Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • Vulnerabilidad en hyavijava v6.0.07.1 (CVE-2023-51084)
    Severidad: CRÍTICA
    Fecha de publicación: 27/12/2023
    Fecha de última actualización: 26/08/2025
    Se descubrió que hyavijava v6.0.07.1 contenía un desbordamiento de pila mediante el método ResultConverter.convert2Xml.
  • Vulnerabilidad en Yealink Config Encrypt Tool (CVE-2022-48625)
    Severidad: ALTA
    Fecha de publicación: 20/02/2024
    Fecha de última actualización: 26/08/2025
    Yealink Config Encrypt Tool agrega RSA anterior a 1.2 tiene un par de claves RSA incorporado y, por lo tanto, existe el riesgo de que un adversario lo descifre.
  • Vulnerabilidad en Citrix (CVE-2024-8069)
    Severidad: MEDIA
    Fecha de publicación: 12/11/2024
    Fecha de última actualización: 26/08/2025
    Ejecución remota limitada de código con privilegio de acceso a una cuenta de servicio de red en la grabación de sesiones de Citrix si el atacante es un usuario autenticado en la misma intranet que el servidor de grabación de sesiones
  • Vulnerabilidad en Synapse (CVE-2024-37302)
    Severidad: ALTA
    Fecha de publicación: 03/12/2024
    Fecha de última actualización: 26/08/2025
    Synapse es un servidor doméstico Matrix de código abierto. Las versiones de Synapse anteriores a la 1.106 son vulnerables a un ataque de llenado de disco, en el que un adversario no autenticado puede inducir a Synapse a descargar y almacenar en caché grandes cantidades de medios remotos. La estrategia de límite de velocidad predeterminada no es suficiente para mitigar esto. Esto puede provocar una denegación de servicio, que puede ir desde el fallo de las futuras cargas/descargas de medios hasta la indisponibilidad total del proceso Synapse, según cómo se haya implementado Synapse. Synapse 1.106 introduce un nuevo límite de velocidad de "depósito con fugas" en las descargas de medios remotos para reducir la cantidad de datos que un usuario puede solicitar a la vez. Esto no soluciona por completo el problema, pero sí limita la capacidad de un usuario no autenticado de solicitar que se almacenen en caché grandes cantidades de datos.
  • Vulnerabilidad en Synapse (CVE-2024-37303)
    Severidad: MEDIA
    Fecha de publicación: 03/12/2024
    Fecha de última actualización: 26/08/2025
    Synapse es un servidor doméstico Matrix de código abierto. La versión 1.106 de Synapse permite, por diseño, que los participantes remotos no autenticados activen una descarga y un almacenamiento en caché de contenido multimedia remoto desde un servidor doméstico remoto al repositorio de contenido multimedia local. Dicho contenido también se vuelve disponible para su descarga desde el servidor doméstico local de forma no autenticada. La implicación es que los adversarios remotos no autenticados pueden usar esta funcionalidad para introducir contenido problemático en el repositorio de contenido multimedia. La versión 1.106 de Synapse introduce una mitigación parcial en forma de nuevos endpoints que requieren autenticación para las descargas de contenido multimedia. Los endpoints no autenticados se congelarán en una versión futura, lo que cerrará el vector de ataque.
  • Vulnerabilidad en Synapse (CVE-2024-52805)
    Severidad: ALTA
    Fecha de publicación: 03/12/2024
    Fecha de última actualización: 26/08/2025
    Synapse es un servidor doméstico Matrix de código abierto. En Synapse anterior a la versión 1.120.1, las solicitudes multipart/form-data pueden, en determinadas configuraciones, aumentar transitoriamente el consumo de memoria más allá de los niveles esperados mientras se procesa la solicitud, lo que se puede utilizar para amplificar los ataques de denegación de servicio. Synapse 1.120.1 resuelve el problema al denegar las solicitudes con un tipo de contenido multipart/form-data no compatible.
  • Vulnerabilidad en Synapse (CVE-2024-52815)
    Severidad: ALTA
    Fecha de publicación: 03/12/2024
    Fecha de última actualización: 26/08/2025
    Synapse es un servidor doméstico Matrix de código abierto. Las versiones de Synapse anteriores a la 1.120.1 no pueden validar correctamente las invitaciones recibidas a través de la federación. Esta vulnerabilidad permite que un servidor malintencionado envíe una invitación especialmente manipulada que interrumpe la funcionalidad /sync del usuario invitado. Synapse 1.120.1 rechaza dichas invitaciones no válidas recibidas a través de la federación y restaura la capacidad de sincronización de los usuarios afectados.
  • Vulnerabilidad en Synapse (CVE-2024-53863)
    Severidad: ALTA
    Fecha de publicación: 03/12/2024
    Fecha de última actualización: 26/08/2025
    Synapse es un servidor doméstico Matrix de código abierto. En las versiones de Synapse anteriores a la 1.120.1, habilitar la opción dynamic_thumbnails o procesar una solicitud especialmente manipulada podía activar la decodificación y la generación de miniaturas de formatos de imagen poco comunes, lo que podría invocar herramientas externas como Ghostscript para su procesamiento. Esto amplía significativamente la superficie de ataque en un área históricamente vulnerable, lo que presenta un riesgo que supera con creces el beneficio, en particular porque estos formatos rara vez se utilizan en la web abierta o dentro del ecosistema Matrix. Synapse 1.120.1 soluciona el problema al restringir la generación de miniaturas a imágenes en los siguientes formatos ampliamente utilizados: PNG, JPEG, GIF y WebP. Esta vulnerabilidad se solucionó en la versión 1.120.1.
  • Vulnerabilidad en Talos (CVE-2024-41145)
    Severidad: ALTA
    Fecha de publicación: 18/12/2024
    Fecha de última actualización: 26/08/2025
    Existe una vulnerabilidad de inyección de librería en la aplicación auxiliar WebView.app de Microsoft Teams (trabajo o escuela) 24046.2813.2770.1094 para macOS. Una librería especialmente manipulada puede aprovechar los privilegios de acceso de Teams, lo que lleva a una omisión de permisos. Una aplicación malintencionada podría inyectar una librería e iniciar el programa para activar esta vulnerabilidad y luego hacer uso de los permisos de la aplicación vulnerable.
  • Vulnerabilidad en Talos (CVE-2024-42004)
    Severidad: ALTA
    Fecha de publicación: 18/12/2024
    Fecha de última actualización: 26/08/2025
    Existe una vulnerabilidad de inyección de librería en Microsoft Teams (trabajo o escuela) 24046.2813.2770.1094 para macOS. Una librería especialmente manipulada puede aprovechar los privilegios de acceso de Teams, lo que lleva a una omisión de permisos. Una aplicación malintencionada podría inyectar una librería e iniciar el programa para activar esta vulnerabilidad y luego hacer uso de los permisos de la aplicación vulnerable.
  • Vulnerabilidad en Kirby (CVE-2025-30159)
    Severidad: MEDIA
    Fecha de publicación: 13/05/2025
    Fecha de última actualización: 26/08/2025
    Kirby es un sistema de gestión de contenido de código abierto. Una vulnerabilidad en versiones anteriores a 3.9.8.3, 3.10.1.2 y 4.7.1 afecta a todos los sitios de Kirby que usan el asistente `snippet()` o el método `$kirby->snippet()` con un nombre de fragmento dinámico (por ejemplo, un nombre de fragmento que depende de la solicitud o de los datos del usuario). Los sitios que solo usan llamadas fijas al asistente `snippet()` o al método `$kirby->snippet()` (es decir, llamadas con una cadena simple para el nombre del fragmento) *no* se ven afectados. La falta de una comprobación de path traversal permitió a los atacantes navegar y acceder a todos los archivos del servidor accesibles para el proceso PHP, incluyendo archivos fuera del root de los fragmentos o incluso fuera de la instalación de Kirby. Se ejecutó el código PHP dentro de dichos archivos. Tales ataques primero requieren un vector de ataque en el código del sitio que es causado por nombres de fragmentos dinámicos, como `snippet('tags-' . get('tags'))`. Generalmente también requiere conocimiento de la estructura del sitio y el sistema de archivos del servidor por parte del atacante, aunque puede ser posible encontrar configuraciones vulnerables a través de métodos automatizados como fuzzing. En una configuración vulnerable, esto podría causar daños a la confidencialidad e integridad del servidor. El problema ha sido parcheado en Kirby 3.9.8.3, Kirby 3.10.1.2 y Kirby 4.7.1. En todas las versiones mencionadas, los mantenedores de Kirby han agregado una comprobación para la ruta del fragmento que garantiza que la ruta resultante esté contenida dentro del root de fragmentos configurada. Las rutas de fragmentos que apuntan fuera del root de fragmentos no se cargarán.
  • Vulnerabilidad en Kirby (CVE-2025-30207)
    Severidad: BAJA
    Fecha de publicación: 13/05/2025
    Fecha de última actualización: 26/08/2025
    Kirby es un sistema de gestión de contenido de código abierto. Una vulnerabilidad en versiones anteriores a 3.9.8.3, 3.10.1.2 y 4.7.1 afecta a todas las configuraciones de Kirby que utilizan el servidor integrado de PHP. Estas configuraciones suelen utilizarse solo durante el desarrollo local. Los sitios que utilizan otro software de servidor (como Apache, nginx o Caddy) no se ven afectados. La falta de una comprobación de path traversal permitió a los atacantes navegar por todos los archivos del servidor accesibles para el proceso PHP, incluidos los archivos fuera de la instalación de Kirby. La implementación vulnerable delegó todos los archivos existentes a PHP, incluidos los existentes fuera del root del documento. Esto genera una respuesta diferente que permite a los atacantes determinar si el archivo solicitado existe. Dado que el enrutador de Kirby solo delega dichas solicitudes a PHP y no las carga ni las ejecuta, el contenido de los archivos no se expuso, ya que PHP trata las solicitudes a archivos fuera del root del documento como no válidas. El problema se ha corregido en Kirby 3.9.8.3, Kirby 3.10.1.2 y Kirby 4.7.1. En todas las versiones mencionadas, los mantenedores de Kirby han actualizado el enrutador para comprobar si los archivos estáticos existentes se encuentran en el root del documento. Las solicitudes a archivos fuera del root del documento se tratan como solicitudes de página de la página de error y ya no permiten determinar si el archivo existe o no.
  • Vulnerabilidad en Kirby (CVE-2025-31493)
    Severidad: MEDIA
    Fecha de publicación: 13/05/2025
    Fecha de última actualización: 26/08/2025
    Kirby es un sistema de gestión de contenido de código abierto. Una vulnerabilidad en versiones anteriores a 3.9.8.3, 3.10.1.2 y 4.7.1 afecta a todos los sitios de Kirby que usan el asistente `collection()` o el método `$kirby->collection()` con un nombre de colección dinámico (como un nombre de colección que depende de la solicitud o los datos del usuario). Los sitios que solo usan llamadas fijas al asistente `collection()`/método `$kirby->collection()` (es decir, llamadas con una cadena simple para el nombre de la colección) *no* se ven afectados. La falta de una comprobación de path traversal permitió a los atacantes navegar y acceder a todos los archivos en el servidor a los que tenía acceso el proceso PHP, incluyendo archivos fuera del root de las colecciones o incluso fuera de la instalación de Kirby. Se ejecutó el código PHP dentro de dichos archivos. Dichos ataques primero requieren un vector de ataque en el código del sitio que es causado por nombres de colecciones dinámicos, como `collection('tags-' . get('tags'))`. Generalmente, también requiere que el atacante conozca la estructura del sitio y el sistema de archivos del servidor, aunque es posible encontrar configuraciones vulnerables mediante métodos automatizados como el fuzzing. En una configuración vulnerable, esto podría dañar la confidencialidad e integridad del servidor. El problema se ha corregido en Kirby 3.9.8.3, Kirby 3.10.1.2 y Kirby 4.7.1. En todas las versiones mencionadas, los desarrolladores de Kirby han añadido una comprobación de la ruta de la colección que garantiza que la ruta resultante esté dentro del root de las colecciones configurada. Las rutas de colección que apunten fuera del root de las colecciones no se cargarán.
  • Vulnerabilidad en Checkmk (CVE-2025-32915)
    Severidad: MEDIA
    Fecha de publicación: 22/05/2025
    Fecha de última actualización: 26/08/2025
    Los paquetes descargados por las actualizaciones automáticas del agente de Checkmk en Linux y Solaris tienen permisos incorrectos en Checkmk < 2.4.0p1, < 2.3.0p32, < 2.2.0p42 y <= 2.1.0p49 (EOL). Esto permite que un atacante local acceda a datos confidenciales.
  • Vulnerabilidad en DNN (CVE-2025-48376)
    Severidad: BAJA
    Fecha de publicación: 23/05/2025
    Fecha de última actualización: 26/08/2025
    DNN (anteriormente DotNetNuke) es una plataforma de gestión de contenido web (CMS) de código abierto del ecosistema de Microsoft. Antes de la versión 9.13.9, un superusuario (host) malicioso podía manipular una solicitud para usar una URL externa para la exportación de un sitio web y su posterior importación. La versión 9.13.9 soluciona este problema.
  • Vulnerabilidad en DNN (CVE-2025-48377)
    Severidad: MEDIA
    Fecha de publicación: 23/05/2025
    Fecha de última actualización: 26/08/2025
    DNN (anteriormente DotNetNuke) es una plataforma de gestión de contenido web (CMS) de código abierto del ecosistema de Microsoft. Antes de la versión 9.13.9, se podía crear una URL especialmente manipulada que inyectaba una carga XSS activada al usar ciertas acciones del módulo. La versión 9.13.9 soluciona este problema.
  • Vulnerabilidad en DNN (CVE-2025-48378)
    Severidad: MEDIA
    Fecha de publicación: 23/05/2025
    Fecha de última actualización: 26/08/2025
    DNN (anteriormente DotNetNuke) es una plataforma de gestión de contenido web (CMS) de código abierto del ecosistema de Microsoft. Antes de la versión 9.13.9, los archivos SVG cargados podían contener scripts que, al renderizarse en línea, podían ejecutarse, lo que permitía ataques XSS. La versión 9.13.9 soluciona este problema.
  • Vulnerabilidad en Navidrome (CVE-2025-48948)
    Severidad: ALTA
    Fecha de publicación: 30/05/2025
    Fecha de última actualización: 26/08/2025
    Navidrome es un servidor y transmisor de música de código abierto basado en la web. Una falla de verificación de permisos en versiones anteriores a la 0.56.0 permite a cualquier usuario autenticado eludir las comprobaciones de autorización y realizar operaciones de configuración de transcodificación exclusivas del administrador, como crear, modificar y eliminar ajustes de transcodificación. En el modelo de amenaza donde se confía en los administradores, pero no en los usuarios, esta vulnerabilidad representa un riesgo de seguridad significativo cuando la transcodificación está habilitada. La versión 0.56.0 corrige el problema.
  • Vulnerabilidad en Navidrome (CVE-2025-48949)
    Severidad: ALTA
    Fecha de publicación: 30/05/2025
    Fecha de última actualización: 26/08/2025
    Navidrome es un servidor y transmisor de música de código abierto basado en la web. Las versiones 0.55.0 a 0.55.2 presentan una vulnerabilidad debido a una validación de entrada incorrecta en el parámetro `role` dentro del endpoint de la API `/api/artist`. Los atacantes pueden explotar esta vulnerabilidad para inyectar consultas SQL arbitrarias, lo que podría obtener acceso no autorizado a la base de datos del backend y comprometer información confidencial del usuario. La versión 0.56.0 incluye un parche para solucionar este problema.
  • Vulnerabilidad en Git (CVE-2025-48384)
    Severidad: ALTA
    Fecha de publicación: 08/07/2025
    Fecha de última actualización: 26/08/2025
    Git es un sistema de control de versiones distribuido, rápido y escalable, con un conjunto de comandos excepcionalmente completo que proporciona operaciones de alto nivel y acceso completo a su funcionamiento interno. Al leer un valor de configuración, Git elimina cualquier retorno de carro y avance de línea (CRLF) final. Al escribir una entrada de configuración, los valores con un CR final no se entrecomillan, lo que provoca que el CR se pierda al leer la configuración posteriormente. Al inicializar un submódulo, si la ruta del submódulo contiene un CR final, se lee la ruta modificada, lo que provoca que el submódulo se extraiga a una ubicación incorrecta. Si existe un enlace simbólico que apunta la ruta modificada al directorio de ganchos del submódulo, y este contiene un gancho ejecutable posterior a la extracción, el script podría ejecutarse accidentalmente después de la extracción. Esta vulnerabilidad se ha corregido en v2.43.7, v2.44.4, v2.45.4, v2.46.4, v2.47.3, v2.48.2, v2.49.1 y v2.50.1.
  • Vulnerabilidad en Jinher OA 1.1 (CVE-2025-7824)
    Severidad: MEDIA
    Fecha de publicación: 19/07/2025
    Fecha de última actualización: 26/08/2025
    Se encontró una vulnerabilidad en Jinher OA 1.1. Se ha clasificado como problemática. Este problema afecta a un procesamiento desconocido del archivo XmlHttp.aspx. La manipulación da lugar a una referencia a una entidad externa XML. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado.
  • Vulnerabilidad en Yeelink Yeelight (CVE-2025-8210)
    Severidad: MEDIA
    Fecha de publicación: 26/07/2025
    Fecha de última actualización: 26/08/2025
    Se encontró una vulnerabilidad en la aplicación Yeelink Yeelight (hasta la versión 3.5.4) para Android. Se ha clasificado como problemática. Se trata de una función desconocida del archivo AndroidManifest.xml del componente com.yeelight.cherry. Esta manipulación provoca la exportación incorrecta de componentes de la aplicación Android. Es necesario realizar ataques locales. Se ha hecho público el exploit y puede que sea utilizado. Se contactó al proveedor con antelación para informarle sobre esta vulnerabilidad, pero no respondió.
  • Vulnerabilidad en yanyutao0402 ChanCMS (CVE-2025-8226)
    Severidad: MEDIA
    Fecha de publicación: 27/07/2025
    Fecha de última actualización: 26/08/2025
    Se encontró una vulnerabilidad en yanyutao0402 ChanCMS hasta la versión 3.1.2. Se ha clasificado como problemática. Se ve afectada una función desconocida del archivo /sysApp/find. La manipulación del argumento accessKey/secretKey provoca la divulgación de información. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado. Actualizar a la versión 3.1.3 puede solucionar este problema. Se recomienda actualizar el componente afectado.
  • Vulnerabilidad en yanyutao0402 ChanCMS (CVE-2025-8227)
    Severidad: MEDIA
    Fecha de publicación: 27/07/2025
    Fecha de última actualización: 26/08/2025
    Se encontró una vulnerabilidad en yanyutao0402 ChanCMS hasta la versión 3.1.2. Se ha declarado crítica. Esta vulnerabilidad afecta a una funcionalidad desconocida del archivo /collect/getArticle. La manipulación del argumento taskUrl provoca la deserialización. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado. Actualizar a la versión 3.1.3 puede solucionar este problema. El parche se llama 33d9bb464353015aaaba84e27638ac9a3912795d. Se recomienda actualizar el componente afectado.
  • Vulnerabilidad en yanyutao0402 ChanCMS (CVE-2025-8228)
    Severidad: MEDIA
    Fecha de publicación: 27/07/2025
    Fecha de última actualización: 26/08/2025
    Se encontró una vulnerabilidad en yanyutao0402 ChanCMS hasta la versión 3.1.2. Se ha clasificado como crítica. Este problema afecta a la función getPages del archivo /cms/collect/getPages. La manipulación del argumento targetUrl provoca server-side request forgery. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado. Actualizar a la versión 3.1.3 puede solucionar este problema. Se recomienda actualizar el componente afectado.
  • Vulnerabilidad en LibreChat (CVE-2025-54868)
    Severidad: ALTA
    Fecha de publicación: 05/08/2025
    Fecha de última actualización: 26/08/2025
    LibreChat es un clon de ChatGPT con funciones adicionales. En las versiones 0.0.6 a 0.7.7-rc1, un endpoint de pruebas expuesto permite leer chats arbitrarios directamente desde el motor de búsqueda Meilisearch. El endpoint /api/search/test permite el acceso directo a los chats almacenados en el motor de búsqueda Meilisearch sin un control de acceso adecuado. Esto permite leer chats de usuarios arbitrarios. Este problema se solucionó en la versión 0.7.7.
  • Vulnerabilidad en Mastodon (CVE-2025-54879)
    Severidad: MEDIA
    Fecha de publicación: 06/08/2025
    Fecha de última actualización: 26/08/2025
    Mastodon es un servidor de red social gratuito y de código abierto basado en ActivityPub Mastodon, que facilita la configuración LDAP para la autenticación. En las versiones 3.1.5 a 4.2.24, 4.3.0 a 4.3.11 y 4.4.0 a 4.4.3, el sistema de limitación de velocidad de Mastodon presenta un error crítico de configuración: la limitación basada en correo electrónico para los correos de confirmación verifica incorrectamente la ruta de restablecimiento de contraseña en lugar de la de confirmación, lo que desactiva los límites por correo electrónico para las solicitudes de confirmación. Esto permite a los atacantes eludir las limitaciones de velocidad rotando las direcciones IP y enviar correos de confirmación ilimitados a cualquier dirección, ya que solo permanece activa una limitación débil basada en IP (25 solicitudes cada 5 minutos). Esta vulnerabilidad permite ataques de denegación de servicio que pueden saturar las colas de correo y facilitar el acoso a los usuarios mediante correos de confirmación no deseados. Esto se ha corregido en las versiones 4.2.24, 4.3.11 y 4.4.3.