MEDIA
    Fecha de publicación: 18/03/2024
    Fecha de última actualización: 05/05/2025
    El complemento Backup Bolt de WordPress hasta la versión 1.3.0 es vulnerable a la exposición de la información a través del acceso desprotegido a los registros de depuración. Esto hace posible que atacantes no autenticados recuperen el registro de depuración que puede contener información como errores del sistema que podrían contener información confidencial.
  • Vulnerabilidad en Enjoy Social Feed plugin for WordPress website de WordPress (CVE-2024-0779)
    Severidad: ALTA
    Fecha de publicación: 18/03/2024
    Fecha de última actualización: 05/05/2025
    El complemento Enjoy Social Feed plugin for WordPress website de WordPress hasta 6.2.2 no tiene autorización ni CSRF en varias funciones vinculadas a admin_init, lo que permite a usuarios no autenticados llamarlos y desvincular cuentas de Instagram de usuarios arbitrarios, por ejemplo.
  • Vulnerabilidad en Innovs HR de WordPress (CVE-2024-0858)
    Severidad: ALTA
    Fecha de publicación: 18/03/2024
    Fecha de última actualización: 05/05/2025
    El complemento Innovs HR de WordPress hasta la versión 1.0.3.4 no tiene comprobaciones CSRF en algunos lugares, lo que podría permitir a los atacantes hacer que los usuarios que han iniciado sesión realicen acciones no deseadas a través de ataques CSRF, como agregarlos como empleados.
  • Vulnerabilidad en Widget for Social Page Feeds de WordPress (CVE-2024-0973)
    Severidad: MEDIA
    Fecha de publicación: 18/03/2024
    Fecha de última actualización: 05/05/2025
    El complemento Widget for Social Page Feeds de WordPress anterior a 6.4 no sanitiza ni escapa a algunas de sus configuraciones, lo que podría permitir a usuarios con privilegios elevados, como el administrador, realizar ataques de Cross-Site Scripting Almacenado incluso cuando la capacidad unfiltered_html no está permitida (por ejemplo, en una configuración multisitio).
  • Vulnerabilidad en Profile Box Shortcode And Widget de WordPress (CVE-2024-1401)
    Severidad: MEDIA
    Fecha de publicación: 19/03/2024
    Fecha de última actualización: 05/05/2025
    El complemento Profile Box Shortcode And Widget de WordPress anterior a 1.2.1 no sanitiza ni escapa a algunas de sus configuraciones, lo que podría permitir a usuarios con altos privilegios, como el administrador, realizar ataques de Cross-Site Scripting Almacenado incluso cuando la capacidad unfiltered_html no está permitida (por ejemplo, en configuración multisitio)
  • Vulnerabilidad en System Dashboard de WordPress (CVE-2023-7246)
    Severidad: MEDIA
    Fecha de publicación: 20/03/2024
    Fecha de última actualización: 05/05/2025
    El complemento System Dashboard de WordPress anterior a 2.8.10 no sanitiza ni escapa a algunos parámetros, lo que podría permitir a los administradores en configuraciones de WordPress multisitio realizar ataques de Cross-Site Scripting
  • Vulnerabilidad en Travelpayouts: All Travel Brands in One Place de WordPress (CVE-2024-0337)
    Severidad: MEDIA
    Fecha de publicación: 20/03/2024
    Fecha de última actualización: 05/05/2025
    El complemento Travelpayouts: All Travel Brands in One Place de WordPress hasta la versión 1.1.15 es vulnerable a Open Redirect debido a una validación insuficiente de la variable travelpayouts_redirect. Esto hace posible que atacantes no autenticados redirijan a los usuarios a sitios potencialmente maliciosos si logran engañarlos para que realicen una acción.
  • Vulnerabilidad en Appointment Booking Calendar de WordPress (CVE-2024-0856)
    Severidad: ALTA
    Fecha de publicación: 20/03/2024
    Fecha de última actualización: 05/05/2025
    El complemento Appointment Booking Calendar de WordPress anterior a 1.3.83 no tiene comprobaciones CSRF en algunos lugares, lo que podría permitir a los atacantes hacer que los usuarios registrados realicen acciones no deseadas a través de ataques CSRF, como agregar una reserva al calendario sin pagar.
  • Vulnerabilidad en Simple Ajax Chat de WordPress (CVE-2024-1983)
    Severidad: ALTA
    Fecha de publicación: 20/03/2024
    Fecha de última actualización: 05/05/2025
    El complemento Simple Ajax Chat de WordPress anterior a 20240223 no impide que los visitantes utilicen nombres maliciosos al utilizar el chat, que se reflejarán sin sanitizar para otros usuarios.
  • Vulnerabilidad en Sourcecodester Complete E-Commerce Site v1.0 (CVE-2024-30849)
    Severidad: CRÍTICA
    Fecha de publicación: 05/04/2024
    Fecha de última actualización: 05/05/2025
    Vulnerabilidad de carga de archivos arbitrarios en Sourcecodester Complete E-Commerce Site v1.0, permite a atacantes remotos ejecutar código arbitrario a través del parámetro de nombre de archivo en admin/products_photo.php.
  • Vulnerabilidad en Mojolicious para Perl (CVE-2021-47208)
    Severidad: MEDIA
    Fecha de publicación: 08/04/2024
    Fecha de última actualización: 05/05/2025
    El módulo Mojolicious anterior a la versión 9.11 para Perl tiene un error en la detección de formato que potencialmente puede explotarse para denegar el servicio.
  • Vulnerabilidad en Boid CMS v2.1.0 (CVE-2024-32342)
    Severidad: MEDIA
    Fecha de publicación: 17/04/2024
    Fecha de última actualización: 05/05/2025
    Una vulnerabilidad de cross site scripting (XSS) en la página de creación de Boid CMS v2.1.0 permite a los atacantes ejecutar scripts web o HTML arbitrarios a través de un payload manipulado inyectado en el parámetro Permalink.
  • Vulnerabilidad en Boid CMS v2.1.0 (CVE-2024-32343)
    Severidad: MEDIA
    Fecha de publicación: 17/04/2024
    Fecha de última actualización: 05/05/2025
    Una vulnerabilidad de cross site scripting (XSS) en la página de creación de Boid CMS v2.1.0 permite a los atacantes ejecutar scripts web o HTML arbitrarios a través de un payload manipulado inyectado en el parámetro Contenido.
  • Vulnerabilidad en WUZHICMS v4.1.0 (CVE-2024-32206)
    Severidad: MEDIA
    Fecha de publicación: 19/04/2024
    Fecha de última actualización: 05/05/2025
    Una vulnerabilidad de Cross Site Scripting (XSS) almacenadas en el componente \affiche\admin\index.php de WUZHICMS v4.1.0 permite a los atacantes ejecutar scripts web o HTML arbitrarios a través de un payload manipulado inyectado en el parámetro $formdata.
  • Vulnerabilidad en Vyper (CVE-2024-32481)
    Severidad: MEDIA
    Fecha de publicación: 25/04/2024
    Fecha de última actualización: 05/05/2025
    Vyper es un lenguaje de contrato inteligente pitónico para la máquina virtual Ethereum. A partir de la versión 0.3.8 y antes de la versión 0.4.0b1, al recorrer un "rango" de la forma "rango (inicio, inicio + N)", si "inicio" es negativo, la ejecución siempre se revertirá. Este problema se debe a una aserción incorrecta insertada durante la generación de código del rango `stmt.parse_For_range()`. El problema surge cuando se firma "start", en lugar de usar "sle", se usa "le" y "start" se interpreta como un entero sin signo para la comparación. Si es un número negativo, su bit 255 se establece en "1" y, por lo tanto, se interpreta como un entero sin signo muy grande, lo que hace que la afirmación siempre falle. Cualquier contrato que tenga un "rango (inicio, inicio + N)" donde "inicio" es un entero con signo con la posibilidad de que "inicio" sea negativo se ve afectado. Si una llamada pasa por el bucle mientras proporciona un "inicio" negativo, la ejecución se revertirá. La versión 0.4.0b1 soluciona el problema.
  • Vulnerabilidad en libmodbus v3.1.10 (CVE-2023-26793)
    Severidad: CRÍTICA
    Fecha de publicación: 01/05/2024
    Fecha de última actualización: 05/05/2025
    libmodbus v3.1.10 tiene una vulnerabilidad de desbordamiento de búfer de almacenamiento dinámico en la función read_io_status en src/modbus.c.
  • Vulnerabilidad en Cesanta mjs 2.20.0 (CVE-2024-35384)
    Severidad: MEDIA
    Fecha de publicación: 21/05/2024
    Fecha de última actualización: 05/05/2025
    Un problema en Cesanta mjs 2.20.0 permite a un atacante remoto provocar una denegación de servicio a través de la función mjs_array_length en el archivo mjs.c.
  • Vulnerabilidad en Cesanta mjs 2.20.0 (CVE-2024-35385)
    Severidad: MEDIA
    Fecha de publicación: 21/05/2024
    Fecha de última actualización: 05/05/2025
    Un problema en Cesanta mjs 2.20.0 permite a un atacante remoto provocar una denegación de servicio a través de la función mjs_mk_ffi_sig en el archivo mjs.c.
  • Vulnerabilidad en Bridge (CVE-2025-27193)
    Severidad: ALTA
    Fecha de publicación: 08/04/2025
    Fecha de última actualización: 05/05/2025
    Las versiones 14.1.5, 15.0.2 y anteriores de Bridge se ven afectadas por una vulnerabilidad de desbordamiento de búfer en el montón que podría provocar la ejecución de código arbitrario en el contexto del usuario actual. Para explotar este problema, es necesario que la víctima abra un archivo malicioso.
  • Vulnerabilidad en Media Encoder (CVE-2025-27194)
    Severidad: ALTA
    Fecha de publicación: 08/04/2025
    Fecha de última actualización: 05/05/2025
    Las versiones 25.1, 24.6.4 y anteriores de Media Encoder se ven afectadas por una vulnerabilidad de escritura fuera de los límites que podría provocar la ejecución de código arbitrario en el contexto del usuario actual. Para explotar este problema, es necesario que la víctima abra un archivo malicioso.
  • Vulnerabilidad en Media Encoder (CVE-2025-27195)
    Severidad: ALTA
    Fecha de publicación: 08/04/2025
    Fecha de última actualización: 05/05/2025
    Las versiones 25.1, 24.6.4 y anteriores de Media Encoder se ven afectadas por una vulnerabilidad de desbordamiento de búfer en el montón que podría provocar la ejecución de código arbitrario en el contexto del usuario actual. Para explotar este problema, es necesario que la víctima abra un archivo malicioso.
  • Vulnerabilidad en Premiere Pro (CVE-2025-27196)
    Severidad: ALTA
    Fecha de publicación: 08/04/2025
    Fecha de última actualización: 05/05/2025
    Las versiones 25.1, 24.6.4 y anteriores de Premiere Pro se ven afectadas por una vulnerabilidad de desbordamiento de búfer en el montón que podría provocar la ejecución de código arbitrario en el contexto del usuario actual. Para explotar este problema, es necesario que la víctima abra un archivo malicioso.
  • Vulnerabilidad en Photoshop Desktop (CVE-2025-27198)
    Severidad: ALTA
    Fecha de publicación: 08/04/2025
    Fecha de última actualización: 05/05/2025
    Las versiones 25.12.1, 26.4.1 y anteriores de Photoshop Desktop se ven afectadas por una vulnerabilidad de desbordamiento de búfer en montón que podría provocar la ejecución de código arbitrario en el contexto del usuario actual. Para explotar este problema, es necesario que la víctima abra un archivo malicioso.
  • Vulnerabilidad en Microsoft Corporation (CVE-2025-29824)
    Severidad: ALTA
    Fecha de publicación: 08/04/2025
    Fecha de última actualización: 05/05/2025
    Use after free en el controlador del sistema de archivos de registro común de Windows permite que un atacante autorizado eleve privilegios localmente.