Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • Vulnerabilidad en tinyfiledialogs (CVE-2023-47104)
    Severidad: CRÍTICA
    Fecha de publicación: 30/10/2023
    Fecha de última actualización: 10/03/2026
    tinyfiledialogs (también conocido como diálogos de archivos pequeños) anteriores a 3.15.0 permite metacaracteres de shell (como comillas invertidas o un signo de dólar) en títulos, mensajes y otros datos de entrada. NOTA: este problema existe debido a una solución incompleta para CVE-2020-36767, que solo consideraba comillas simples y dobles.
  • Vulnerabilidad en Scheduling Plugin – Online Booking for WordPress para WordPress (CVE-2024-1634)
    Severidad: MEDIA
    Fecha de publicación: 18/06/2024
    Fecha de última actualización: 10/03/2026
    El complemento Scheduling Plugin – Online Booking for WordPress para WordPress es vulnerable a la pérdida no autorizada de datos debido a una falta de verificación de capacidad en la función 'cbsb_disconnect_settings' en todas las versiones hasta la 3.5.10 incluida. Esto hace posible que atacantes no autenticados desconecten el complemento del servicio de inicio de reservas y eliminen los datos de conexión.
  • Vulnerabilidad en Red Hat (CVE-2026-1616)
    Severidad: ALTA
    Fecha de publicación: 29/01/2026
    Fecha de última actualización: 10/03/2026
    La concatenación de $uri$args en el archivo de configuración de nginx presente en Open Security Issue Management (OSIM) anterior a la v2025.9.0 permite ataques de salto de ruta a través de parámetros de consulta.
  • Vulnerabilidad en libexpat (CVE-2026-25210)
    Severidad: MEDIA
    Fecha de publicación: 30/01/2026
    Fecha de última actualización: 10/03/2026
    En libexpat antes de 2.7.4, la función doContent no determina correctamente el tamaño del búfer bufSize porque no hay una comprobación de desbordamiento de entero para la reasignación del búfer de etiquetas.
  • Vulnerabilidad en Unity de Dell (CVE-2026-21418)
    Severidad: ALTA
    Fecha de publicación: 30/01/2026
    Fecha de última actualización: 10/03/2026
    Dell Unity, versión(es) 5.5.2 y anteriores, contiene una vulnerabilidad de Neutralización Incorrecta de Elementos Especiales utilizados en un Comando de SO (inyección de comandos de SO). Un atacante con pocos privilegios y acceso local podría potencialmente explotar esta vulnerabilidad, lo que llevaría a la ejecución arbitraria de comandos con privilegios de root.
  • Vulnerabilidad en UnityVSA de Dell (CVE-2026-22277)
    Severidad: ALTA
    Fecha de publicación: 30/01/2026
    Fecha de última actualización: 10/03/2026
    Dell UnityVSA, versión(es) 5.4 y anteriores, contiene una vulnerabilidad de Neutralización Incorrecta de Elementos Especiales utilizados en un Comando de SO ('inyección de comandos de SO'). Un atacante con privilegios bajos y acceso local podría potencialmente explotar esta vulnerabilidad, lo que lleva a la ejecución arbitraria de comandos con privilegios de root.
  • Vulnerabilidad en Eclipse Theia - Website (CVE-2026-1699)
    Severidad: CRÍTICA
    Fecha de publicación: 30/01/2026
    Fecha de última actualización: 10/03/2026
    En el repositorio de Eclipse Theia Website, el flujo de trabajo de GitHub Actions .github/workflows/preview.yml utilizó el disparador pull_request_target mientras extraía y ejecutaba código de solicitud de extracción no confiable. Esto permitió a cualquier usuario de GitHub ejecutar código arbitrario en el entorno de CI del repositorio con acceso a secretos del repositorio y un GITHUB_TOKEN con amplios permisos de escritura (contents:write, packages:write, pages:write, actions:write). Un atacante podría exfiltrar secretos, publicar paquetes maliciosos en la organización eclipse-theia, modificar el sitio web oficial de Theia y enviar código malicioso al repositorio.
  • Vulnerabilidad en EFM ipTIME A8004T (CVE-2026-1740)
    Severidad: MEDIA
    Fecha de publicación: 02/02/2026
    Fecha de última actualización: 10/03/2026
    Se encontró una vulnerabilidad en EFM ipTIME A8004T 14.18.2. Esto afecta a la función httpcon_check_session_url del archivo /cgi/timepro.cgi del componente Hidden Hiddenloginsetup Interface. La manipulación resulta en una autenticación impropia. El ataque puede realizarse de forma remota. El exploit se ha hecho público y podría ser utilizado. Se contactó con antelación al proveedor sobre esta divulgación, pero no respondió de ninguna manera.
  • Vulnerabilidad en EFM ipTIME A8004T (CVE-2026-1741)
    Severidad: MEDIA
    Fecha de publicación: 02/02/2026
    Fecha de última actualización: 10/03/2026
    Se determinó una vulnerabilidad en EFM ipTIME A8004T 14.18.2. Se ve afectada la función httpcon_check_session_url del archivo /sess-bin/d.cgi del componente Debug Interface. Esta manipulación del argumento cmd provoca una puerta trasera. Es posible iniciar el ataque remotamente. La complejidad de un ataque es bastante alta. Se dice que la explotabilidad es difícil. El exploit ha sido divulgado públicamente y puede ser utilizado. El proveedor fue contactado con antelación sobre esta divulgación, pero no respondió de ninguna manera.
  • Vulnerabilidad en EFM ipTIME A8004T (CVE-2026-1742)
    Severidad: MEDIA
    Fecha de publicación: 02/02/2026
    Fecha de última actualización: 10/03/2026
    Una vulnerabilidad fue identificada en EFM ipTIME A8004T 14.18.2. Afectada por esta vulnerabilidad es la función commit_vpncli_file_upload del archivo /cgi/timepro.cgi del componente Servicio VPN. Dicha manipulación conduce a una carga sin restricciones. Es posible lanzar el ataque de forma remota. El exploit está disponible públicamente y podría ser utilizado. El proveedor fue contactado con antelación sobre esta divulgación pero no respondió de ninguna manera.
  • Vulnerabilidad en MagicINFO 9 Server de Samsung Electronics (CVE-2026-25200)
    Severidad: CRÍTICA
    Fecha de publicación: 02/02/2026
    Fecha de última actualización: 10/03/2026
    Una vulnerabilidad en MagicInfo9 Server permite a usuarios autorizados subir archivos HTML sin autenticación, lo que lleva a XSS Almacenado, que puede resultar en la toma de control de la cuenta. Este problema afecta a MagicINFO 9 Server: versiones anteriores a 21.1090.1.
  • Vulnerabilidad en MagicINFO 9 Server de Samsung Electronics (CVE-2026-25201)
    Severidad: ALTA
    Fecha de publicación: 02/02/2026
    Fecha de última actualización: 10/03/2026
    Un usuario no autenticado puede cargar archivos arbitrarios para ejecutar código remoto, lo que lleva a una escalada de privilegios en el servidor MagicInfo9. Este problema afecta a MagicINFO 9 Server: versiones anteriores a 21.1090.1.
  • Vulnerabilidad en MagicINFO 9 Server de Samsung Electronics (CVE-2026-25202)
    Severidad: CRÍTICA
    Fecha de publicación: 02/02/2026
    Fecha de última actualización: 10/03/2026
    La cuenta y la contraseña de la base de datos están codificadas de forma rígida, permitiendo el inicio de sesión con la cuenta para manipular la base de datos en el servidor MagicInfo9. Este problema afecta a MagicINFO 9 Server: versiones inferiores a 21.1090.1.
  • Vulnerabilidad en E-Commerce Package de Farktor Software E-Commerce Services Inc. (CVE-2025-10969)
    Severidad: CRÍTICA
    Fecha de publicación: 12/02/2026
    Fecha de última actualización: 10/03/2026
    Vulnerabilidad de Neutralización Inadecuada de Elementos Especiales utilizados en un Comando SQL ('inyección SQL') en el Paquete de Comercio Electrónico de Farktor Software E-Commerce Services Inc. permite inyección SQL a ciegas. Este problema afecta al Paquete de Comercio Electrónico: hasta el 27112025.
  • Vulnerabilidad en E-Commerce Package de Farktor Software E-Commerce Services Inc. (CVE-2025-13002)
    Severidad: ALTA
    Fecha de publicación: 12/02/2026
    Fecha de última actualización: 10/03/2026
    Vulnerabilidad de Neutralización Incorrecta de la Entrada Durante la Generación de Páginas Web (XSS o 'cross-site scripting') en Farktor Software E-Commerce Services Inc. E-Commerce Package permite cross-site scripting (XSS). Este problema afecta a E-Commerce Package: hasta el 27112025.
  • Vulnerabilidad en E-Commerce Package (CVE-2025-13004)
    Severidad: MEDIA
    Fecha de publicación: 12/02/2026
    Fecha de última actualización: 10/03/2026
    Vulnerabilidad de elusión de autorización a través de clave controlada por el usuario en el Paquete de comercio electrónico de Farktor Software E-Commerce Services Inc. permite manipular variables controladas por el usuario. Este problema afecta al Paquete de comercio electrónico: hasta el 27112025.
  • Vulnerabilidad en BVA (CVE-2026-2439)
    Severidad: CRÍTICA
    Fecha de publicación: 16/02/2026
    Fecha de última actualización: 10/03/2026
    Las versiones de Concierge::Sessions desde la 0.8.1 anteriores a la 0.8.5 para Perl generan identificadores de sesión inseguros. La función generate_session_id en Concierge::Sessions::Base por defecto utiliza el comando uuidgen para generar un UUID, con un mecanismo de respaldo que usa la función rand incorporada de Perl. Ninguno de estos métodos es seguro, y los atacantes pueden adivinar los identificadores de sesión que pueden otorgarles acceso a los sistemas. Específicamente, * No hay ninguna advertencia cuando uuidgen falla. El software puede estar utilizando silenciosamente la función de respaldo rand() sin advertencias si el comando falla por cualquier motivo. * El comando uuidgen generará un UUID basado en el tiempo si el sistema no tiene una fuente de números aleatorios de alta calidad, porque la llamada no especifica explícitamente la opción --random. Tenga en cuenta que la hora del sistema se comparte en las respuestas HTTP. * Los UUID son identificadores cuya mera posesión otorga acceso, según la RFC 9562. * La salida de la función rand() incorporada es predecible e inadecuada para aplicaciones de seguridad.
  • Vulnerabilidad en Web Ofisi Platinum E-Ticaret (CVE-2019-25461)
    Severidad: ALTA
    Fecha de publicación: 22/02/2026
    Fecha de última actualización: 10/03/2026
    Web Ofisi Platinum E-Ticaret v5 contiene una vulnerabilidad de inyección SQL que permite a atacantes no autenticados manipular consultas de base de datos inyectando código SQL a través del parámetro 'q'. Los atacantes pueden enviar solicitudes POST al endpoint ajax/productsFilterSearch con valores 'q' maliciosos utilizando técnicas de inyección SQL ciega basada en tiempo para extraer información sensible de la base de datos.
  • Vulnerabilidad en Karakeep (CVE-2026-27627)
    Severidad: ALTA
    Fecha de publicación: 25/02/2026
    Fecha de última actualización: 10/03/2026
    Karakeep es una aplicación autohospedable para marcar (bookmark) todo. En la versión 0.30.0, cuando el plugin metascraper de Reddit devuelve 'readableContentHtml', el subproceso de análisis HTML lo utiliza directamente sin pasarlo por DOMPurify. Cada fuente de contenido diferente en el rastreador pasa por Readability + DOMPurify, pero la ruta de Reddit omite ambos. Dado que este contenido termina en 'dangerouslySetInnerHTML' en la vista de lectura, cualquier HTML malicioso en la respuesta de Reddit se ejecuta en el navegador del usuario. La versión 0.31.0 contiene un parche para este problema.
  • Vulnerabilidad en Storybook (CVE-2026-27148)
    Severidad: ALTA
    Fecha de publicación: 25/02/2026
    Fecha de última actualización: 10/03/2026
    Storybook es un taller de frontend para construir componentes de interfaz de usuario y páginas de forma aislada. Anteriormente a las versiones 7.6.23, 8.6.17, 9.1.19 y 10.2.10, la funcionalidad WebSocket en el servidor de desarrollo de Storybook, utilizada para crear y actualizar historias, es vulnerable a secuestro de WebSocket. Esta vulnerabilidad solo afecta al servidor de desarrollo de Storybook; las compilaciones de producción no se ven afectadas. La explotación requiere que un desarrollador visite un sitio web malicioso mientras su servidor de desarrollo local de Storybook está en ejecución. Debido a que la conexión WebSocket no valida el origen de las conexiones entrantes, un sitio malicioso puede enviar silenciosamente mensajes WebSocket a la instancia local sin ninguna interacción adicional del usuario. Si el servidor de desarrollo de Storybook se expone intencionalmente al público (por ejemplo, para revisiones de diseño o demostraciones a partes interesadas) el riesgo es mayor, ya que no se requiere la visita a un sitio malicioso. Cualquier atacante no autenticado puede enviarle mensajes WebSocket directamente. La vulnerabilidad afecta a los manejadores de mensajes WebSocket para crear y guardar historias. Ambos son vulnerables a la inyección a través de entrada no saneada en el campo componentFilePath, lo que puede ser explotado para lograr XSS persistente o Ejecución Remota de Código (RCE). Las versiones 7.6.23, 8.6.17, 9.1.19 y 10.2.10 contienen una solución para el problema.