Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

Vulnerabilidad en NGINX Unit (CVE-2019-7401)
Severidad: CRÍTICA
Fecha de publicación: 08/02/2019
Fecha de última actualización: 12/08/2025
NGINX Unit, en versiones anteriores a la 1.7.1, podría permitir que un atacante provoque un desbordamiento de búfer basado en memoria dinámica (heap) en el proceso del router con una petición especialmente manipulada. Esto podría resultar en una denegación de servicio (cierre inesperado del proceso del router) o, posiblemente, en otro tipo de impacto sin especificar.
Vulnerabilidad en WP Import Export Lite para WordPress (CVE-2025-5061)
Severidad: ALTA
Fecha de publicación: 05/08/2025
Fecha de última actualización: 13/08/2025
El complemento WP Import Export Lite para WordPress es vulnerable a la carga de archivos arbitrarios debido a la falta de validación del tipo de archivo en la función 'wpie_parse_upload_data' en todas las versiones hasta la 3.9.29 incluida. Esto permite que atacantes autenticados, con acceso de suscriptor o superior, y permisos otorgados por un administrador, carguen archivos arbitrarios en el servidor del sitio afectado, lo que podría posibilitar la ejecución remota de código. La vulnerabilidad se corrigió parcialmente en la versión 3.9.29.
Vulnerabilidad en HUAWEI (CVE-2025-54645)
Severidad: MEDIA
Fecha de publicación: 06/08/2025
Fecha de última actualización: 13/08/2025
Problema de acceso a la matriz fuera de los límites debido a una verificación de datos insuficiente en el módulo location service. Impacto: La explotación exitosa de esta vulnerabilidad podría afectar la disponibilidad.
Vulnerabilidad en HUAWEI (CVE-2025-54647)
Severidad: MEDIA
Fecha de publicación: 06/08/2025
Fecha de última actualización: 13/08/2025
Vulnerabilidad de lectura fuera de los límites en el módulo SSAP de la pila de protocolos NearLink. Impacto: La explotación exitosa de esta vulnerabilidad podría afectar la disponibilidad.
Vulnerabilidad en HUAWEI (CVE-2025-54648)
Severidad: MEDIA
Fecha de publicación: 06/08/2025
Fecha de última actualización: 13/08/2025
Vulnerabilidad de lectura fuera de los límites en el módulo SSAP de la pila de protocolos NearLink. Impacto: La explotación exitosa de esta vulnerabilidad podría afectar la disponibilidad.
Vulnerabilidad en HUAWEI (CVE-2025-54651)
Severidad: MEDIA
Fecha de publicación: 06/08/2025
Fecha de última actualización: 13/08/2025
Vulnerabilidad de condición de ejecución en el módulo hufs del kernel. Impacto: La explotación exitosa de esta vulnerabilidad podría afectar la confidencialidad del servicio.
Vulnerabilidad en IBM Tivoli Monitoring (CVE-2025-3320)
Severidad: ALTA
Fecha de publicación: 06/08/2025
Fecha de última actualización: 13/08/2025
IBM Tivoli Monitoring 6.3.0.7 a 6.3.0.7 Service Pack 20 es vulnerable a un desbordamiento de búfer basado en el montón, causado por una comprobación incorrecta de los límites. Un atacante remoto podría desbordar un búfer y ejecutar código arbitrario en el sistema o provocar un fallo del servidor.
Vulnerabilidad en IBM Tivoli Monitoring (CVE-2025-3354)
Severidad: ALTA
Fecha de publicación: 06/08/2025
Fecha de última actualización: 13/08/2025
IBM Tivoli Monitoring 6.3.0.7 a 6.3.0.7 Service Pack 20 es vulnerable a un desbordamiento de búfer basado en el montón, causado por una comprobación incorrecta de los límites. Un atacante remoto podría desbordar un búfer y ejecutar código arbitrario en el sistema o provocar un fallo del servidor.
Vulnerabilidad en WinRAR (CVE-2025-8088)
Severidad: ALTA
Fecha de publicación: 08/08/2025
Fecha de última actualización: 13/08/2025
Una vulnerabilidad de recorrido de ruta que afecta a la versión de WinRAR para Windows permite a los atacantes ejecutar código arbitrario mediante la creación de archivos maliciosos. Esta vulnerabilidad fue explotada indiscriminadamente y descubierta por Anton Cherepanov, Peter Košinár y Peter Strý?ek de ESET.
Vulnerabilidad en Eventin para WordPress (CVE-2025-4796)
Severidad: ALTA
Fecha de publicación: 08/08/2025
Fecha de última actualización: 13/08/2025
El complemento Eventin para WordPress es vulnerable a la escalada de privilegios mediante la apropiación de cuentas en todas las versiones hasta la 4.0.34 incluida. Esto se debe a que el plugin no valida correctamente la identidad o la capacidad del usuario antes de actualizar sus datos, como el correo electrónico, en la función 'Eventin\Speaker\Api\SpeakerController::update_item'. Esto permite que atacantes no autenticados con permisos de colaborador o superiores cambien las direcciones de correo electrónico de usuarios arbitrarios, incluidos los administradores, y aprovechen esta situación para restablecer la contraseña del usuario y acceder a su cuenta.
Vulnerabilidad en OpenBao (CVE-2025-54997)
Severidad: CRÍTICA
Fecha de publicación: 09/08/2025
Fecha de última actualización: 13/08/2025
OpenBao existe para proporcionar una solución de software que permite gestionar, almacenar y distribuir datos confidenciales, como secretos, certificados y claves. En las versiones 2.3.1 y anteriores, algunas implementaciones de OpenBao limitan intencionalmente la ejecución de código del sistema o el establecimiento de conexiones de red por parte de operadores de API privilegiados. Sin embargo, estos operadores pueden eludir ambas restricciones a través del subsistema de auditoría manipulando los prefijos de registro. Esto permite la ejecución de código no autorizado y el acceso a la red que infringe el modelo de seguridad previsto. Este problema se solucionó en la versión 2.3.2. Como solución alternativa, los usuarios pueden bloquear el acceso a los endpoints sys/audit/* mediante políticas de denegación explícitas, pero los operadores raíz no pueden restringirse de esta forma.