Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

Vulnerabilidad en productos Microsoft (CVE-2018-8639)
Severidad: ALTA
Fecha de publicación: 12/12/2018
Fecha de última actualización: 09/06/2025
Existe una vulnerabilidad de elevación de privilegios en Windows cuando el componente Win32k no gestiona adecuadamente los objetos en la memoria. Esto también se conoce como "Win32k Elevation of Privilege Vulnerability". Esto afecta a Windows 7, Windows Server 2012 R2, Windows RT 8.1, Windows Server 2008, Windows Server 2019, Windows Server 2012, Windows 8.1, Windows Server 2016, Windows Server 2008 R2, Windows 10 y Windows 10 Servers. El ID de este CVE es diferente de CVE-2018-8641.
Vulnerabilidad en Easy Social Feed de WordPress (CVE-2024-30526)
Severidad: MEDIA
Fecha de publicación: 31/03/2024
Fecha de última actualización: 09/06/2025
Vulnerabilidad de Cross-Site Request Forgery (CSRF) en Easy Social Feed. Este problema afecta a Easy Social Feed: desde n/a hasta 6.5.6.
Vulnerabilidad en Mehanoid.Pro FlatPM (CVE-2024-29803)
Severidad: MEDIA
Fecha de publicación: 27/03/2024
Fecha de última actualización: 09/06/2025
Neutralización inadecuada de la entrada durante la vulnerabilidad de generación de páginas web ('Cross-site Scripting') en Mehanoid.Pro FlatPM permite XSS almacenado. Este problema afecta a FlatPM: desde n/a antes de 3.1.05.
Vulnerabilidad en Poll Maker & Voting Plugin Team (InfoTheme) WP Poll Maker (CVE-2024-29818)
Severidad: MEDIA
Fecha de publicación: 27/03/2024
Fecha de última actualización: 09/06/2025
Neutralización inadecuada de la entrada durante la vulnerabilidad de generación de páginas web ('Cross-site Scripting') en Poll Maker & Voting Plugin Team (InfoTheme) WP Poll Maker permite XSS almacenado. Este problema afecta a WP Poll Maker: desde n/a hasta 3.1.
Vulnerabilidad en Easy Social Feed (CVE-2024-30180)
Severidad: MEDIA
Fecha de publicación: 27/03/2024
Fecha de última actualización: 09/06/2025
La vulnerabilidad de neutralización inadecuada de la entrada durante la generación de páginas web ('Cross-site Scripting') en Easy Social Feed permite XSS almacenado. Este problema afecta a Easy Social Feed: desde n/a hasta 6.5.3.
Vulnerabilidad en Poll Maker & Voting Plugin Team (InfoTheme) WP Poll Maker (CVE-2024-32514)
Severidad: CRÍTICA
Fecha de publicación: 17/04/2024
Fecha de última actualización: 09/06/2025
Carga sin restricciones de archivos con vulnerabilidad de tipo peligroso en Poll Maker & Voting Plugin Team (InfoTheme) WP Poll Maker. Este problema afecta a WP Poll Maker: desde n/a hasta 3.4.
Vulnerabilidad en Repute Infosystems ARMember (CVE-2024-32948)
Severidad: CRÍTICA
Fecha de publicación: 24/04/2024
Fecha de última actualización: 09/06/2025
Vulnerabilidad de autorización faltante en Repute Infosystems ARMember. Este problema afecta a ARMember: desde n/a hasta 4.0.28.
Vulnerabilidad en FeedbackWP Rate my Post – WP Rating System (CVE-2024-32823)
Severidad: MEDIA
Fecha de publicación: 24/04/2024
Fecha de última actualización: 09/06/2025
Omisión de autorización a través de una vulnerabilidad de clave controlada por el usuario en FFeedbackWP Rate my Post – WP Rating System. Este problema afecta Calificar mi publicación – WP Rating System: desde n/a hasta 3.4.4.
Vulnerabilidad en AddonMaster Post Grid Master (CVE-2024-34372)
Severidad: MEDIA
Fecha de publicación: 06/05/2024
Fecha de última actualización: 09/06/2025
Vulnerabilidad de autorización faltante en AddonMaster Post Grid Master. Este problema afecta a Post Grid Master: desde n/a hasta 3.4.7.
Vulnerabilidad en AddonMaster Post Grid Master (CVE-2024-34390)
Severidad: MEDIA
Fecha de publicación: 06/05/2024
Fecha de última actualización: 09/06/2025
La vulnerabilidad de neutralización inadecuada de la entrada durante la generación de páginas web ('Cross-site Scripting') en AddonMaster Post Grid Master permite almacenar XSS. Este problema afecta a Post Grid Master: desde n/a hasta 3.4.8.
Vulnerabilidad en AppPresser Team AppPresser (CVE-2024-32776)
Severidad: MEDIA
Fecha de publicación: 14/05/2024
Fecha de última actualización: 09/06/2025
Vulnerabilidad de autorización faltante en AppPresser Team AppPresser. Este problema afecta a AppPresser: desde n/a hasta 4.3.0.
Vulnerabilidad en ProfilePress Membership Team ProfilePress (CVE-2023-41954)
Severidad: ALTA
Fecha de publicación: 17/05/2024
Fecha de última actualización: 09/06/2025
Vulnerabilidad de gestión de privilegios incorrecta en ProfilePress Membership Team ProfilePress permite la escalada de privilegios. Este problema afecta a ProfilePress: desde n/a hasta 4.13.1.
Vulnerabilidad en BoldGrid Total Upkeep (CVE-2024-24869)
Severidad: ALTA
Fecha de publicación: 17/05/2024
Fecha de última actualización: 09/06/2025
La limitación incorrecta de un nombre de ruta a una vulnerabilidad de directorio restringido ("Path Traversal") en BoldGrid Total Upkeep permite el path traversal relativo. Este problema afecta a Total Upkeep: desde n/a hasta 1.15.8.
Vulnerabilidad en Masteriyo LMS (CVE-2024-24882)
Severidad: CRÍTICA
Fecha de publicación: 17/05/2024
Fecha de última actualización: 09/06/2025
Una vulnerabilidad de gestión de privilegios incorrecta en Masteriyo LMS permite la escalada de privilegios. Este problema afecta a LMS: desde n/a hasta 1.7.2.
Vulnerabilidad en Greenshift – animation and page builder blocks (CVE-2024-35765)
Severidad: MEDIA
Fecha de publicación: 19/06/2024
Fecha de última actualización: 09/06/2025
Vulnerabilidad de neutralización inadecuada de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en Wpsoul Greenshift – animation and page builder blocks permiten XSS Almacenado. Este problema afecta a Greenshift – animation and page builder blocks: desde n/a hasta 8.8. 9.1.
Vulnerabilidad en Betheme (CVE-2023-47770)
Severidad: ALTA
Fecha de publicación: 19/06/2024
Fecha de última actualización: 09/06/2025
Vulnerabilidad de autorización faltante en Muffin Group Betheme. Este problema afecta a Betheme: desde n/a hasta 27.1.1.
Vulnerabilidad en vCita Online Booking & Scheduling Calendar para WordPress (CVE-2024-37499)
Severidad: MEDIA
Fecha de publicación: 09/07/2024
Fecha de última actualización: 09/06/2025
La limitación inadecuada de un nombre de ruta a un directorio restringido ("Path Traversal") en vCita Online Booking & Scheduling Calendar para WordPress de vcita permite una vulnerabilidad de Path Traversal. Este problema afecta a Online Booking & Scheduling Calendar for WordPress de vcita: desde n/a hasta 4.4 .2.
Vulnerabilidad en complemento Light Poll de WordPress (CVE-2024-6496)
Severidad: MEDIA
Fecha de publicación: 01/08/2024
Fecha de última actualización: 09/06/2025
El complemento Light Poll de WordPress hasta la versión 1.0.0 no tiene comprobaciones CSRF al eliminar encuestas, lo que podría permitir a los atacantes hacer que los usuarios que han iniciado sesión realicen dicha acción a través de un ataque CSRF.
Vulnerabilidad en wp-eMember de WordPress (CVE-2024-5081)
Severidad: MEDIA
Fecha de publicación: 05/08/2024
Fecha de última actualización: 09/06/2025
El complemento wp-eMember de WordPress anterior a v10.7.0 no tiene verificación CSRF en algunos lugares y le falta sanitización y escape, lo que podría permitir a los atacantes hacer que el administrador registrado agregue payloads XSS almacenado a través de un ataque CSRF.
Vulnerabilidad en WP Table Builder WP Table Builder – WordPress Table (CVE-2024-43125)
Severidad: MEDIA
Fecha de publicación: 12/08/2024
Fecha de última actualización: 09/06/2025
Neutralización inadecuada de la entrada durante la vulnerabilidad de generación de páginas web (XSS o 'Cross-site Scripting') en WP Table Builder WP Table Builder – WordPress Table de WordPress permite XSS Almacenado. Este problema afecta a WP Table Builder – WordPress Table Plugin de WordPress: desde n/a hasta 1.4.15.
Vulnerabilidad en Relevanssi para WordPress (CVE-2024-9021)
Severidad: MEDIA
Fecha de publicación: 08/10/2024
Fecha de última actualización: 09/06/2025
En el proceso de prueba del complemento Relevanssi para WordPress anterior a la versión 4.23.1, se encontró una vulnerabilidad que permite implementar XSS almacenado en nombre de Contributor+ mediante la incorporación de un script malicioso, lo que implica una puerta trasera de apropiación de cuentas.
Vulnerabilidad en WPManageNinja LLC Fluent Support (CVE-2024-47304)
Severidad: ALTA
Fecha de publicación: 17/10/2024
Fecha de última actualización: 09/06/2025
Vulnerabilidad de neutralización incorrecta de elementos especiales utilizados en un comando SQL ('Inyección SQL') en WPManageNinja LLC Fluent Support permite la inyección SQL. Este problema afecta a Fluent Support: desde n/a hasta 1.8.0.
Vulnerabilidad en adBuddy+ (AdBlocker Detection) de NetfunkDesign para WordPress (CVE-2024-10510)
Severidad: MEDIA
Fecha de publicación: 28/11/2024
Fecha de última actualización: 09/06/2025
El complemento adBuddy+ (AdBlocker Detection) de NetfunkDesign para WordPress hasta la versión 1.1.3 no desinfecta ni escapa a algunas de sus configuraciones, lo que podría permitir que usuarios con privilegios elevados como el administrador realicen ataques de Cross-Site Scripting almacenado incluso cuando la capacidad unfiltered_html no está permitida (por ejemplo, en una configuración de varios sitios).
Vulnerabilidad en Meteor Slides (CVE-2024-52493)
Severidad: MEDIA
Fecha de publicación: 02/12/2024
Fecha de última actualización: 09/06/2025
La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en Meteor Slides de Josh Leuze permite XSS almacenado. Este problema afecta a Meteor Slides: desde n/a hasta 1.5.7.
Vulnerabilidad en Django (CVE-2024-53908)
Severidad: CRÍTICA
Fecha de publicación: 06/12/2024
Fecha de última actualización: 09/06/2025
Se descubrió un problema en Django 5.1 anterior a 5.1.4, 5.0 anterior a 5.0.10 y 4.2 anterior a 4.2.17. El uso directo de la búsqueda django.db.models.fields.json.HasKey, cuando se utiliza una base de datos Oracle, está sujeto a inyección SQL si se utilizan datos no confiables como valor de lhs. (Las aplicaciones que utilizan la búsqueda jsonfield.has_key mediante __ no se ven afectadas).
Vulnerabilidad en SearchIQ (CVE-2023-47832)
Severidad: MEDIA
Fecha de publicación: 09/12/2024
Fecha de última actualización: 09/06/2025
Vulnerabilidad de autorización faltante en SearchIQ permite explotar niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a SearchIQ: desde n/a hasta 4.4.
Vulnerabilidad en Analytify (CVE-2023-47841)
Severidad: MEDIA
Fecha de publicación: 09/12/2024
Fecha de última actualización: 09/06/2025
Vulnerabilidad de autorización faltante en Analytify permite explotar niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a Analytify: desde n/a hasta 5.1.1.
Vulnerabilidad en Easy Social Feed (CVE-2023-48740)
Severidad: MEDIA
Fecha de publicación: 09/12/2024
Fecha de última actualización: 09/06/2025
Vulnerabilidad de autorización faltante en Easy Social Feed permite explotar niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a Easy Social Feed: desde n/a hasta 6.5.1.
Vulnerabilidad en Ambari 2.7.9 (CVE-2025-23195)
Severidad: ALTA
Fecha de publicación: 21/01/2025
Fecha de última actualización: 09/06/2025
Existe una vulnerabilidad de entidad externa XML (XXE) en el proyecto Ambari/Oozie, que permite a un atacante inyectar entidades XML maliciosas. Esta vulnerabilidad se produce debido a un análisis inseguro de la entrada XML mediante la clase `DocumentBuilderFactory` sin deshabilitar la resolución de entidades externas. Un atacante puede aprovechar esta vulnerabilidad para leer archivos arbitrarios en el servidor o realizar ataques Server-Side Request Forgery (SSRF). El problema se ha solucionado tanto en Ambari 2.7.9 como en la rama troncal.
Vulnerabilidad en Ambari (CVE-2025-23196)
Severidad: ALTA
Fecha de publicación: 21/01/2025
Fecha de última actualización: 09/06/2025
Existe una vulnerabilidad de inyección de código en la función de definición de alertas de Ambari, que permite a los usuarios autenticados inyectar y ejecutar comandos de shell arbitrarios. La vulnerabilidad surge al definir la alerta scripts, donde el campo de nombre de archivo script se ejecuta utilizando `sh -c`. Un atacante con acceso autenticado puede aprovechar esta vulnerabilidad para inyectar comandos maliciosos, lo que lleva a la ejecución remota de código en el servidor. El problema se ha solucionado en las últimas versiones de Ambari.
Vulnerabilidad en goodlayers-core de WordPress (CVE-2024-12163)
Severidad: MEDIA
Fecha de publicación: 30/01/2025
Fecha de última actualización: 09/06/2025
El complemento goodlayers-core de WordPress anterior a la versión 2.1.3 permite a los usuarios con rol de suscriptor o superior cargar SVG que contengan payloads maliciosos.
Vulnerabilidad en tourmaster de WordPress (CVE-2024-12400)
Severidad: ALTA
Fecha de publicación: 30/01/2025
Fecha de última actualización: 09/06/2025
El complemento tourmaster de WordPress anterior a la versión 5.3.5 no escapa de las URL generadas antes de mostrarlas en atributos, lo que genera Cross-Site Scripting Reflejado.
Vulnerabilidad en Apache Cassandra (CVE-2025-24860)
Severidad: MEDIA
Fecha de publicación: 04/02/2025
Fecha de última actualización: 09/06/2025
Vulnerabilidad de autorización incorrecta en Apache Cassandra que permite a los usuarios acceder a un centro de datos o grupos de IP/CIDR a los que no deberían poder acceder cuando utilizan CassandraNetworkAuthorizer o CassandraCIDRAuthorizer. Los usuarios con acceso restringido al centro de datos pueden actualizar sus propios permisos a través de instrucciones de lenguaje de control de datos (DCL) en las versiones afectadas. Este problema afecta a Apache Cassandra: de 4.0.0 a 4.0.15 y de 4.1.0 a 4.1.7 para CassandraNetworkAuthorizer, y de 5.0.0 a 5.0.2 para CassandraNetworkAuthorizer y CassandraCIDRAuthorizer. Los operadores que utilicen CassandraNetworkAuthorizer o CassandraCIDRAuthorizer en las versiones afectadas deben revisar las reglas de acceso a los datos para detectar posibles infracciones. Se recomienda a los usuarios que actualicen a las versiones 4.0.16, 4.1.8, 5.0.3, que solucionan el problema.
Vulnerabilidad en Apache Doris (CVE-2024-48019)
Severidad: MEDIA
Fecha de publicación: 04/02/2025
Fecha de última actualización: 09/06/2025
Vulnerabilidad de limitación incorrecta de una ruta de acceso a un directorio restringido ('Path Traversal'), archivos o directorios accesibles a terceros en Apache Doris. Los administradores de aplicaciones pueden leer archivos arbitrarios del sistema de archivos del servidor mediante el path traversal. Se recomienda a los usuarios actualizar a la versión 2.1.8, 3.0.3 o posterior, que soluciona el problema.
Vulnerabilidad en Custom Field Manager de WordPress (CVE-2024-12873)
Severidad: MEDIA
Fecha de publicación: 15/05/2025
Fecha de última actualización: 09/06/2025
El complemento Custom Field Manager de WordPress hasta la versión 1.0 no depura ni escapa un parámetro antes de mostrarlo nuevamente en la página, lo que genera un Cross-Site Scripting reflejado que podría usarse contra usuarios con privilegios altos, como el administrador.
Vulnerabilidad en Top Comments de WordPress (CVE-2024-12874)
Severidad: MEDIA
Fecha de publicación: 15/05/2025
Fecha de última actualización: 09/06/2025
El complemento Top Comments de WordPress hasta la versión 1.0 no depura ni escapa de algunas de sus configuraciones, lo que podría permitir a usuarios con privilegios elevados como el administrador realizar ataques de Cross-Site Scripting almacenado incluso cuando la capacidad unfiltered_html no está permitida (por ejemplo, en una configuración de varios sitios).
Vulnerabilidad en Form Maker de 10Web para WordPress (CVE-2024-13053)
Severidad: MEDIA
Fecha de publicación: 15/05/2025
Fecha de última actualización: 09/06/2025
El complemento Form Maker de 10Web para WordPress anterior a la versión 1.15.33 no depura ni escapa de algunas de sus configuraciones, lo que podría permitir a usuarios con privilegios elevados como el administrador realizar ataques de Cross-Site Scripting almacenado incluso cuando la capacidad unfiltered_html no está permitida (por ejemplo, en una configuración de varios sitios).
Vulnerabilidad en DL Verification de WordPress (CVE-2024-6798)
Severidad: MEDIA
Fecha de publicación: 15/05/2025
Fecha de última actualización: 09/06/2025
El complemento DL Verification de WordPress hasta la versión 1.2 no depura ni escapa de algunas de sus configuraciones, lo que podría permitir que usuarios con privilegios elevados como el administrador realicen ataques de Cross-Site Scripting almacenado incluso cuando la capacidad unfiltered_html no está permitida (por ejemplo, en una configuración de varios sitios).
Vulnerabilidad en DIGITS: WordPress Mobile Number Signup and Login para WordPress (CVE-2025-4094)
Severidad: CRÍTICA
Fecha de publicación: 21/05/2025
Fecha de última actualización: 09/06/2025
El complemento DIGITS: WordPress Mobile Number Signup and Login para WordPress anterior a la versión 8.4.6.1 no limita la capacidad de los intentos de validación de OTP, lo que hace que sea fácil para los atacantes forzarlos.
Vulnerabilidad en Blog2Social: Social Media Auto Post & Scheduler para WordPress (CVE-2025-4133)
Severidad: MEDIA
Fecha de publicación: 22/05/2025
Fecha de última actualización: 09/06/2025
El complemento Blog2Social: Social Media Auto Post & Scheduler para WordPress anterior a la versión 8.4.0 no escapa al título de las publicaciones cuando las muestra en un panel, lo que podría permitir a los usuarios con rol de colaborador realizar ataques de Cross-Site Scripting.
Vulnerabilidad en Gearside Developer Dashboard para WordPress (CVE-2025-4429)
Severidad: MEDIA
Fecha de publicación: 30/05/2025
Fecha de última actualización: 09/06/2025
El complemento Gearside Developer Dashboard para WordPress hasta la versión 1.0.72 no depura ni escapa un parámetro antes de mostrarlo nuevamente en la página, lo que genera un Cross-Site Scripting reflejado que podría usarse contra usuarios con privilegios elevados, como el administrador.
Vulnerabilidad en Real Cookie Banner: GDPR & ePrivacy Cookie Consent y real-cookie-banner-pro (CVE-2025-1485)
Severidad: MEDIA
Fecha de publicación: 02/06/2025
Fecha de última actualización: 09/06/2025
El complemento Real Cookie Banner: GDPR & ePrivacy Cookie Consent y real-cookie-banner-pro de WordPress anterior a la versión 5.1.6 no desinfecta ni escapa de algunas de sus configuraciones, lo que podría permitir a usuarios con privilegios elevados, como el administrador, realizar ataques de cross-site-scripting almacenado incluso cuando la capacidad unfiltered_html no está permitida (por ejemplo, en una configuración de varios sitios).
Vulnerabilidad en WP-Optimize para WordPress (CVE-2025-3951)
Severidad: MEDIA
Fecha de publicación: 02/06/2025
Fecha de última actualización: 09/06/2025
El complemento WP-Optimize para WordPress anterior a la versión 4.2.0 no escapa adecuadamente a la entrada del usuario al verificar los estados de compresión de imágenes, lo que podría permitir a los usuarios con rol de administrador realizar ataques de inyección SQL en el contexto de configuraciones de WordPress de varios sitios.