Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • Vulnerabilidad en tpm2 (CVE-2024-29039)
    Severidad: CRÍTICA
    Fecha de publicación: 28/06/2024
    Fecha de última actualización: 02/10/2025
    tpm2 es el repositorio de origen de las herramientas del Módulo de plataforma segura (TPM2.0). Esta vulnerabilidad permite a los atacantes manipular las salidas de tpm2_checkquote alterando TPML_PCR_SELECTION en el archivo de entrada de PCR. Como resultado, los valores de resumen se asignan incorrectamente a las ranuras y bancos de PCR, lo que proporciona una imagen engañosa del estado del TPM. Este problema se solucionó en la versión 5.7.
  • Vulnerabilidad en Fiber (CVE-2024-38513)
    Severidad: CRÍTICA
    Fecha de publicación: 01/07/2024
    Fecha de última actualización: 02/10/2025
    Fiber es un framework web inspirado en Express escrito en Go. Una vulnerabilidad presente en versiones anteriores a la 2.52.5 es un problema de middleware de sesión en las versiones 2 y superiores de GoFiber. Esta vulnerabilidad permite a los usuarios proporcionar su propio valor session_id, lo que da como resultado la creación de una sesión con esa clave. Si un sitio web depende de la mera presencia de una sesión por motivos de seguridad, esto puede generar importantes riesgos de seguridad, incluido el acceso no autorizado y ataques de fijación de sesión. Todos los usuarios que utilizan el middleware de sesión de GoFiber en las versiones afectadas se ven afectados. El problema se solucionó en la versión 2.52.5. Se recomienda encarecidamente a los usuarios que actualicen a la versión 2.52.5 o superior para mitigar esta vulnerabilidad. Los usuarios que no puedan actualizar inmediatamente pueden aplicar las siguientes soluciones para reducir el riesgo: implementar una validación adicional para garantizar que los ID de sesión no sean proporcionados por el usuario y sean generados de forma segura por el servidor, o rotar periódicamente los ID de sesión y aplicar políticas estrictas de caducidad de sesión.
  • Vulnerabilidad en Libbson (CVE-2024-6381)
    Severidad: MEDIA
    Fecha de publicación: 02/07/2024
    Fecha de última actualización: 02/10/2025
    La función bson_strfreev en la librería del controlador MongoDB C puede ser susceptible a un desbordamiento de enteros donde la función intentará liberar memoria con un desplazamiento negativo. Esto puede provocar daños en la memoria. Este problema afectó a las versiones de Libbson anteriores a la 1.26.2.
  • Vulnerabilidad en MongoDB Rust (CVE-2024-6382)
    Severidad: MEDIA
    Fecha de publicación: 02/07/2024
    Fecha de última actualización: 02/10/2025
    El manejo incorrecto de ciertas entradas de cadenas puede provocar que el controlador MongoDB Rust cree comandos de servidor no deseados. Esto puede provocar un comportamiento inesperado de la aplicación, incluida la modificación de datos. Este problema afecta a las versiones MongoDB Rust Driver 2.0 anteriores a la 2.8.2
  • Vulnerabilidad en jc21 NGINX Proxy Manager (CVE-2024-39935)
    Severidad: ALTA
    Fecha de publicación: 04/07/2024
    Fecha de última actualización: 02/10/2025
    jc21 NGINX Proxy Manager anterior a 2.11.3 permite la inyección de comandos del sistema operativo backend/internal/certificate.js por parte de un usuario autenticado (con privilegios de administración de certificados) a través de entradas no confiables en la configuración del proveedor de DNS. NOTA: esto no forma parte de ningún software NGINX enviado por F5.
  • Vulnerabilidad en Pi-hole (CVE-2024-34361)
    Severidad: ALTA
    Fecha de publicación: 05/07/2024
    Fecha de última actualización: 02/10/2025
    Pi-hole es un sumidero de DNS que protege los dispositivos de contenido no deseado sin instalar ningún software del lado del cliente. Una vulnerabilidad en versiones anteriores a la 5.18.3 permite a un usuario autenticado realizar solicitudes internas al servidor a través de la función `gravity_DownloadBlocklistFromUrl()`. Dependiendo de algunas circunstancias, la vulnerabilidad podría provocar la ejecución remota de comandos. La versión 5.18.3 contiene un parche para este problema.
  • Vulnerabilidad en AMTT Hotel Broadband Operation System (CVE-2024-39072)
    Severidad: MEDIA
    Fecha de publicación: 09/07/2024
    Fecha de última actualización: 02/10/2025
    AMTT Hotel Broadband Operation System (HiBOS) v3.0.3.151204 es vulnerable a la inyección de SQL a través de manager/conference/calendar_remind.php.
  • Vulnerabilidad en Poly Clariti Manager (CVE-2024-41910)
    Severidad: MEDIA
    Fecha de publicación: 06/08/2024
    Fecha de última actualización: 02/10/2025
    Se descubrió una vulnerabilidad en las versiones de firmware hasta 10.10.2.2 en dispositivos Poly Clariti Manager. El firmware contenía múltiples vulnerabilidades XXS en la versión de JavaScript utilizada.
  • Vulnerabilidad en Poly Clariti Manager (CVE-2024-41911)
    Severidad: MEDIA
    Fecha de publicación: 06/08/2024
    Fecha de última actualización: 02/10/2025
    Se descubrió una vulnerabilidad en las versiones de firmware hasta 10.10.2.2 en dispositivos Poly Clariti Manager. La falla no neutraliza adecuadamente la entrada durante la generación de una página web.
  • Vulnerabilidad en Poly Clariti Manager (CVE-2024-41913)
    Severidad: ALTA
    Fecha de publicación: 06/08/2024
    Fecha de última actualización: 02/10/2025
    Se descubrió una vulnerabilidad en las versiones de firmware hasta 10.10.2.2 en dispositivos Poly Clariti Manager. La falla del firmware no desinfecta adecuadamente la entrada del usuario.
  • Vulnerabilidad en Poly Clariti Manager (CVE-2024-41912)
    Severidad: CRÍTICA
    Fecha de publicación: 07/08/2024
    Fecha de última actualización: 02/10/2025
    Se descubrió una vulnerabilidad en las versiones de firmware hasta 10.10.2.2 en dispositivos Poly Clariti Manager. La falla del firmware no implementa adecuadamente los controles de acceso.
  • Vulnerabilidad en APTIOV (CVE-2024-42442)
    Severidad: ALTA
    Fecha de publicación: 12/11/2024
    Fecha de última actualización: 02/10/2025
    APTIOV contiene una vulnerabilidad en el BIOS que permite a un usuario o atacante restringir de forma indebida las operaciones dentro de los límites de un búfer de memoria en la red. Una explotación exitosa de esta vulnerabilidad puede provocar la ejecución de código fuera del modo de administración del sistema previsto.
  • Vulnerabilidad en APTIOV (CVE-2024-2315)
    Severidad: MEDIA
    Fecha de publicación: 12/11/2024
    Fecha de última actualización: 02/10/2025
    APTIOV contiene una vulnerabilidad en BIOS que puede provocar un control de acceso inadecuado por parte de un atacante local. La explotación exitosa de esta vulnerabilidad puede provocar modificaciones inesperadas de la memoria flash SPI y lanzamientos del kit de arranque de BIOS, lo que también afecta la disponibilidad.
  • Vulnerabilidad en APTIOV (CVE-2024-33658)
    Severidad: MEDIA
    Fecha de publicación: 12/11/2024
    Fecha de última actualización: 02/10/2025
    APTIOV contiene una vulnerabilidad en BIOS donde un atacante puede causar una restricción indebida de operaciones dentro de los límites de un búfer de memoria local. La explotación exitosa de esta vulnerabilidad puede llevar a una escalada de privilegios y a la posible ejecución de código arbitrario, además de afectar la integridad.
  • Vulnerabilidad en AMI (CVE-2024-33660)
    Severidad: MEDIA
    Fecha de publicación: 12/11/2024
    Fecha de última actualización: 02/10/2025
    Es posible una explotación en la que un actor con acceso físico puede manipular el flash SPI sin ser detectado.
  • Vulnerabilidad en RTI Connext Professional (CVE-2024-52057)
    Severidad: CRÍTICA
    Fecha de publicación: 13/12/2024
    Fecha de última actualización: 02/10/2025
    La vulnerabilidad de neutralización incorrecta de elementos especiales utilizados en un comando SQL ('Inyección SQL') en RTI Connext Professional (Servicio de cola) permite la inyección SQL. Este problema afecta a Connext Professional: desde 7.0.0 antes de 7.3.0, desde 6.1.0 antes de 6.1.2.17, desde 6.0.0 antes de 6.0.*, desde 5.2.0 antes de 5.3.*.
  • Vulnerabilidad en RTI Connext Professional (CVE-2024-52058)
    Severidad: ALTA
    Fecha de publicación: 13/12/2024
    Fecha de última actualización: 02/10/2025
    La vulnerabilidad de neutralización incorrecta de elementos especiales utilizados en un comando del sistema operativo ('Inyección de comando del sistema operativo') en RTI Connext Professional (System Designer) permite la inyección de comandos del sistema operativo. Este problema afecta a Connext Professional: desde 7.0.0 antes de 7.3.0.2, desde 6.1.0 antes de 6.1.2.19.
  • Vulnerabilidad en RTI Connext Professional (CVE-2024-52059)
    Severidad: MEDIA
    Fecha de publicación: 13/12/2024
    Fecha de última actualización: 02/10/2025
    La vulnerabilidad de copia de búfer sin comprobar el tamaño de la entrada ('Desbordamiento de búfer clásico') en RTI Connext Professional (complementos de seguridad) permite desbordamiento de variables y etiquetas. Este problema afecta a Connext Professional: desde 7.0.0 antes de 7.3.0.2, desde 6.1.0 antes de 6.1.2.17.
  • Vulnerabilidad en RTI Connext Professional (CVE-2024-52060)
    Severidad: ALTA
    Fecha de publicación: 13/12/2024
    Fecha de última actualización: 02/10/2025
    La vulnerabilidad de copia de búfer sin comprobar el tamaño de la entrada ('desbordamiento de búfer clásico') en RTI Connext Professional (servicio de enrutamiento, servicio de grabación, servicio de cola, servicio de recopilación de observabilidad, servicio de descubrimiento en la nube) permite un desbordamiento de búfer a través de variables de entorno. Este problema afecta a Connext Professional: desde 7.0.0 antes de 7.3.0.5, desde 6.1.0 antes de 6.1.2.21, desde 6.0.0 antes de 6.0.*, desde 5.3.0 antes de 5.3.1.45.
  • Vulnerabilidad en RTI Connext Professional (CVE-2024-52061)
    Severidad: ALTA
    Fecha de publicación: 13/12/2024
    Fecha de última actualización: 02/10/2025
    La vulnerabilidad de copia de búfer sin comprobar el tamaño de la entrada ('desbordamiento de búfer clásico') en RTI Connext Professional (librerías principales, servicio de cola, servicio de grabación, servicio de enrutamiento) permite desbordamiento de variables y etiquetas. Este problema afecta a Connext Professional: desde la versión 7.4.0 hasta la 7.5.0, desde la versión 7.0.0 hasta la 7.3.0.5, desde la versión 6.1.0 hasta la 6.1.2.21, desde la versión 6.0.0 hasta la 6.0.1.40, desde la versión 5.0.0 hasta la 5.3.1.45.
  • Vulnerabilidad en RTI Connext Professional (CVE-2024-52062)
    Severidad: MEDIA
    Fecha de publicación: 13/12/2024
    Fecha de última actualización: 02/10/2025
    La vulnerabilidad de copia de búfer sin comprobar el tamaño de la entrada ('desbordamiento de búfer clásico') en RTI Connext Professional (Core Libraries) permite desbordamiento de variables y etiquetas. Este problema afecta a Connext Professional: desde 7.0.0 antes de 7.3.0.5, desde 6.1.0 antes de 6.1.2.21, desde 6.0.0 antes de 6.0.1.40, desde 5.0.0 antes de 5.3.1.45.
  • Vulnerabilidad en RTI Connext Professional (CVE-2024-52063)
    Severidad: ALTA
    Fecha de publicación: 13/12/2024
    Fecha de última actualización: 02/10/2025
    La vulnerabilidad de copia de búfer sin comprobar el tamaño de la entrada ('desbordamiento de búfer clásico') en RTI Connext Professional (librerías principales, servicio de enrutamiento) permite variables y etiquetas de desbordamiento. Este problema afecta a Connext Professional: desde la versión 7.0.0 hasta la 7.3.0.5, desde la versión 6.1.0 hasta la 6.1.2.21, desde la versión 6.0.0 hasta la 6.0.1.40, desde la versión 5.0.0 hasta la 5.3.1.45.
  • Vulnerabilidad en RTI Connext Professional (CVE-2024-52064)
    Severidad: MEDIA
    Fecha de publicación: 13/12/2024
    Fecha de última actualización: 02/10/2025
    La vulnerabilidad de copia de búfer sin comprobar el tamaño de la entrada ('desbordamiento de búfer clásico') en RTI Connext Professional (Core Libraries) permite desbordamiento de variables y etiquetas. Este problema afecta a Connext Professional: desde 7.0.0 antes de 7.3.0.2, desde 6.1.0 antes de 6.1.2.21, desde 6.0.0 antes de 6.0.1.40, desde 5.0.0 antes de 5.3.1.45.
  • Vulnerabilidad en RTI Connext Professional (CVE-2024-52065)
    Severidad: MEDIA
    Fecha de publicación: 13/12/2024
    Fecha de última actualización: 02/10/2025
    La vulnerabilidad de copia de búfer sin comprobar el tamaño de la entrada ('desbordamiento de búfer clásico') en RTI Connext Professional en sistemas que no son Windows (servicio de persistencia) permite un desbordamiento de búfer a través de variables de entorno. Este problema afecta a Connext Professional: desde la versión 7.0.0 hasta la 7.3.0.2, desde la versión 6.1.1.2 hasta la 6.1.2.21, desde la versión 5.3.1.40 hasta la 5.3.1.41.
  • Vulnerabilidad en RTI Connext Professional (CVE-2024-52066)
    Severidad: ALTA
    Fecha de publicación: 13/12/2024
    Fecha de última actualización: 02/10/2025
    La vulnerabilidad de copia de búfer sin comprobar el tamaño de la entrada ('desbordamiento de búfer clásico') en RTI Connext Professional (servicio de enrutamiento) permite desbordamiento de variables y etiquetas. Este problema afecta a Connext Professional: desde 7.4.0 antes de 7.5.0, desde 7.0.0 antes de 7.3.0.5, desde 6.1.0 antes de 6.1.2.21, desde 6.0.0 antes de 6.0.1.40.
  • Vulnerabilidad en IceWarp Server 10.2.1 (CVE-2024-55218)
    Severidad: MEDIA
    Fecha de publicación: 07/01/2025
    Fecha de última actualización: 02/10/2025
    IceWarp Server 10.2.1 es vulnerable a Cross Site Scripting (XSS) a través del parámetro meta.
  • Vulnerabilidad en Mattermost (CVE-2025-20033)
    Severidad: MEDIA
    Fecha de publicación: 09/01/2025
    Fecha de última actualización: 02/10/2025
    Las versiones de Mattermost 10.2.0, 9.11.x <= 9.11.5, 10.0.x <= 10.0.3, 10.1.x <= 10.1.3 no logran validar correctamente los tipos de publicaciones, lo que permite a los atacantes denegar el servicio a los usuarios con el permiso sysconsole_read_plugins mediante la creación de una publicación con el tipo custom_pl_notification y propiedades específicas.
  • Vulnerabilidad en Mattermost (CVE-2025-22445)
    Severidad: BAJA
    Fecha de publicación: 09/01/2025
    Fecha de última actualización: 02/10/2025
    Las versiones 10.x <= 10.2 de Mattermost no reflejan con precisión las configuraciones faltantes, lo que genera confusión entre los administradores con respecto a una configuración de seguridad de llamadas sensible a través de informes de IU incorrectos.
  • Vulnerabilidad en CP Plus CP-VNR-3104 B3223P22C02424 (CVE-2024-54846)
    Severidad: MEDIA
    Fecha de publicación: 10/01/2025
    Fecha de última actualización: 02/10/2025
    Un problema en CP Plus CP-VNR-3104 B3223P22C02424 permite a los atacantes obtener la clave privada EC y acceder a datos confidenciales o ejecutar un ataque de intermediario.
  • Vulnerabilidad en CP Plus CP-VNR-3104 B3223P22C02424 (CVE-2024-54847)
    Severidad: MEDIA
    Fecha de publicación: 10/01/2025
    Fecha de última actualización: 02/10/2025
    Un problema en CP Plus CP-VNR-3104 B3223P22C02424 permite a los atacantes acceder a los parámetros Diffie-Hellman (DH) y acceder a datos confidenciales o ejecutar un ataque de intermediario.
  • Vulnerabilidad en CP Plus CP-VNR-3104 B3223P22C02424 (CVE-2024-54848)
    Severidad: ALTA
    Fecha de publicación: 10/01/2025
    Fecha de última actualización: 02/10/2025
    La gestión y almacenamiento inadecuados de certificados en CP Plus CP-VNR-3104 B3223P22C02424 permiten a los atacantes descifrar las comunicaciones o ejecutar ataques de tipo "man-in-the-middle".
  • Vulnerabilidad en CP Plus CP-VNR-3104 B3223P22C02424 (CVE-2024-54849)
    Severidad: MEDIA
    Fecha de publicación: 10/01/2025
    Fecha de última actualización: 02/10/2025
    Un problema en CP Plus CP-VNR-3104 B3223P22C02424 permite a los atacantes obtener la segunda clave privada RSA y acceder a datos confidenciales o ejecutar un ataque de intermediario.
  • Vulnerabilidad en APTIOV (CVE-2024-42444)
    Severidad: ALTA
    Fecha de publicación: 14/01/2025
    Fecha de última actualización: 02/10/2025
    APTIOV contiene una vulnerabilidad en BIOS donde un atacante puede provocar una condición TOCTOU ejecución por medios locales. La explotación exitosa de esta vulnerabilidad puede llevar a la ejecución de código arbitrario en el dispositivo de destino.
  • Vulnerabilidad en AMI APTIOV (CVE-2024-33659)
    Severidad: MEDIA
    Fecha de publicación: 11/02/2025
    Fecha de última actualización: 02/10/2025
    AMI APTIOV contiene una vulnerabilidad en BIOS donde un atacante puede provocar una validación de entrada incorrecta por parte de un atacante local. La explotación exitosa de estas vulnerabilidades puede provocar la sobrescritura de memoria arbitraria y la ejecución de código arbitrario a nivel de SMM, lo que también afecta la confidencialidad, la integridad y la disponibilidad.
  • Vulnerabilidad en APTIOV (CVE-2024-54084)
    Severidad: ALTA
    Fecha de publicación: 11/03/2025
    Fecha de última actualización: 02/10/2025
    APTIOV contiene una vulnerabilidad en la BIOS que permite a un atacante provocar una condición de ejecución de tiempo de verificación y tiempo de uso (TOCTOU) localmente. La explotación exitosa de esta vulnerabilidad puede provocar la ejecución de código arbitrario.
  • Vulnerabilidad en JetBrains Ktor (CVE-2025-29904)
    Severidad: MEDIA
    Fecha de publicación: 12/03/2025
    Fecha de última actualización: 02/10/2025
    En JetBrains Ktor anterior a la versión 3.1.1 era posible el contrabando de solicitudes HTTP
  • Vulnerabilidad en Plenti (CVE-2025-26260)
    Severidad: ALTA
    Fecha de publicación: 12/03/2025
    Fecha de última actualización: 02/10/2025
    Plenti <= 0.7.16 es vulnerable a la ejecución de código. Los usuarios que suben archivos '.svelte' con el endpoint /postLocal pueden definir el nombre del archivo como código JavaScript. El servidor ejecuta el nombre del archivo subido en el host y provoca la ejecución de código.
  • Vulnerabilidad en CodeCanyon Perfex CRM (CVE-2025-2974)
    Severidad: MEDIA
    Fecha de publicación: 31/03/2025
    Fecha de última actualización: 02/10/2025
    Se ha detectado una vulnerabilidad en CodeCanyon Perfex CRM hasta la versión 3.2.1, clasificada como problemática. Esta vulnerabilidad afecta al código desconocido del archivo/contrato del componente Contratos. La manipulación del contenido del argumento provoca Cross Site Scripting. El ataque puede iniciarse remotamente. Se ha hecho público el exploit y puede que sea utilizado.
  • Vulnerabilidad en CodeCanyon Perfex CRM 3.2.1 (CVE-2025-3219)
    Severidad: MEDIA
    Fecha de publicación: 04/04/2025
    Fecha de última actualización: 02/10/2025
    Se encontró una vulnerabilidad en CodeCanyon Perfex CRM 3.2.1. Se ha clasificado como problemática. Se ve afectada una función desconocida del archivo /perfex/clients/project/2 del componente Módulo de Discusiones del Proyecto. La manipulación de la descripción del argumento provoca ataques de cross site scripting. Es posible ejecutar el ataque de forma remota. Se ha hecho público el exploit y puede que sea utilizado.
  • Vulnerabilidad en Elasticsearch (CVE-2024-52981)
    Severidad: MEDIA
    Fecha de publicación: 08/04/2025
    Fecha de última actualización: 02/10/2025
    Se descubrió un problema en Elasticsearch, donde una recursión grande que utiliza la cadena con formato Well-KnownText con objetos GeometryCollection anidados podría provocar un desbordamiento de pila.
  • Vulnerabilidad en Kibana (CVE-2024-12556)
    Severidad: ALTA
    Fecha de publicación: 08/04/2025
    Fecha de última actualización: 02/10/2025
    La contaminación de prototipos en Kibana puede provocar la inyección de código a través de la carga de archivos sin restricciones combinada con el path traversal.
  • Vulnerabilidad en PAN-OS® de Palo Alto Networks (CVE-2025-0124)
    Severidad: MEDIA
    Fecha de publicación: 11/04/2025
    Fecha de última actualización: 02/10/2025
    Una vulnerabilidad de eliminación de archivos autenticados en el software PAN-OS® de Palo Alto Networks permite que un atacante autenticado con acceso de red a la interfaz web de administración elimine ciertos archivos como usuario “nobody”; Esto incluye registros y archivos de configuración limitados, pero no incluye archivos del sistema. El atacante debe tener acceso a la red a la interfaz web de administración para explotar este problema. Puede reducir en gran medida el riesgo de que se produzca este problema al restringir el acceso a la interfaz web de administración solo a direcciones IP internas confiables de acuerdo con nuestras pautas de implementación crítica recomendadas https://live.paloaltonetworks.com/t5/community-blogs/tips-amp-tricks-how-to-secure-the-management-access-of-your-palo/ba-p/464431. Este problema afecta a Cloud NGFW. Sin embargo, este problema no afecta al software Prisma® Access.
  • Vulnerabilidad en Mattermost (CVE-2025-32093)
    Severidad: MEDIA
    Fecha de publicación: 14/04/2025
    Fecha de última actualización: 02/10/2025
    Las versiones de Mattermost 10.5.x <= 10.5.1, 10.4.x <= 10.4.3, 9.11.x <= 9.11.9 no restringen ciertas operaciones de los administradores del sistema solo a otros administradores del sistema, lo que permite que los usuarios de administración granular delegados con el permiso "Editar otros usuarios" realicen modificaciones no autorizadas en los administradores del sistema a través de una validación de permisos incorrecta.
  • Vulnerabilidad en Mattermost (CVE-2025-2475)
    Severidad: MEDIA
    Fecha de publicación: 14/04/2025
    Fecha de última actualización: 02/10/2025
    Las versiones de Mattermost 10.5.x <= 10.5.1, 10.4.x <= 10.4.3, 9.11.x <= 9.11.9 no invalidan el caché cuando una cuenta de usuario se convierte en un bot, lo que permite a un atacante iniciar sesión en el bot exactamente una vez a través de credenciales normales.
  • Vulnerabilidad en Mattermost (CVE-2025-24839)
    Severidad: BAJA
    Fecha de publicación: 16/04/2025
    Fecha de última actualización: 02/10/2025
    Las versiones de Mattermost 10.5.x <= 10.5.1, 10.4.x <= 10.4.3 y 9.11.x <= 9.11.9 no impiden que las publicaciones de Wrangler activen respuestas de la IA. Esta vulnerabilidad permite a los usuarios sin acceso al bot de IA activarlo adjuntando la propiedad de anulación activate_ai a una publicación mediante el complemento de Wrangler, siempre que ambos complementos estén habilitados.
  • Vulnerabilidad en Elasticsearch (CVE-2024-52979)
    Severidad: MEDIA
    Fecha de publicación: 01/05/2025
    Fecha de última actualización: 02/10/2025
    El consumo descontrolado de recursos en Elasticsearch al evaluar plantillas de búsqueda específicamente manipuladas con funciones Mustache puede provocar una denegación de servicio al provocar que el nodo Elasticsearch se bloquee.
  • Vulnerabilidad en Kibana (CVE-2025-25016)
    Severidad: MEDIA
    Fecha de publicación: 01/05/2025
    Fecha de última actualización: 02/10/2025
    La carga de archivos sin restricciones en Kibana permite que un atacante autenticado comprometa la integridad del software al cargar un archivo malicioso manipulado debido a una validación insuficiente del lado del servidor.
  • Vulnerabilidad en Vite (CVE-2025-46565)
    Severidad: MEDIA
    Fecha de publicación: 01/05/2025
    Fecha de última actualización: 02/10/2025
    Vite es un framework de herramientas frontend para JavaScript. En versiones anteriores a las 6.3.4, 6.2.7, 6.1.6, 5.4.19 y 4.5.14, el contenido de los archivos en la root del proyecto que se deniegan por un patrón de coincidencia de archivos se puede devolver al navegador. Solo las aplicaciones que exponen explícitamente el servidor de desarrollo de Vite a la red (mediante la opción de configuración --host o server.host) se ven afectadas. Solo se pueden omitir los archivos que se encuentran en la root del proyecto y se deniegan por un patrón de coincidencia de archivos. `server.fs.deny` puede contener patrones que coinciden con archivos (por defecto, incluye .env, .env.*, *.{crt,pem} como tales patrones). Estos patrones se podían omitir para los archivos en `root` mediante una combinación de barra diagonal y punto (/.). Este problema se ha solucionado en las versiones 6.3.4, 6.2.7, 6.1.6, 5.4.19 y 4.5.14.
  • Vulnerabilidad en WSO2 API Manager (CVE-2025-2905)
    Severidad: CRÍTICA
    Fecha de publicación: 05/05/2025
    Fecha de última actualización: 02/10/2025
    Existe una vulnerabilidad de Entidad Externa XML (XXE) en el componente de puerta de enlace de WSO2 API Manager debido a una validación insuficiente de la entrada XML en rutas URL manipulada. El XML proporcionado por el usuario se analiza sin las restricciones adecuadas, lo que permite la resolución de entidades externas. Esta vulnerabilidad puede ser explotada por un atacante remoto no autenticado para leer archivos del sistema de archivos del servidor o realizar ataques de denegación de servicio (DoS). * En sistemas con JDK 7 o versiones anteriores de JDK 8, el contenido completo de los archivos puede quedar expuesto. * En versiones posteriores de JDK 8 y posteriores, solo se puede leer la primera línea de un archivo, gracias a mejoras en el comportamiento del analizador XML. * Los ataques DoS, como los payloads "Billion Laughs", pueden causar interrupciones del servicio.
  • Vulnerabilidad en Kibana (CVE-2025-25014)
    Severidad: CRÍTICA
    Fecha de publicación: 06/05/2025
    Fecha de última actualización: 02/10/2025
    Una vulnerabilidad de contaminación del prototipo en Kibana conduce a la ejecución de código arbitrario a través de solicitudes HTTP manipuladas para endpoints de aprendizaje automático y de generación de informes.
  • Vulnerabilidad en Samsung Mobile (CVE-2025-20979)
    Severidad: ALTA
    Fecha de publicación: 07/05/2025
    Fecha de última actualización: 02/10/2025
    La escritura fuera de los límites en libsavscmn antes de Android 15 permite que atacantes locales ejecuten código arbitrario.
  • Vulnerabilidad en Samsung Mobile (CVE-2025-20980)
    Severidad: MEDIA
    Fecha de publicación: 07/05/2025
    Fecha de última actualización: 02/10/2025
    La escritura fuera de los límites en libsavscmn antes de Android 15 permite que atacantes locales provoquen corrupción en la memoria.
  • Vulnerabilidad en JeecgBoot (CVE-2025-4533)
    Severidad: MEDIA
    Fecha de publicación: 11/05/2025
    Fecha de última actualización: 02/10/2025
    Se encontró una vulnerabilidad clasificada como problemática en JeecgBoot hasta la versión 3.8.0. Esta vulnerabilidad afecta la función unzipFile del archivo /jeecg-boot/airag/knowledge/doc/import/zip del componente Document Library Upload. La manipulación del argumento File provoca el consumo de recursos. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado.
  • Vulnerabilidad en APTIOV (CVE-2024-42446)
    Severidad: ALTA
    Fecha de publicación: 13/05/2025
    Fecha de última actualización: 02/10/2025
    APTIOV contiene una vulnerabilidad en la BIOS que permite a un atacante provocar una condición de ejecución de tiempo de verificación y tiempo de uso (TOCTOU) localmente. La explotación exitosa de esta vulnerabilidad puede provocar la ejecución de código arbitrario.
  • Vulnerabilidad en APTIOV (CVE-2025-33043)
    Severidad: MEDIA
    Fecha de publicación: 29/05/2025
    Fecha de última actualización: 02/10/2025
    APTIOV contiene una vulnerabilidad en la BIOS que permite a un atacante causar una validación de entrada incorrecta localmente. La explotación exitosa de esta vulnerabilidad podría afectar a la integridad.
  • Vulnerabilidad en Poly Clariti Manager (CVE-2025-43020)
    Severidad: MEDIA
    Fecha de publicación: 22/07/2025
    Fecha de última actualización: 02/10/2025
    Se ha identificado una posible vulnerabilidad de inyección de comandos en Poly Clariti Manager para versiones anteriores a la 10.12.2. Esta vulnerabilidad podría permitir que un usuario con privilegios envíe información arbitraria. HP ha solucionado el problema en la última actualización de software.
  • Vulnerabilidad en Poly Clariti Manager (CVE-2025-43022)
    Severidad: ALTA
    Fecha de publicación: 22/07/2025
    Fecha de última actualización: 02/10/2025
    Se ha identificado una posible vulnerabilidad de inyección SQL en Poly Clariti Manager para versiones anteriores a la 10.12.1. Esta vulnerabilidad podría permitir que un usuario con privilegios ejecute comandos SQL. HP ha solucionado el problema en la última actualización de software.
  • Vulnerabilidad en Poly Clariti Manager (CVE-2025-43021)
    Severidad: MEDIA
    Fecha de publicación: 22/07/2025
    Fecha de última actualización: 02/10/2025
    Se ha identificado una posible vulnerabilidad de seguridad en Poly Clariti Manager para versiones anteriores a la 10.12.1. Esta vulnerabilidad podría permitir el uso y la recuperación de la contraseña predeterminada. HP ha solucionado el problema en la última actualización de software.
  • Vulnerabilidad en Poly Clariti Manager (CVE-2025-43483)
    Severidad: MEDIA
    Fecha de publicación: 23/07/2025
    Fecha de última actualización: 02/10/2025
    Se ha identificado una posible vulnerabilidad de seguridad en Poly Clariti Manager para versiones anteriores a la 10.12.1. Esta vulnerabilidad podría permitir la recuperación de claves criptográficas codificadas. HP ha solucionado el problema en la última actualización de software.
  • Vulnerabilidad en Poly Clariti Manager (CVE-2025-43484)
    Severidad: MEDIA
    Fecha de publicación: 23/07/2025
    Fecha de última actualización: 02/10/2025
    Se ha identificado una posible vulnerabilidad de cross-site scripting reflejado en Poly Clariti Manager para versiones anteriores a la 10.12.1. El sitio web no valida ni depura la entrada del usuario antes de mostrarla en la respuesta. HP ha solucionado el problema en la última actualización de software.
  • Vulnerabilidad en Poly Clariti Manager (CVE-2025-43485)
    Severidad: MEDIA
    Fecha de publicación: 23/07/2025
    Fecha de última actualización: 02/10/2025
    Se ha identificado una posible vulnerabilidad de seguridad en Poly Clariti Manager para versiones anteriores a la 10.12.2. Esta vulnerabilidad podría permitir que un usuario con privilegios obtenga credenciales de los archivos de registro. HP ha solucionado el problema en la última actualización de software.
  • Vulnerabilidad en Poly Clariti Manager (CVE-2025-43486)
    Severidad: MEDIA
    Fecha de publicación: 23/07/2025
    Fecha de última actualización: 02/10/2025
    Se ha identificado una posible vulnerabilidad de cross-site scripting almacenado en Poly Clariti Manager para versiones anteriores a la 10.12.1. El sitio web permite que la entrada del usuario se almacene y se represente sin la debida depuración. HP ha solucionado el problema en la última actualización de software.
  • Vulnerabilidad en Poly Clariti Manager (CVE-2025-43487)
    Severidad: MEDIA
    Fecha de publicación: 23/07/2025
    Fecha de última actualización: 02/10/2025
    Se ha identificado una posible escalada de privilegios mediante una vulnerabilidad de Sudo en Poly Clariti Manager para versiones anteriores a la 10.12.2. Esta falla de firmware no implementa correctamente los controles de acceso. HP ha solucionado el problema en la última actualización de software.
  • Vulnerabilidad en Poly Clariti Manager (CVE-2025-43488)
    Severidad: BAJA
    Fecha de publicación: 23/07/2025
    Fecha de última actualización: 02/10/2025
    Se ha identificado una posible vulnerabilidad de seguridad en Poly Clariti Manager para versiones anteriores a la 10.12.2. Esta vulnerabilidad podría permitir eludir el filtro XSS de la aplicación mediante el envío de caracteres no confiables. HP ha solucionado el problema en la última actualización de software.
  • Vulnerabilidad en Poly Clariti Manager (CVE-2025-43489)
    Severidad: BAJA
    Fecha de publicación: 23/07/2025
    Fecha de última actualización: 02/10/2025
    Se ha identificado una posible vulnerabilidad de seguridad en Poly Clariti Manager para versiones anteriores a la 10.12.1. Esta vulnerabilidad podría deserializar datos no confiables sin validación. HP ha solucionado el problema en la última actualización de software.
  • Vulnerabilidad en HDP Server (CVE-2025-6504)
    Severidad: ALTA
    Fecha de publicación: 29/07/2025
    Fecha de última actualización: 02/10/2025
    En versiones de HDP Server anteriores a la 4.6.2.2978 en Linux, se podía producir acceso no autorizado mediante suplantación de IP mediante el encabezado X-Forwarded-For. Dado que XFF es un encabezado controlado por el cliente, podría suplantarse, permitiendo el acceso no autorizado si la IP suplantada coincidía con un rango permitido. Esta vulnerabilidad podría explotarse para eludir las restricciones de IP, aunque se seguirían necesitando credenciales de usuario válidas para acceder a los recursos.
  • Vulnerabilidad en Progress Software's Hybrid Data Pipeline Server (CVE-2025-6505)
    Severidad: ALTA
    Fecha de publicación: 29/07/2025
    Fecha de última actualización: 02/10/2025
    El acceso no autorizado y la suplantación de identidad pueden ocurrir en las versiones 4.6.2.3226 y anteriores de Progress Software's Hybrid Data Pipeline Server en Linux. Esta vulnerabilidad permite a los atacantes combinar credenciales de diferentes fuentes, lo que podría provocar la suplantación de identidad del cliente y el acceso no autorizado. Cuando los clientes OAuth realizan un protocolo de enlace OAuth con el servidor Hybrid Data Pipeline, este acepta las credenciales del cliente tanto de los encabezados HTTP como de los parámetros de solicitud.
  • Vulnerabilidad en Artifex mupdf (CVE-2025-46206)
    Severidad: MEDIA
    Fecha de publicación: 04/08/2025
    Fecha de última actualización: 02/10/2025
    Un problema en Artifex mupdf 1.25.6 y 1.25.5 permite a un atacante remoto provocar una denegación de servicio mediante una recursión infinita en la utilidad `mutool clean`. Al procesar un archivo PDF manipulado que contiene referencias cíclicas a /Next en la estructura del esquema, la función `strip_outline()` entra en una recursión infinita.
  • Vulnerabilidad en Strategies Exonaut 21.6. (CVE-2025-46658)
    Severidad: CRÍTICA
    Fecha de publicación: 05/08/2025
    Fecha de última actualización: 02/10/2025
    Se detectó un problema en ExonautWeb en 4C Strategies Exonaut 21.6. Hay mensajes de error extensos.
  • Vulnerabilidad en DENX Software Engineering Das U-Boot (CVE-2025-45512)
    Severidad: MEDIA
    Fecha de publicación: 05/08/2025
    Fecha de última actualización: 02/10/2025
    La falta de verificación de firma en el gestor de arranque de DENX Software Engineering Das U-Boot (U-Boot) v1.1.3 permite a los atacantes instalar archivos de firmware manipulados, lo que lleva a la ejecución de código arbitrario.
  • Vulnerabilidad en Sysax Multi-Server (CVE-2013-10065)
    Severidad: ALTA
    Fecha de publicación: 05/08/2025
    Fecha de última actualización: 02/10/2025
    Existe una vulnerabilidad de denegación de servicio en Sysax Multi-Server versión 6.10 a través de su daemon SSH. Un paquete de intercambio de claves SSH especialmente manipulado puede provocar un fallo en el servicio, lo que resulta en una pérdida de disponibilidad. La falla se activa durante el procesamiento de datos de intercambio de claves malformados, incluyendo un byte no estándar (\x28) en lugar del delimitador de protocolo SSH esperado.
  • Vulnerabilidad en Samsung Mobile (CVE-2025-21024)
    Severidad: BAJA
    Fecha de publicación: 06/08/2025
    Fecha de última actualización: 02/10/2025
    El uso de intención implícita para comunicación confidencial en Smart View antes de Android 16 permite a atacantes locales acceder a información confidencial.
  • Vulnerabilidad en 4C Strategies Exonaut 21.6 (CVE-2025-46659)
    Severidad: ALTA
    Fecha de publicación: 06/08/2025
    Fecha de última actualización: 02/10/2025
    Se detectó un problema en ExonautWeb en 4C Strategies Exonaut 21.6. La divulgación de información puede ocurrir mediante una solicitud HTTPS externa.
  • Vulnerabilidad en APTIOV (CVE-2025-22830)
    Severidad: ALTA
    Fecha de publicación: 12/08/2025
    Fecha de última actualización: 02/10/2025
    APTIOV contiene una vulnerabilidad en la BIOS que permite a un usuario experto provocar una "condición de ejecución" mediante acceso local. Una explotación exitosa de esta vulnerabilidad puede provocar el agotamiento de recursos y afectar la confidencialidad, la integridad y la disponibilidad.
  • Vulnerabilidad en AMI APTIOV (CVE-2025-22834)
    Severidad: MEDIA
    Fecha de publicación: 12/08/2025
    Fecha de última actualización: 02/10/2025
    AMI APTIOV contiene una vulnerabilidad en la BIOS que permite que un usuario cause una inicialización incorrecta al acceder localmente. La explotación exitosa de esta vulnerabilidad puede dejar el recurso en un estado inesperado y potencialmente afectar la confidencialidad, la integridad y la disponibilidad.
  • Vulnerabilidad en DI-7400G+ (CVE-2025-57105)
    Severidad: CRÍTICA
    Fecha de publicación: 22/08/2025
    Fecha de última actualización: 02/10/2025
    El enrutador DI-7400G+ presenta una vulnerabilidad de inyección de comandos que permite a los atacantes ejecutar comandos arbitrarios en el dispositivo. La función sub_478D28 se encuentra en mng_platform.asp y la función sub_4A12DC en wayos_ac_server.asp del programa jhttpd, con el parámetro ac_mng_srv_host.