Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • Vulnerabilidad en Jenkins Authorize Project Plugin 1.7.2 (CVE-2024-52552)
    Severidad: ALTA
    Fecha de publicación: 13/11/2024
    Fecha de última actualización: 03/10/2025
    El complemento Jenkins Authorize Project Plugin 1.7.2 y versiones anteriores evalúa una cadena que contiene el nombre del trabajo con JavaScript en la vista Autorización, lo que genera una vulnerabilidad de cross-site scripting (XSS) almacenado que pueden explotar atacantes con permiso Elemento/Configurar.
  • Vulnerabilidad en Jenkins 17.v786074c9fce7 (CVE-2024-52554)
    Severidad: ALTA
    Fecha de publicación: 13/11/2024
    Fecha de última actualización: 03/10/2025
    El complemento de anulación de versión de librería compartida de Jenkins 17.v786074c9fce7 y versiones anteriores declara que las anulaciones de librería con ámbito de carpeta son confiables, de modo que no se ejecutan en el entorno aislado de seguridad de script, lo que permite a los atacantes con permiso de Elemento/Configurar en una carpeta configurar una anulación de librería con ámbito de carpeta que se ejecuta sin protección de entorno aislado.
  • Vulnerabilidad en Jenkins Filesystem List Parameter (CVE-2024-54004)
    Severidad: MEDIA
    Fecha de publicación: 27/11/2024
    Fecha de última actualización: 03/10/2025
    El complemento Jenkins Filesystem List Parameter 0.0.14 y versiones anteriores no restringe la ruta utilizada para el parámetro de lista de objetos del sistema de archivos, lo que permite a los atacantes con permiso de Elemento/Configurar enumerar nombres de archivos en el sistema de archivos del controlador de Jenkins.
  • Vulnerabilidad en Jenkins Simple Queue (CVE-2024-54003)
    Severidad: ALTA
    Fecha de publicación: 27/11/2024
    Fecha de última actualización: 03/10/2025
    El complemento Jenkins Simple Queue 1.4.4 y versiones anteriores no escapan al nombre de la vista, lo que genera una vulnerabilidad de Cross-Site Scripting (XSS) Almacenadoque pueden explotar atacantes con permiso Ver/Crear.
  • Vulnerabilidad en WAVLINK WN701AE M01AE_V240305 (CVE-2024-54745)
    Severidad: CRÍTICA
    Fecha de publicación: 06/12/2024
    Fecha de última actualización: 03/10/2025
    Se descubrió que WAVLINK WN701AE M01AE_V240305 contiene una vulnerabilidad de contraseña codificada en /etc/shadow, que permite a los atacantes iniciar sesión como superusuario.
  • Vulnerabilidad en WAVLINK WN531P3 202383 (CVE-2024-54747)
    Severidad: CRÍTICA
    Fecha de publicación: 06/12/2024
    Fecha de última actualización: 03/10/2025
    Se descubrió que WAVLINK WN531P3 202383 contiene una vulnerabilidad de contraseña codificada en /etc/shadow, que permite a los atacantes iniciar sesión como superusuario.
  • Vulnerabilidad en GitLab de Jenkins (CVE-2025-24397)
    Severidad: MEDIA
    Fecha de publicación: 22/01/2025
    Fecha de última actualización: 03/10/2025
    Una verificación de permisos incorrecta en el complemento GitLab de Jenkins 1.9.6 y versiones anteriores permite a los atacantes con permiso global de Elemento/Configuración (aunque carecen del permiso de Elemento/Configuración en cualquier trabajo en particular) enumerar los ID de credenciales del token de API de GitLab y las credenciales de texto secreto almacenadas en Jenkins.
  • Vulnerabilidad en Jenkins Eiffel Broadcaster (CVE-2025-24400)
    Severidad: MEDIA
    Fecha de publicación: 22/01/2025
    Fecha de última actualización: 03/10/2025
    El complemento Jenkins Eiffel Broadcaster 2.8.0 a 2.10.2 (ambos incluidos) utiliza el ID de credencial como clave de caché durante las operaciones de firma, lo que permite a los atacantes crear una credencial con el mismo ID que una legítima en un almacén de credenciales diferente para firmar un evento publicado en RabbitMQ con las credenciales legítimas.
  • Vulnerabilidad en Jenkins Folder-based Authorization Strategy (CVE-2025-24401)
    Severidad: MEDIA
    Fecha de publicación: 22/01/2025
    Fecha de última actualización: 03/10/2025
    El complemento Jenkins Folder-based Authorization Strategy 217.vd5b_18537403e y versiones anteriores no verifica que los permisos configurados para otorgarse estén habilitados, lo que potencialmente permite que los usuarios a los que se les otorgaron anteriormente (normalmente permisos opcionales, como General/Administrar) accedan a funciones a las que ya no tienen derecho.
  • Vulnerabilidad en Jenkins Azure Service Fabric (CVE-2025-24402)
    Severidad: MEDIA
    Fecha de publicación: 22/01/2025
    Fecha de última actualización: 03/10/2025
    Una vulnerabilidad Cross-Site Request Forgery (CSRF) en el complemento Jenkins Azure Service Fabric 1.6 y versiones anteriores permite a los atacantes conectarse a una URL de Service Fabric utilizando identificadores de credenciales especificados por el atacante obtenidos a través de otro método.
  • Vulnerabilidad en Jenkins Azure Service Fabric (CVE-2025-24403)
    Severidad: MEDIA
    Fecha de publicación: 22/01/2025
    Fecha de última actualización: 03/10/2025
    Una verificación de permiso faltante en el complemento Jenkins Azure Service Fabric 1.6 y versiones anteriores permite a los atacantes con permiso general/de lectura enumerar los identificadores de credenciales de Azure almacenadas en Jenkins.
  • Vulnerabilidad en M-Files Server (CVE-2025-0619)
    Severidad: MEDIA
    Fecha de publicación: 23/01/2025
    Fecha de última actualización: 03/10/2025
    La recuperación de contraseñas no seguras de la configuración en M-Files Server anterior a la versión 25.1 permite que un usuario con altos privilegios recupere contraseñas de conectores externos
  • Vulnerabilidad en M-Files Server (CVE-2025-0635)
    Severidad: MEDIA
    Fecha de publicación: 23/01/2025
    Fecha de última actualización: 03/10/2025
    La condición de denegación de servicio en M-Files Server en versiones anteriores a 25.1.14445.5 permite que un usuario no autenticado consuma recursos informáticos en determinadas condiciones.
  • Vulnerabilidad en LinZhaoguan pb-cms 2.0 (CVE-2025-1745)
    Severidad: MEDIA
    Fecha de publicación: 27/02/2025
    Fecha de última actualización: 03/10/2025
    Se ha encontrado una vulnerabilidad en LinZhaoguan pb-cms 2.0 y se ha clasificado como problemática. Esta vulnerabilidad afecta al código desconocido del componente Logout. La manipulación conduce a Cross-Site Request Forgery. El ataque puede iniciarse de forma remota. El exploit se ha hecho público y puede utilizarse.
  • Vulnerabilidad en Android (CVE-2025-20926)
    Severidad: MEDIA
    Fecha de publicación: 06/03/2025
    Fecha de última actualización: 03/10/2025
    La exportación incorrecta de componentes de aplicaciones de Android en Mis Archivos anteriores a la versión 15.0.07.5 en Android 14 permite a atacantes locales acceder a archivos con el privilegio de Mis Archivos.
  • Vulnerabilidad en Django (CVE-2025-26699)
    Severidad: MEDIA
    Fecha de publicación: 06/03/2025
    Fecha de última actualización: 03/10/2025
    Se descubrió un problema en Django 5.1 anterior a 5.1.7, 5.0 anterior a 5.0.13 y 4.2 anterior a 4.2.20. El método django.utils.text.wrap() y el filtro de plantilla wordwrap están sujetos a un posible ataque de denegación de servicio cuando se utilizan con cadenas muy largas.
  • Vulnerabilidad en LinZhaoguan pb-cms 1.0.0 (CVE-2025-2043)
    Severidad: MEDIA
    Fecha de publicación: 06/03/2025
    Fecha de última actualización: 03/10/2025
    Se encontró una vulnerabilidad en LinZhaoguan pb-cms 1.0.0 y se clasificó como crítica. Este problema afecta a algunos procesos desconocidos del archivo /admin#themes del componente Add New Topic Handler. La manipulación del argumento Topic Key provoca la deserialización. El ataque puede iniciarse de forma remota. Se ha hecho público el exploit y puede que sea utilizado.
  • Vulnerabilidad en libzvbi (CVE-2025-2173)
    Severidad: MEDIA
    Fecha de publicación: 11/03/2025
    Fecha de última actualización: 03/10/2025
    Se ha encontrado una vulnerabilidad en libzvbi hasta la versión 0.2.43. Se ha clasificado como problemática. La función vbi_strndup_iconv_ucs2 del archivo src/conv.c está afectada. La manipulación del argumento src_length da lugar a un puntero no inicializado. Es posible lanzar el ataque de forma remota. El exploit se ha hecho público y puede utilizarse. La actualización a la versión 0.2.44 puede solucionar este problema. El parche se identifica como 8def647eea27f7fd7ad33ff79c2d6d3e39948dce. Se recomienda actualizar el componente afectado. La responsable del código fue informada de antemano sobre los problemas. Reaccionó muy rápido y con gran profesionalidad.
  • Vulnerabilidad en libzvbi (CVE-2025-2174)
    Severidad: MEDIA
    Fecha de publicación: 11/03/2025
    Fecha de última actualización: 03/10/2025
    Se ha encontrado una vulnerabilidad en libzvbi hasta la versión 0.2.43. Se ha declarado como problemática. La función vbi_strndup_iconv_ucs2 del archivo src/conv.c está afectada por esta vulnerabilidad. La manipulación del argumento src_length provoca un desbordamiento de enteros. El ataque se puede ejecutar de forma remota. El exploit se ha hecho público y se puede utilizar. La actualización a la versión 0.2.44 puede solucionar este problema. El parche se llama ca1672134b3e2962cd392212c73f44f8f4cb489f. Se recomienda actualizar el componente afectado. La responsable del código fue informada de antemano sobre los problemas. Reaccionó muy rápido y con gran profesionalidad.
  • Vulnerabilidad en libzvbi (CVE-2025-2175)
    Severidad: MEDIA
    Fecha de publicación: 11/03/2025
    Fecha de última actualización: 03/10/2025
    Se ha encontrado una vulnerabilidad en libzvbi hasta la versión 0.2.43. Se ha calificado como problemática. La función _vbi_strndup_iconv está afectada por este problema. La manipulación provoca un desbordamiento de enteros. El ataque puede ejecutarse de forma remota. El exploit se ha hecho público y puede utilizarse. La actualización a la versión 0.2.44 puede solucionar este problema. Se recomienda actualizar el componente afectado. La responsable del código fue informada de antemano sobre los problemas. Reaccionó muy rápido y con gran profesionalidad.
  • Vulnerabilidad en quequnlong shiyi-blog (CVE-2025-5511)
    Severidad: MEDIA
    Fecha de publicación: 03/06/2025
    Fecha de última actualización: 03/10/2025
    Se ha detectado una vulnerabilidad, clasificada como crítica, en quequnlong shiyi-blog hasta la versión 1.2.1. Este problema afecta a un procesamiento desconocido del archivo /dev api/app/album/photos/. La manipulación da lugar a una autorización indebida. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado. Se contactó al proveedor con antelación sobre esta divulgación, pero no respondió.
  • Vulnerabilidad en quequnlong shiyi-blog (CVE-2025-5512)
    Severidad: MEDIA
    Fecha de publicación: 03/06/2025
    Fecha de última actualización: 03/10/2025
    Se encontró una vulnerabilidad clasificada como crítica en quequnlong shiyi-blog hasta la versión 1.2.1. La vulnerabilidad afecta a una función desconocida del archivo /api/sys/user/verifyPassword/ del componente Administrator Backend. La manipulación provoca una autenticación incorrecta. Es posible ejecutar el ataque de forma remota. Se ha hecho público el exploit y puede que sea utilizado. Se contactó al proveedor con antelación para informarle sobre esta divulgación, pero no respondió.
  • Vulnerabilidad en webpack-dev-server (CVE-2025-30359)
    Severidad: MEDIA
    Fecha de publicación: 03/06/2025
    Fecha de última actualización: 03/10/2025
    webpack-dev-server permite a los usuarios usar webpack con un servidor de desarrollo que permite la recarga en tiempo real. Antes de la versión 5.2.1, el código fuente de los usuarios de webpack-dev-server podía ser robado al acceder a un sitio web malicioso. Dado que la solicitud de un script clásico mediante una etiqueta de script no está sujeta a la política del mismo origen, un atacante puede inyectar un script malicioso en su sitio y ejecutarlo. Tenga en cuenta que el atacante debe conocer el puerto y la ruta del script del punto de entrada de salida. Combinando la contaminación del prototipo, el atacante puede obtener una referencia a las variables de tiempo de ejecución de webpack. Al usar `Function::toString` con los valores de `__webpack_modules__`, el atacante puede obtener el código fuente. La versión 5.2.1 incluye un parche para este problema.
  • Vulnerabilidad en webpack-dev-server (CVE-2025-30360)
    Severidad: MEDIA
    Fecha de publicación: 03/06/2025
    Fecha de última actualización: 03/10/2025
    webpack-dev-server permite a los usuarios usar webpack con un servidor de desarrollo que proporciona recarga en tiempo real. Antes de la versión 5.2.1, el código fuente de los usuarios de webpack-dev-server podía ser robado al acceder a un sitio web malicioso con un navegador que no fuera Chromium. El encabezado "Origin" se verifica para evitar el secuestro de WebSockets entre sitios, reportado por CVE-2018-14732. Sin embargo, webpack-dev-server siempre permite los encabezados "Origin" de direcciones IP. Esto permite que los sitios web que se sirven en direcciones IP se conecten a WebSockets. Un atacante puede obtener el código fuente mediante un método similar al utilizado para explotar CVE-2018-14732. La versión 5.2.1 incluye un parche para este problema.
  • Vulnerabilidad en quequnlong shiyi-blog (CVE-2025-5513)
    Severidad: MEDIA
    Fecha de publicación: 03/06/2025
    Fecha de última actualización: 03/10/2025
    Se ha detectado una vulnerabilidad en quequnlong shiyi-blog hasta la versión 1.2.1, clasificada como problemática. Esta vulnerabilidad afecta a una funcionalidad desconocida del archivo /dev-api/api/comment/add. La manipulación del contenido del argumento provoca ataques de cross site scripting. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado. Se contactó al proveedor con antelación para informarle sobre esta divulgación, pero no respondió.
  • Vulnerabilidad en ChestnutCMS (CVE-2025-5552)
    Severidad: MEDIA
    Fecha de publicación: 04/06/2025
    Fecha de última actualización: 03/10/2025
    Se encontró una vulnerabilidad en ChestnutCMS hasta la versión 15.1. Se ha declarado crítica. Esta vulnerabilidad afecta al código desconocido del archivo /dev-api/groovy/exec del componente API Endpoint. La manipulación provoca la deserialización. El ataque puede ejecutarse en remoto. Se ha hecho público el exploit y puede que sea utilizado.
  • Vulnerabilidad en IdeaCMS (CVE-2025-5569)
    Severidad: MEDIA
    Fecha de publicación: 04/06/2025
    Fecha de última actualización: 03/10/2025
    Se detectó una vulnerabilidad en IdeaCMS hasta la versión 1.7, clasificada como crítica. Este problema afecta a la función "Article/Goods" del archivo /api/v1.index.article/getList.html. La manipulación del argumento "Field" provoca una inyección SQL. El ataque puede ejecutarse en remoto. Actualizar a la versión 1.8 puede solucionar este problema. El parche se llama 935aceb4c21338633de6d41e13332f7b9db4fa6a. Se recomienda actualizar el componente afectado.
  • Vulnerabilidad en Jenkins Xooa Plugin (CVE-2025-53676)
    Severidad: MEDIA
    Fecha de publicación: 09/07/2025
    Fecha de última actualización: 03/10/2025
    Jenkins Xooa Plugin 0.0.7 y versiones anteriores almacenan el token de implementación de Xooa sin cifrar en su archivo de configuración global en el controlador Jenkins, donde lo pueden ver los usuarios con acceso al sistema de archivos del controlador Jenkins.
  • Vulnerabilidad en Jenkins Xooa Plugin (CVE-2025-53677)
    Severidad: MEDIA
    Fecha de publicación: 09/07/2025
    Fecha de última actualización: 03/10/2025
    Jenkins Xooa Plugin 0.0.7 y versiones anteriores no enmascaran el token de implementación de Xooa en el formulario de configuración global, lo que aumenta la posibilidad de que los atacantes lo observen y lo capturen.
  • Vulnerabilidad en Jenkins User1st uTester Plugin (CVE-2025-53678)
    Severidad: MEDIA
    Fecha de publicación: 09/07/2025
    Fecha de última actualización: 03/10/2025
    Jenkins User1st uTester Plugin 1.1 y versiones anteriores almacena el token JWT de uTester sin cifrar en su archivo de configuración global en el controlador de Jenkins, donde lo pueden ver los usuarios con acceso al sistema de archivos del controlador de Jenkins.
  • Vulnerabilidad en Trend Micro Password Manager (CVE-2025-52837)
    Severidad: ALTA
    Fecha de publicación: 10/07/2025
    Fecha de última actualización: 03/10/2025
    Trend Micro Password Manager (Consumer) versión 5.8.0.1327 y anteriores es afectado por una vulnerabilidad de escalada de privilegios de seguimiento de enlaces que podría permitir a un atacante la oportunidad de abusar de enlaces simbólicos y otros métodos para eliminar cualquier archivo/carpeta y lograr una escalada de privilegios.
  • Vulnerabilidad en Trend Micro Worry-Free Business Security Services (CVE-2025-53378)
    Severidad: ALTA
    Fecha de publicación: 10/07/2025
    Fecha de última actualización: 03/10/2025
    Una vulnerabilidad de falta de autenticación en el agente de Trend Micro Worry-Free Business Security Services (WFBSS) podría haber permitido que un atacante no autenticado tomara el control remoto del agente en las instalaciones afectadas. Cabe destacar que esta vulnerabilidad solo afectó a la versión cliente SaaS de WFBSS, lo que significa que la versión local de Worry-Free Business Security no se vio afectada. Este problema se solucionó en una actualización de mantenimiento mensual de WFBSS. Por lo tanto, no se requiere ninguna otra acción por parte del cliente para mitigarlo si los agentes de WFBSS se encuentran en el programa de implementación de mantenimiento SaaS habitual. Esta divulgación es solo para fines informativos.
  • Vulnerabilidad en Trend Micro Cleaner One Pro (CVE-2025-53503)
    Severidad: ALTA
    Fecha de publicación: 10/07/2025
    Fecha de última actualización: 03/10/2025
    Trend Micro Cleaner One Pro es afectado por una vulnerabilidad de escalada de privilegios que podría permitir que un atacante local elimine sin querer archivos privilegiados de Trend Micro, incluidos los suyos propios.
  • Vulnerabilidad en Wavlink WN535K3 20191010 (CVE-2025-50756)
    Severidad: CRÍTICA
    Fecha de publicación: 14/07/2025
    Fecha de última actualización: 03/10/2025
    Se descubrió que Wavlink WN535K3 20191010 contenía una vulnerabilidad de inyección de comandos en la función set_sys_adm mediante el parámetro newpass. Esta vulnerabilidad permite a los atacantes ejecutar comandos arbitrarios mediante una solicitud manipulada.
  • Vulnerabilidad en Tiki Wiki CMS Groupware (CVE-2025-34111)
    Severidad: CRÍTICA
    Fecha de publicación: 15/07/2025
    Fecha de última actualización: 03/10/2025
    Existe una vulnerabilidad de carga arbitraria de archivos no autenticados en Tiki Wiki CMS Groupware versión 15.1 y anteriores a través del conector predeterminado del componente ELFinder (connector.minimal.php). Esta vulnerabilidad permite a atacantes remotos cargar y ejecutar scripts PHP maliciosos en el servidor web. El componente vulnerable no aplica la validación del tipo de archivo, lo que permite a los atacantes manipular una solicitud POST para cargar cargas PHP ejecutables a través de la interfaz ELFinder expuesta en /vendor_extra/elfinder/.