Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • Vulnerabilidad en una petición de una collección en las configuraciones de autorización en Apache Solr (CVE-2018-11802)
    Severidad: MEDIA
    Fecha de publicación: 01/04/2020
    Fecha de última actualización: 15/04/2026
    En Apache Solr, el clúster puede ser particionado en varias colecciones y solo un subconjunto de nodos realmente aloja una colección determinada. Sin embargo, si un nodo recibe una petición de una colección que no aloja, envía la petición hacia un nodo relevante y sirve la petición. Solr omite todas las configuraciones de autorización para tales peticiones. Esto afecta a todas las versiones de Solr anteriores a 7.7 que usa el mecanismo de autorización predeterminado de Solr (RuleBasedAuthorizationPlugin).
  • Vulnerabilidad en la búsqueda de ID de Usuario en Special:Redirect en MediaWiki (CVE-2019-16738)
    Severidad: MEDIA
    Fecha de publicación: 26/09/2019
    Fecha de última actualización: 15/04/2026
    En MediaWiki versiones hasta 1.33.0, Special:Redirect permite la divulgación de información de nombres de usuario suprimidos por medio de una Búsqueda de ID de Usuario.
  • Vulnerabilidad en OctoRPKI (CVE-2021-3910)
    Severidad: MEDIA
    Fecha de publicación: 11/11/2021
    Fecha de última actualización: 15/04/2026
    OctoRPKI es bloqueado cuando encuentra un repositorio que devuelve un ROA inválido (sólo un carácter NUL (\0) codificado)
  • Vulnerabilidad en Eclipse OpenMQ de Eclipse Foundation (CVE-2026-24457)
    Severidad: CRÍTICA
    Fecha de publicación: 05/03/2026
    Fecha de última actualización: 15/04/2026
    Un análisis inseguro de la configuración de OpenMQ permite a un atacante remoto leer archivos arbitrarios de un servidor de MQ Broker. Una explotación completa podría leer archivos no autorizados del sistema operativo anfitrión de OpenMQ. En algunos escenarios se podría lograr RCE.
  • Vulnerabilidad en ownDMS de Owndms (CVE-2019-25580)
    Severidad: ALTA
    Fecha de publicación: 21/03/2026
    Fecha de última actualización: 15/04/2026
    ownDMS 4.7 contiene una vulnerabilidad de inyección SQL que permite a atacantes no autenticados ejecutar consultas SQL arbitrarias inyectando código malicioso a través del parámetro IMG. Los atacantes pueden enviar solicitudes GET a pdfstream.php, imagestream.php o anyfilestream.php con cargas útiles SQL manipuladas en el parámetro IMG para extraer información sensible de la base de datos, incluyendo la versión y los nombres de la base de datos.
  • Vulnerabilidad en ZOC Terminal de Emtec (CVE-2019-25589)
    Severidad: MEDIA
    Fecha de publicación: 22/03/2026
    Fecha de última actualización: 15/04/2026
    ZOC Terminal 7.23.4 contiene una vulnerabilidad de desbordamiento de búfer en el campo Shell de Configuración del Programa que permite a atacantes locales bloquear la aplicación al proporcionar una cadena excesivamente larga. Los atacantes pueden pegar una carga útil diseñada en el campo de configuración de Shell y provocar un bloqueo al acceder a la función Command Shell.
  • Vulnerabilidad en systemd (CVE-2026-29111)
    Severidad: MEDIA
    Fecha de publicación: 23/03/2026
    Fecha de última actualización: 15/04/2026
    systemd, un gestor de sistemas y servicios, (como PID 1) activa una aserción y congela la ejecución cuando se realiza una llamada a la API IPC no privilegiada con datos espurios. En la versión v249 y anteriores, el efecto no es una aserción, sino una sobrescritura de pila, con contenido controlado por el atacante. A partir de la versión v250 y posteriores, esto no es posible ya que la comprobación de seguridad provoca una aserción en su lugar. Esta llamada IPC se añadió en v239, por lo que las versiones anteriores a esa no están afectadas. Las versiones 260-rc1, 259.2, 258.5 y 257.11 contienen parches. No se conocen soluciones alternativas disponibles.
  • Vulnerabilidad en go-sdk de modelcontextprotocol (CVE-2026-33252)
    Severidad: ALTA
    Fecha de publicación: 24/03/2026
    Fecha de última actualización: 15/04/2026
    El SDK de Go MCP utilizaba el encoding/json estándar de Go. Antes de la versión 1.4.1, el transporte HTTP Streamable del SDK de Go aceptaba solicitudes 'POST' de sitio cruzado generadas por el navegador sin validar el encabezado 'Origin' y sin requerir 'Content-Type: application/json'. En implementaciones sin autorización, especialmente configuraciones sin estado o sin sesión, esto permite a un sitio web arbitrario enviar solicitudes MCP a un servidor local y potencialmente activar la ejecución de herramientas. La versión 1.4.1 contiene un parche para el problema.
  • Vulnerabilidad en Vitals ESP de Galaxy Software Services (CVE-2026-4639)
    Severidad: ALTA
    Fecha de publicación: 24/03/2026
    Fecha de última actualización: 15/04/2026
    Vitals ESP desarrollado por Galaxy Software Services tiene una vulnerabilidad de autorización incorrecta, permitiendo a atacantes remotos autenticados realizar ciertas funciones administrativas, escalando así privilegios.
  • Vulnerabilidad en Vitals ESP de Galaxy Software Services (CVE-2026-4640)
    Severidad: ALTA
    Fecha de publicación: 24/03/2026
    Fecha de última actualización: 15/04/2026
    Vitals ESP desarrollado por Galaxy Software Services tiene una vulnerabilidad de autenticación faltante, permitiendo a atacantes remotos no autenticados ejecutar ciertas funciones para obtener información sensible.
  • Vulnerabilidad en FlexHEX (CVE-2019-25627)
    Severidad: ALTA
    Fecha de publicación: 24/03/2026
    Fecha de última actualización: 15/04/2026
    FlexHEX 2.71 contiene una vulnerabilidad local de desbordamiento de búfer en el campo Stream Name que permite a atacantes locales ejecutar código arbitrario al desencadenar un desbordamiento del gestor de excepciones estructuradas (SEH). Los atacantes pueden crear un archivo de texto malicioso con shellcode y punteros de cadena SEH cuidadosamente alineados, pegar el contenido en el diálogo Stream Name, y ejecutar comandos arbitrarios como calc.exe cuando se desencadena el gestor de excepciones.
  • Vulnerabilidad en Zeeways Matrimony CMS (CVE-2019-25635)
    Severidad: ALTA
    Fecha de publicación: 24/03/2026
    Fecha de última actualización: 15/04/2026
    Zeeways Matrimony CMS contiene múltiples vulnerabilidades de inyección SQL que permiten a atacantes no autenticados manipular consultas a la base de datos a través del endpoint profile_list. Los atacantes pueden inyectar código SQL a través de los parámetros up_cast, s_mother y s_religion para extraer información sensible de la base de datos utilizando técnicas basadas en tiempo o basadas en errores.
  • Vulnerabilidad en Zeeways Jobsite CMS (CVE-2019-25636)
    Severidad: ALTA
    Fecha de publicación: 24/03/2026
    Fecha de última actualización: 15/04/2026
    Zeeways Jobsite CMS contiene una vulnerabilidad de inyección SQL que permite a atacantes no autenticados manipular consultas de base de datos inyectando código SQL a través del parámetro GET 'id'. Los atacantes pueden enviar solicitudes manipuladas a news_details.php, jobs_details.php o job_cmp_details.php con valores 'id' maliciosos utilizando sentencias GROUP BY y CASE para extraer información sensible de la base de datos.
  • Vulnerabilidad en CrewAI (CVE-2026-2285)
    Severidad: ALTA
    Fecha de publicación: 30/03/2026
    Fecha de última actualización: 15/04/2026
    CrewAI contiene una vulnerabilidad de lectura arbitraria de archivos locales en la herramienta de carga JSON que lee archivos sin validación de ruta, permitiendo el acceso a archivos en el servidor.
  • Vulnerabilidad en CrewAI (CVE-2026-2286)
    Severidad: CRÍTICA
    Fecha de publicación: 30/03/2026
    Fecha de última actualización: 15/04/2026
    CrewAI contiene una vulnerabilidad de falsificación de petición del lado del servidor que permite la adquisición de contenido de servicios internos y en la nube, facilitada por las herramientas de búsqueda RAG que no validan correctamente las URL proporcionadas en tiempo de ejecución.
  • Vulnerabilidad en CrewAI (CVE-2026-2287)
    Severidad: CRÍTICA
    Fecha de publicación: 30/03/2026
    Fecha de última actualización: 15/04/2026
    CrewAI no verifica correctamente que Docker sigue ejecutándose durante el tiempo de ejecución, y recurrirá a una configuración de sandbox que permite la explotación de RCE.