Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • Vulnerabilidad en axios (CVE-2024-57965)
    Severidad: Pendiente de análisis
    Fecha de publicación: 29/01/2025
    Fecha de última actualización: 19/09/2025
    En axios anterior a la versión 1.7.8, lib/helpers/isURLSameOrigin.js no utiliza un objeto URL al determinar un origen y tiene una llamada setAttribute('href',href) potencialmente no deseada. NOTA: algunas partes consideran que el cambio de código solo soluciona un mensaje de advertencia de una herramienta SAST y no corrige una vulnerabilidad.
  • Vulnerabilidad en Four-Faith F3x36 router (CVE-2024-9643)
    Severidad: CRÍTICA
    Fecha de publicación: 04/02/2025
    Fecha de última actualización: 19/09/2025
    Four-Faith F3x36 router que utiliza el firmware v2.0.0 es vulnerable a la omisión de autenticación debido a credenciales codificadas de forma rígida en el servidor web administrativo. Un atacante con conocimiento de las credenciales puede obtener acceso administrativo a través de solicitudes HTTP manipulado. Este problema parece similar a CVE-2023-32645.
  • Vulnerabilidad en pnpm (CVE-2024-47829)
    Severidad: MEDIA
    Fecha de publicación: 23/04/2025
    Fecha de última actualización: 19/09/2025
    pnpm es un gestor de paquetes. Antes de la versión 10.0.0, la función de acortamiento de rutas utilizaba la función md5 como función de compresión de acortamiento de rutas, y si se producía una colisión, se obtenía la misma ruta de almacenamiento para dos librerías diferentes. Aunque los nombres reales se encuentran bajo el nombre del paquete /node_modoules/, no hay números de versión para las librerías a las que hacen referencia. Este problema se ha corregido en la versión 10.0.0.
  • Vulnerabilidad en Halo (CVE-2024-56156)
    Severidad: MEDIA
    Fecha de publicación: 25/04/2025
    Fecha de última actualización: 19/09/2025
    Halo es una herramienta de código abierto para crear sitios web. Antes de la versión 2.20.13, una vulnerabilidad en Halo permitía a los atacantes eludir los controles de validación de tipos de archivo. Esta evasión permite la carga de archivos maliciosos, incluyendo ejecutables y archivos HTML, lo que puede provocar ataques de cross-site scripting almacenado y la posible ejecución remota de código en determinadas circunstancias. Este problema se ha corregido en la versión 2.20.13.
  • Vulnerabilidad en Keystone (CVE-2025-46720)
    Severidad: BAJA
    Fecha de publicación: 05/05/2025
    Fecha de última actualización: 19/09/2025
    Keystone es un sistema de gestión de contenido para Node.js. Antes de la versión 6.5.0, el control de acceso `{field}.isFilterable` se podía omitir en las mutaciones `update` y `delete` añadiendo filtros únicos adicionales. Estos filtros se pueden usar como un oráculo para sondear la existencia o el valor de campos que de otro modo serían ilegibles. Específicamente, cuando una mutación incluye una cláusula `where` con múltiples filtros únicos (p. ej., `id` y `email`), Keystone intentará encontrar coincidencias en los registros incluso si el filtrado por estos últimos campos normalmente sería rechazado por `field.isFilterable` o `list.defaultIsFilterable`. Esto puede permitir que actores maliciosos infieran la presencia de un valor de campo específico cuando un filtro devuelve un resultado correctamente. Esto afecta a cualquier proyecto que dependa del comportamiento predeterminado o dinámico de `isFilterable` (a nivel de lista o campo) para evitar que usuarios externos utilicen el filtrado de campos como mecanismo de descubrimiento. Aunque este control de acceso se respeta durante las operaciones `findMany`, no se aplicó completamente durante las mutaciones `update` y `delete` al aceptar más de un valor `where` único en los filtros. Esto no tiene impacto en los proyectos que usan `isFilterable: false` o `defaultIsFilterable: false` para campos sensibles, o para aquellos que de otra manera han omitido el filtrado por estos campos de su esquema GraphQL. Este problema se ha corregido en `@keystone-6/core` versión 6.5.0. Para mitigar este problema en versiones anteriores donde la aplicación de parches no es una ruta viable, configure `isFilterable: false` estáticamente para los campos relevantes para evitar el filtrado por ellos anteriormente en el flujo de trabajo de control de acceso (es decir, no use funciones); configure `{field}.graphql.omit.read: true` para los campos relevantes, lo que implícitamente elimina el filtrado por estos campos del esquema GraphQL; y/o deniegue las operaciones `update` y `delete` para las listas relevantes por completo.
  • Vulnerabilidad en syslog-ng (CVE-2024-47619)
    Severidad: ALTA
    Fecha de publicación: 07/05/2025
    Fecha de última actualización: 19/09/2025
    syslog-ng es un demonio de registro mejorado. Antes de la versión 4.8.2, `tls_wildcard_match()` coincidía con certificados como `foo.*.bar`, aunque no estaba permitido. También es posible pasar comodines parciales como `foo.a*c.bar`, que coinciden de forma simplista, pero que deben evitarse o invalidarse. Este problema podría afectar las conexiones TLS, como en situaciones de intermediario. La versión 4.8.2 incluye una solución para este problema.