Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Dos nuevos avisos de seguridad

Índice

  • Múltiples vulnerabilidades en DIR-816 de D-Link
  • Múltiples vulnerabilidades en Daily Expense Manager

Múltiples vulnerabilidades en DIR-816 de D-Link

Fecha27/06/2025
Importancia5 - Crítica
Recursos Afectados

DIR-816, todas las revisiones de hardware y todas las versiones de firmware.

Descripción

pjqwudi de VULdb ha descubierto 6 vulnerabilidades, 4 de severidad crítica y 2 media que, en caso de ser explotadas, podrían provocar la caída del dispositivo o la ejecución de comandos arbitrarios del sistema operativo sin autenticación previa por parte del atacante.

Solución

Este producto se encuentra al final de su vida útil (EOL, End of Live) y ya no ofrece soporte técnico ni actualizaciones de firmware.

El fabricante recomienda:

  • Realizar una copia completa de seguridad de todos los datos
  • Migrar a un producto similar que sí cuente con soporte técnico y actualizaciones de firmware.
Detalle

Las vulnerabilidades de severidad crítica son de tipo desbordamiento de búfer basado en pila y corrupción de memoria. Estas podrían provocar la caída del dispositivo sin necesidad de que el atacante, en remoto, esté previamente autenticado. Para cada vulnerabilidad, la función y argumentos vulnerables son:

  • CVE-2025-5622: función wirelessApcli-5g del archivo /goform/wirelessApcli-5g. Argumento apcli.mode.5g/apcli-enc.5g/apcli-default-key-5g.
  • CVE-2025-5623: función qosClassifier del archivo /goform/qosClassifier. Argumento dip.address/sip-address.
  • CVE-2025-5624: función QoSPortSetup del archivo /goform/QoSPortSetup. Argumento port0_group/port0_remarker/ssid0_group/ssid0_remarker.
  • CVE-2025-5630: código desconocido de la función /goform/form2lansetup.cgi.

Para todas ellas hay un exploit que es público y puede que esté siendo utilizado.

Las vulnerabilidades de severidad media tienen asignados los identificadores CVE-2025-5620 y CVE-2025-5621. Su detalle puede consultarse en el enlace de las referencias.

Múltiples vulnerabilidades en Daily Expense Manager

Fecha27/06/2025
Importancia4 - Alta
Recursos Afectados

Daily Expense Manager, versión 1.0.

Descripción

INCIBE ha coordinado la publicación de 4 vulnerabilidades, 1 de severidad alta y 3 de severidad media, que afectan a Daily Expense Manager, una herramienta para calcular gastos basándose en acciones CRUD. Las vulnerabilidades han sido descubiertas por Rafael Pedrero.

A estas vulnerabilidades se les ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y tipo de vulnerabilidad CWE:

  • CVE-2025-40731: CVSS v4.0: 8.7 | CVSS AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N | CWE-89
  • CVE-2025-40732: CVSS v4.0: 6.9 | CVSS AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N | CWE-203
  • CVE-2025-40733 y CVE-2025-40734: CVSS v4.0: 5.1 | CVSS AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N | CWE-79
Solución

No hay solución reportada por el momento.

Detalle
  • CVE-2025-40731: vulnerabilidad de inyección SQL en Daily Expense Manager v1.0. Esta vulnerabilidad permite a un atacante recuperar, crear, actualizar y eliminar bases de datos a través de los parámetros pname, pprice e id en /update.php.
  • CVE-2025-40732: vulnerabilidad de enumeración de usuarios en Daily Expense Manager v1.0. Para explotar esta vulnerabilidad se debe enviar una solicitud POST utilizando el parámetro name en /check.php.
  • Vulnerabilidad de secuencias de Cross-Site Scripting (XSS) reflejado en Daily Expense Manager v1.0. Esta vulnerabilidad permite a un atacante ejecutar código JavaScript mediante el envío de una solicitud POST. La relación de parámetros e identificadores asignados es la siguiente:
    • CVE-2025-40733: parámetro username en /login.php.
    • CVE-2025-40734: parámetros password y confirm_password en /register.php.