Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • CVE-2007-2774
    Severidad: Pendiente de análisis
    Fecha de publicación: 21/05/2007
    Fecha de última actualización: 06/02/2026
    Múltiples vulnerabilidades de inclusión remota de archivo en PHP en SunLight CMS 5.3 permite a atacantes remotos ejecutar código PHP de su elección a través de una URL en el parámetro root en (1) _connect.php o (2) modules/startup.php.
  • Vulnerabilidad en Argo Workflows (CVE-2022-29164)
    Severidad: ALTA
    Fecha de publicación: 06/05/2022
    Fecha de última actualización: 06/02/2026
    Argo Workflows es un motor de flujo de trabajo nativo de contenedores de código abierto para orquestar trabajos paralelos en Kubernetes. En las versiones afectadas, un atacante puede crear un flujo de trabajo que produzca un artefacto HTML que contenga un archivo HTML con un script que use llamadas XHR para interactuar con la API del servidor Argo. El atacante envía por correo electrónico el enlace profundo al artefacto a su víctima. La víctima abre el enlace y el script comienza a ejecutarse. Como el script presenta acceso a la API del Servidor Argo (como la víctima), puede leer información sobre los flujos de trabajo de la víctima, o crear y eliminar flujos de trabajo. Tenga en cuenta que el atacante debe ser un insider: debe tener acceso al mismo cluster que la víctima y debe ser capaz de ejecutar sus propios flujos de trabajo. El atacante debe conocer el sistema de la víctima. No hemos visto ninguna evidencia de esto en la naturaleza. Instamos a todos los usuarios a actualizar a las versiones corregidas
  • Vulnerabilidad en Roundcube Webmail (CVE-2024-37385)
    Severidad: CRÍTICA
    Fecha de publicación: 07/06/2024
    Fecha de última actualización: 06/02/2026
    Roundcube Webmail anterior a 1.5.7 y 1.6.x anterior a 1.6.7 en Windows permite la inyección de comandos a través de im_convert_path e im_identify_path. NOTA: este problema existe debido a una solución incompleta para CVE-2020-12641.
  • Vulnerabilidad en Argo Workflows (CVE-2024-47827)
    Severidad: MEDIA
    Fecha de publicación: 28/10/2024
    Fecha de última actualización: 06/02/2026
    Argo Workflows es un motor de flujo de trabajo nativo de contenedores de código abierto para orquestar trabajos paralelos en Kubernetes. Debido a una condición de ejecución en una variable global en 3.6.0-rc1, cualquier usuario con acceso para ejecutar un flujo de trabajo puede hacer que el controlador de flujos de trabajo de Argo se bloquee cuando así lo ordene. Esta vulnerabilidad se solucionó en 3.6.0-rc2.
  • Vulnerabilidad en Argo Workflows (CVE-2024-53862)
    Severidad: MEDIA
    Fecha de publicación: 02/12/2024
    Fecha de última actualización: 06/02/2026
    Argo Workflows es un motor de flujo de trabajo nativo de contenedores de código abierto para orquestar trabajos paralelos en Kubernetes. Cuando se usa `--auth-mode=client`, los flujos de trabajo archivados se pueden recuperar con un token falso o falsificado a través del endpoint de flujo de trabajo GET: `/api/v1/workflows/{namespace}/{name}` o cuando se usa `--auth-mode=sso`, todos los flujos de trabajo archivados se pueden recuperar con un token válido a través del endpoint de flujo de trabajo GET: `/api/v1/workflows/{namespace}/{name}`. El servidor no realiza ninguna autenticación en los tokens `client`. En cambio, la autenticación y la autorización se delegan al servidor de API de k8s. Sin embargo, el archivo de flujo de trabajo no interactúa con k8s, por lo que cualquier token que parezca válido se considerará autenticado, incluso si no es un token de k8s o incluso si el token no tiene RBAC para Argo. Para manejar la falta de authN/authZ de k8s de paso a través, el Archivo de flujo de trabajo realiza específicamente el equivalente de una verificación `kubectl auth can-i` para los métodos respectivos. En 3.5.7 y 3.5.8, la verificación de autenticación se eliminó accidentalmente en el endpoint de flujo de trabajo GET de respaldo a flujos de trabajo archivados en estas líneas, lo que permitió recuperar flujos de trabajo archivados con un token falso. Esta vulnerabilidad se corrigió en 3.6.2 y 3.5.13.