Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • Vulnerabilidad en ESPHome (CVE-2024-27287)
    Severidad: MEDIA
    Fecha de publicación: 06/03/2024
    Fecha de última actualización: 03/03/2026
    ESPHome es un sistema para controlar su ESP8266/ESP32 para sistemas de domótica. A partir de la versión 2023.12.9 y antes de la versión 2024.2.2, la edición del archivo de configuración API en el componente del panel de ESPHome versión 2023.12.9 (instalación de línea de comando y complemento Home Assistant) proporciona datos no desinfectados con `Tipo de contenido: texto/ HTML; charset=UTF-8`, lo que permite a un usuario autenticado remoto inyectar secuencias de comandos web arbitrarias y extraer cookies de sesión mediante secuencias de comandos entre sitios. Es posible que un usuario autenticado malicioso inyecte Javascript arbitrario en archivos de configuración mediante una solicitud POST al punto final /edit; el parámetro de configuración permite especificar el archivo a escribir. Para activar la vulnerabilidad XSS, la víctima debe visitar la página ` /edit?configuration=[archivo xss]`. Al abusar de esta vulnerabilidad, un actor malintencionado podría realizar operaciones en el tablero en nombre de un usuario registrado, acceder a información confidencial, crear, editar y eliminar archivos de configuración y actualizar firmware en tableros administrados. Además de esto, las cookies no están protegidas correctamente, lo que permite la filtración de los valores de las cookies de sesión. La versión 2024.2.2 contiene un parche para este problema.
  • Vulnerabilidad en los Módulos de CPU de PLC CLICK de Automation Direct (CVE-2026-25040)
    Severidad: MEDIA
    Fecha de publicación: 29/01/2026
    Fecha de última actualización: 03/03/2026
    Budibase es una plataforma de bajo código para crear herramientas internas, flujos de trabajo y paneles de administración. En versiones hasta la 3.26.3 inclusive, un usuario con nivel de Creador, quien normalmente no tiene permiso en la interfaz de usuario (UI) para invitar usuarios, puede manipular solicitudes de API para invitar a nuevos usuarios con cualquier rol, incluyendo Administrador, Creador o Visor de Aplicaciones, y asignarlos a cualquier grupo de la organización. Esto permite una escalada de privilegios completa, eludiendo las restricciones de la interfaz de usuario (UI), y puede llevar a una toma de control completa del espacio de trabajo o la organización. Al momento de la publicación, no hay versiones corregidas conocidas disponibles.
  • Vulnerabilidad en wcf endpoint en edgemo local admin service (CVE-2026-1680)
    Severidad: ALTA
    Fecha de publicación: 30/01/2026
    Fecha de última actualización: 03/03/2026
    Control de acceso inadecuado en el endpoint WCF en Edgemo (ahora propiedad de Danoffice IT) Servicio de Administrador Local 1.2.7.23180 en Windows permite a un usuario local escalar sus privilegios a administrador local mediante comunicación directa con la tubería con nombre LocalAdminService.exe, eludiendo las restricciones de membresía de grupo del lado del cliente.
  • Vulnerabilidad en EspoCRM (CVE-2020-37094)
    Severidad: ALTA
    Fecha de publicación: 03/02/2026
    Fecha de última actualización: 03/03/2026
    EspoCRM 5.8.5 contiene una vulnerabilidad de autenticación que permite a los atacantes acceder a otras cuentas de usuario manipulando los encabezados de autorización. Los atacantes pueden decodificar y modificar los tokens Basic Authorization y Espo-Authorization para obtener acceso no autorizado a información y privilegios de usuarios administrativos.
  • Vulnerabilidad en bolo-blog bolo-solo (CVE-2026-1811)
    Severidad: MEDIA
    Fecha de publicación: 03/02/2026
    Fecha de última actualización: 03/03/2026
    Se ha encontrado una vulnerabilidad en bolo-blog bolo-solo hasta la versión 2.6.4. Esto afecta a la función importFromMarkdown del archivo src/main/java/org/b3log/solo/bolo/prop/BackupService.java del componente Filename Handler. La ejecución de una manipulación del argumento File puede conducir a un salto de ruta. El ataque puede realizarse de forma remota. El exploit ha sido publicado y puede ser utilizado. Se informó al proyecto del problema con antelación a través de un informe de incidencias, pero aún no ha respondido.
  • Vulnerabilidad en FTP Navigator de Softpedia (CVE-2019-25321)
    Severidad: ALTA
    Fecha de publicación: 12/02/2026
    Fecha de última actualización: 03/03/2026
    FTP Navigator 8.03 contiene una vulnerabilidad de desbordamiento de pila que permite a los atacantes ejecutar código arbitrario sobrescribiendo los registros del Manejador de Excepciones Estructurado (SEH). Los atacantes pueden crear una carga útil maliciosa que desencadena un desbordamiento de búfer cuando se pega en el cuadro de texto Custom Command, lo que permite la ejecución remota de código y el lanzamiento de la calculadora como prueba de concepto.
  • Vulnerabilidad en Sistema de Archivos Electrónicos Tsinghua Unigroup (CVE-2026-2672)
    Severidad: MEDIA
    Fecha de publicación: 18/02/2026
    Fecha de última actualización: 03/03/2026
    Se ha descubierto una falla de seguridad en el Sistema de Archivos Electrónicos Tsinghua Unigroup 3.2.210802(62532). Está afectada por esta vulnerabilidad la función Download del archivo /Search/Subject/downLoad. La manipulación del argumento path provoca un salto de ruta. El ataque puede llevarse a cabo de forma remota. El exploit ha sido publicado y puede ser utilizado para ataques. Se contactó pronto con el proveedor sobre esta divulgación, pero no respondió de ninguna manera.
  • Vulnerabilidad en Sistema de Archivos Electrónicos Tsinghua Unigroup (CVE-2026-2682)
    Severidad: MEDIA
    Fecha de publicación: 18/02/2026
    Fecha de última actualización: 03/03/2026
    Se ha encontrado una vulnerabilidad en el Sistema de Archivos Electrónicos Tsinghua Unigroup hasta la versión 3.2.210802(62532). Está afectada una función desconocida del archivo /mine/PublicReport/prinReport.html?token=java. La manipulación del argumento comid provoca una inyección SQL. El ataque puede lanzarse en remoto. El exploit ha sido divulgado al público y puede ser utilizado. Se contactó pronto con el proveedor sobre esta divulgación, pero no respondió.
  • Vulnerabilidad en Tsinghua Unigroup Electronic Archives System (CVE-2026-2683)
    Severidad: MEDIA
    Fecha de publicación: 18/02/2026
    Fecha de última actualización: 03/03/2026
    Se encontró una vulnerabilidad en Tsinghua Unigroup Electronic Archives System 3.2.210802(62532). El elemento afectado es una función desconocida del archivo /Using/Subject/downLoad.html. Se se realizauna manipulación del argumento path se logra realizar un salto de ruta. El ataque puede iniciarse en remoto. El exploit se ha hecho público y podría utilizarse. Se contactó pronto con el proveedor sobre esta divulgación, pero no ha respondido.
  • Vulnerabilidad en Electronic Archives System (CVE-2026-2684)
    Severidad: MEDIA
    Fecha de publicación: 19/02/2026
    Fecha de última actualización: 03/03/2026
    Se determinó una vulnerabilidad en el Sistema de Archivos Electrónicos Tsinghua Unigroup hasta la versión 3.2.210802(62532). El elemento afectado es una función desconocida del archivo /Archive/ErecordManage/uploadFile.html. La ejecución de una manipulación del argumento File puede llevar a una carga sin restricciones. El ataque puede lanzarse de forma remota. El exploit ha sido divulgado públicamente y puede ser utilizado. El proveedor fue contactado tempranamente sobre esta divulgación, pero no respondió de ninguna manera.
  • Vulnerabilidad en WorkTime (CVE-2025-15559)
    Severidad: CRÍTICA
    Fecha de publicación: 19/02/2026
    Fecha de última actualización: 03/03/2026
    Un atacante no autenticado puede inyectar comandos del SO al llamar a un endpoint de la API del servidor en NesterSoft WorkTime. La llamada a la API del servidor para generar y descargar el cliente de WorkTime desde el servidor de WorkTime es vulnerable en el parámetro 'guid'. Esto permite a un atacante ejecutar comandos arbitrarios en el servidor de WorkTime como NT Authority\SYSTEM con los privilegios más altos. Los atacantes pueden acceder o manipular datos sensibles y tomar el control de todo el servidor.
  • Vulnerabilidad en Semantic Kernel (CVE-2026-26030)
    Severidad: CRÍTICA
    Fecha de publicación: 19/02/2026
    Fecha de última actualización: 03/03/2026
    Semantic Kernel, el SDK de Python de kernel semántico de Microsoft, tiene una vulnerabilidad de ejecución remota de código en versiones anteriores a la 1.39.4, específicamente dentro de la funcionalidad de filtro de 'InMemoryVectorStore'. El problema ha sido solucionado en la versión 'python-1.39.4'. Los usuarios deberían actualizar a esta versión o una superior. Como solución alternativa, evite usar 'InMemoryVectorStore' para escenarios de producción.
  • Vulnerabilidad en Hyland Alfresco (CVE-2026-26336)
    Severidad: ALTA
    Fecha de publicación: 19/02/2026
    Fecha de última actualización: 03/03/2026
    Hyland Alfresco permite a atacantes no autenticados leer archivos arbitrarios de directorios protegidos (como WEB-INF) a través del endpoint '/share/page/resource/', lo que lleva a la divulgación de archivos de configuración sensibles.
  • Vulnerabilidad en datapizza-labs datapizza-ai (CVE-2026-2970)
    Severidad: BAJA
    Fecha de publicación: 23/02/2026
    Fecha de última actualización: 03/03/2026
    Se ha encontrado una vulnerabilidad en datapizza-labs datapizza-ai 0.0.2 que afecta a la función RedisCache del archivo datapizza-ai-cache/redis/datapizza/cache/redis/cache.py. Al manipularla se logra realizar una deserialización. El ataque requiere estar en la red local. El ataque es de complejidad alta y difícil de explotar. El exploit ha sido divulgado al público y puede ser usado. El proveedor fue contactado con antelación sobre esta divulgación pero no respondió de ninguna manera.