Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • Vulnerabilidad en Microsoft Windows Server 2003, Windows Vista, Windows Server 2008, Windows 7 y Office 2007 (CVE-2014-4077)
    Severidad: ALTA
    Fecha de publicación: 11/11/2014
    Fecha de última actualización: 22/04/2026
    Microsoft Windows Server 2003 SP2, Windows Vista SP2, Windows Server 2008 SP2 y R2 SP1, Windows 7 SP1, y Office 2007 SP3, cuando IMJPDCT.EXE (también conocido como IME para japonés) está instalado, permiten a atacantes remotos evadir un mecanismo de protección sandbox a través de un documento PDF manipulado, también conocido como 'vulnerabilidad de la elevación de privilegios de Microsoft IME (japonés),' tal y como fue utilizado activamente en 2014.
  • Vulnerabilidad en Microsoft Excel (CVE-2007-0671)
    Severidad: ALTA
    Fecha de publicación: 03/02/2007
    Fecha de última actualización: 22/04/2026
    Una vulnerabilidad no especificada en Microsoft Excel 2000, XP, 2003 y 2004 para Mac, y posiblemente otros productos de Office, permite a atacantes asistidos por el usuario ejecutar código arbitrario por medio de vectores de ataque desconocidos, como es demostrado por el archivo Exploit-MSExcel.h en ataques de día cero dirigidos.
  • Vulnerabilidad en pinchtab (CVE-2026-33619)
    Severidad: MEDIA
    Fecha de publicación: 26/03/2026
    Fecha de última actualización: 22/04/2026
    PinchTab es un servidor HTTP autónomo que otorga a los agentes de IA control directo sobre un navegador Chrome. PinchTab v0.8.3 contiene un problema de falsificación de petición del lado del servidor en la ruta de entrega de webhook del programador opcional. Cuando se envía una tarea a 'POST /tasks' con una 'callbackUrl' controlada por el usuario, el programador v0.8.3 envía un 'POST' HTTP saliente a esa URL cuando la tarea alcanza un estado terminal. En esa versión, la ruta del webhook validaba solo el esquema de la URL y no rechazaba destinos de bucle invertido, privados, de enlace local u otros no públicos. Debido a que la implementación v0.8.3 también utilizaba el comportamiento predeterminado del cliente HTTP, se seguían las redirecciones y el destino no estaba fijado a IPs validadas. Esto permitía SSRF ciego desde el servidor PinchTab a objetivos HTTP(S) elegidos por el atacante accesibles desde el servidor. Este problema es más limitado que un SSRF general no autenticado y expuesto a internet. El programador es opcional y está desactivado por defecto, y en implementaciones protegidas por token el atacante ya debe ser capaz de enviar tareas utilizando el token maestro de la API del servidor. En el modelo de implementación previsto de PinchTab, ese token representa control administrativo en lugar de un rol de bajo privilegio. Las implementaciones sin token reducen aún más la barrera, pero eso es un estado de configuración inseguro separado en lugar del impacto creado por el propio error del webhook. El modelo de implementación predeterminado de PinchTab es local-first y controlado por el usuario, con enlace de bucle invertido y acceso basado en token en la configuración recomendada. Eso reduce el riesgo práctico en el uso predeterminado, aunque no elimina el problema subyacente del webhook cuando el programador está habilitado y es accesible. Esto se abordó en la v0.8.4 validando los objetivos de callback antes del envío, rechazando rangos de IP no públicos, fijando la entrega a IPs validadas, deshabilitando el seguimiento de redirecciones y validando 'callbackUrl' durante el envío de tareas.
  • Vulnerabilidad en pinchtab (CVE-2026-33621)
    Severidad: MEDIA
    Fecha de publicación: 26/03/2026
    Fecha de última actualización: 22/04/2026
    PinchTab es un servidor HTTP autónomo que otorga a los agentes de IA control directo sobre un navegador Chrome. PinchTab 'v0.7.7' hasta 'v0.8.4' contienen protecciones incompletas de limitación de solicitudes para puntos finales verificables por autenticación. En 'v0.7.7' hasta 'v0.8.3', existía un 'RateLimitMiddleware' completamente implementado en 'internal/handlers/middleware.go' pero no fue insertado en la cadena de gestores HTTP de producción, por lo que las solicitudes no estaban sujetas a la limitación por IP prevista. En el mismo rango pre-'v0.8.4', el limitador original también identificaba a los clientes usando 'X-Forwarded-For', lo que habría permitido la suplantación de encabezados controlada por el cliente si el middleware hubiera estado habilitado. 'v0.8.4' abordó esos dos problemas conectando el limitador a la cadena de gestores activa y cambiando la clave a la IP del par inmediato, pero aún eximía a '/health' y '/metrics' de la limitación de velocidad a pesar de que '/health' seguía siendo un punto final verificable por autenticación cuando se configuraba un token. Este problema debilita la defensa en profundidad para implementaciones donde un atacante puede alcanzar la API, especialmente si se utiliza un token débil elegido por humanos. No es una omisión de autenticación directa o un problema de divulgación de tokens por sí mismo. PinchTab está documentado como local-first por defecto y utiliza '127.0.0.1' más un token aleatorio generado en la configuración recomendada. El modelo de implementación predeterminado de PinchTab es un entorno local-first, controlado por el usuario, entre el usuario y sus agentes; una exposición más amplia es una elección intencional del operador. Esto reduce el riesgo práctico en la configuración predeterminada, aunque por sí mismo no cambia las características base intrínsecas del error. Esto fue completamente abordado en 'v0.8.5' aplicando 'RateLimitMiddleware' en la cadena de gestores de producción, derivando la dirección del cliente de la IP del par inmediato en lugar de confiar en los encabezados reenviados por defecto, y eliminando la exención de '/health' y '/metrics' para que los puntos finales verificables por autenticación también sean limitados.
  • Vulnerabilidad en JAD Java Decompiler de Varaneckas (CVE-2016-20049)
    Severidad: CRÍTICA
    Fecha de publicación: 28/03/2026
    Fecha de última actualización: 22/04/2026
    JAD 1.5.8e-1kali1 y versiones anteriores contiene una vulnerabilidad de desbordamiento de búfer basado en pila que permite a los atacantes ejecutar código arbitrario al proporcionar una entrada sobredimensionada que excede los límites del búfer. Los atacantes pueden crear cadenas de entrada maliciosas que excedan los 8150 bytes para desbordar la pila, sobrescribir direcciones de retorno y ejecutar shellcode en el contexto de la aplicación.