Tres nuevos avisos de seguridad
Índice
- Ejecución remota de código en n8n
- Múltiples vulnerabilidades en proyectores de Sharp Display Solutions
- Boletín de seguridad de Android: enero de 2026
Ejecución remota de código en n8n
- Versiones a partir de la 0.123.0, incluida;
- versiones anteriores a la 1.121.3.
Theolelasseux ha informado sobre una vulnerabilidad de severidad crítica que podría provocar una ejecución de código remoto-
Actualizar a la versión 1.121.3.
CVE-2026-21877: ejecución remota de código (RCE) autenticada. En determinadas circunstancias, un usuario autenticado podría provocar la ejecución de código no confiable por parte del servicio n8n. Esto podría comprometer por completo la instancia afectada.
Múltiples vulnerabilidades en proyectores de Sharp Display Solutions
Los siguientes productos están afectados por (CVE-2025-11540, CVE-2025-11541, CVE-2025-11542 y CVE-2025-11543):
- NP-P502HL-2, NP-P502WL-2;
- NP-P502HLG-2;
- NP-P502WLG;
- NP-P502H, NP-P502W;
- NP-P452H, NP-P452W;
- NP-P502HG, NP-P502WG;
- NP-P452HG, NP-P452WG;
- NP-P502H+, NP-P502W+;
- NP-CR5450H, NP-CR5450W;
- NP-P502HL, NP-P502WL;
- NP-P502HLG, NP-P502WLG,;
- NP-P502HL+, NP-P502WL+;
- NP-CR5450HL, NP-CR5450WL;
- NP-UM352W;
- NP-UM352WG;
- NP-UM352W+.
Los productos que están afectados por (CVE-2025-11544 y CVE-2025-11545) se pueden observar en la página del fabricante.
Sebastian Pahl, de la Universidad de Luxemburgo, reportó 5 vulnerabilidades: 4 de severidad crítica y 1 alta. En el caso de que estas vulnerabilidades fuesen explotadas, podrían permitir a un atacante obtener acceso a los archivos, ejecutar acciones arbitrarias, ejecutar un firmware no autorizado y obtener información de conexión de la red.
Se recomienda utilizar los productos en una intranet segura protegida por un firewall y no conectar el producto a Internet.
Para ciertos productos afectados por la vulnerabilidad CVE-2025-11544, están disponibles las siguientes actualizaciones:
- NP-P627UL;
- NP-P627ULG;
- NP-P627UL+;
- NP-P547UL;
- NP-P547ULG;
- NP-P547UL+;
- NP-P607UL+;
- NP-CG6600UL;
- NP-H6271UL;
- NP-H5471UL;
- NP-P627ULH;
- NP-P547ULH.
Para ciertos productos que están afectados por la vulnerabilidad CVE-2025-11545, están disponibles las siguientes actualizaciones:
- NP-PA1705UL-W, NP-PA1705UL-W+, NP-PA1705UL-B;
- NP-PA1705UL-B+, NP-PA1505UL-W, NP-PA1505UL-W+;
- NP-PA1505UL-B, NP-PA1505UL-B+;
- NP-PV800UL-W, NP-PV800UL-W+, NP-PV800UL-B;
- NP-PV800UL-B+, NP-PV710UL-W, NP-PV710UL-W+;
- NP-PV710UL-B, NP-PV710UL-B+, NP-PV800UL-W1;
- NP-PV800UL-B1, NP-PV710UL-W1, NP-PV710UL-B1;
- NP-CP8900UL, NP-PV800UL-B1G, NP-PV710UL-B1G;
- NP-PV800UL-WH, NP-PV710UL-WH;
- NP-P627UL, NP-P627ULG, NP-P627UL+, NP-P547UL;
- NP-P547ULG, NP-P547UL+, NP-P607UL+, NP-CG6600UL;
- NP-H6271UL, NP-H5471UL, NP-P627ULH, NP-P547ULH;
- NP-PA1004UL-W, NP-PA1004UL-WG, NP-PA1004UL-W+;
- NP-PA1004UL-WH, NP-PA1004UL-B, NP-PA1004UL-BG;
- NP-PA1004UL-B+, NP-PA804UL-W, NP-PA804UL-WG;
- NP-PA804UL-W+, NP-PA804UL-WH, NP-PA804UL-B;
- NP-PA804UL-BG, NP-PA804UL-B+, NP-PA1004UL-BH;
- NP-PA804UL-BH, NP-PA1004UL-W-1, NP-PA1004UL-B-1;
- NP-PA804UL-W-1, NP-PA804UL-B-1.
- CVE-2025-11540: vulnerabilidad de recorrido de ruta que, en caso de ser explotada podría permitir a un atacante acceder y leer cualquier archivo dentro del proyector.
- CVE-2025-11543 y CVE-2025-11544: vulnerabilidades sobre la incorrecta validación del valor de verificación de integridad podría permitir si es explotada exitosamente a un atacante crear y ejecutar un firmware no autorizado.
- CVE-2025-11545: vulnerabilidad de exposición de información confidencial del sistema a una esfera de control no autorizada. En caso de ser explotada esta vulnerabilidad podría permitir a un atacante acceder indebidamente al servidor HTTP y ejecutar acciones arbitrarias.
A la vulnerabilidad de severidad alta se le ha asignado el siguiente CVE: CVE-2025-1154.
Boletín de seguridad de Android: enero de 2026
Subcomponente Códec DD+.
El boletín de seguridad de Android de enero de 2026, soluciona 1 vulnerabilidad de severidad crítica que afecta a los componentes Dolby y podría provocar una escritura fuera de límites.
Actualizar a la última versión disponible.
CVE-2025-54957: el decodificador DD+ puede bloquearse al procesar un flujo de bits DD+ con formato incorrecto. Cuando 'evo_priv.c' procesa datos de Evolution desde el flujo de bits DD+, el decodificador los escribe en un búfer. El cálculo de la longitud de una escritura puede desbordarse debido a un error de enteros. Esto puede provocar que el búfer asignado sea demasiado pequeño y que la comprobación de escritura fuera de límites sea ineficaz, lo que da lugar a esta vulnerabilidad.