Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • Vulnerabilidad en Apache CXF de Apache Software Foundation (CVE-2026-50623)
    Severidad: MEDIA
    Fecha de publicación: 12/06/2026
    Fecha de última actualización: 05/11/2026
    Existe una vulnerabilidad de omisión de autenticación en el servicio OAuth2 TokenIntrospectionService en Apache CXF. Debido a la ausencia de la palabra clave ’throw’ en la verificación del contexto de seguridad, el endpoint de introspección (/services/oauth2/introspect) puede ser accedido por cualquier atacante de red no autenticado. Sin embargo, tenga en cuenta que esto es una salvaguarda solo en el caso de que alguien olvidara habilitar la autenticación en el servicio. Se recomienda a los usuarios actualizar a la versión 4.2.2 o 4.1.7, que corrige este problema.
  • Vulnerabilidad en Apache CXF de Apache Software Foundation (CVE-2026-50627)
    Severidad: CRÍTICA
    Fecha de publicación: 12/06/2026
    Fecha de última actualización: 05/11/2026
    La clase JwtAccessTokenValidator en Apache CXF no valida las reclamaciones ’aud’ (Audiencia) de los tokens de acceso JWT entrantes. Esto permite que un JWT emitido para un Servidor de Recursos sea reproducido con éxito contra un Servidor de Recursos completamente diferente, lo que lleva a ataques de Confusión/Enrutamiento de Tokens. Se recomienda a los usuarios actualizar a las versiones 4.2.2 o 4.1.7, que corrige este problema.
  • Vulnerabilidad en Apache CXF de Apache Software Foundation (CVE-2026-50628)
    Severidad: CRÍTICA
    Fecha de publicación: 12/06/2026
    Fecha de última actualización: 05/11/2026
    Un error lógico en OAuthRequestFilter rechaza solicitudes legítimas originadas desde la dirección IP vinculada, mientras permite ciegamente solicitudes desde cualquier otra dirección IP. Habilitar esta característica de seguridad crea inadvertidamente una verificación de seguridad inversa. Se recomienda a los usuarios actualizar a las versiones 4.2.2 o 4.1.7, que corrige este problema.
  • Vulnerabilidad en Apache CXF de Apache Software Foundation (CVE-2026-50629)
    Severidad: MEDIA
    Fecha de publicación: 12/06/2026
    Fecha de última actualización: 05/11/2026
    El parámetro ’clientId’ de las solicitudes HTTP entrantes se concatena directamente en los mensajes de advertencia del registro del servidor OAuth2 sin sanear los caracteres de control. Esto permite a un atacante inyectar contenido arbitrario, incluyendo entradas de registro falsas, en los archivos de registro del servidor. Se recomienda a los usuarios actualizar a las versiones 4.2.2 o 4.1.7, que corrigen este problema.
  • Vulnerabilidad en Apache CXF de Apache Software Foundation (CVE-2026-50630)
    Severidad: MEDIA
    Fecha de publicación: 12/06/2026
    Fecha de última actualización: 05/11/2026
    Una vulnerabilidad de inyección CRLF existe en la clase OAuth2 AuthorizationUtils. Al construir el encabezado de respuesta WWW-Authenticate, el parámetro ’realm’ se concatena sin sanear los caracteres de Retorno de Carro (CR) y Salto de Línea (LF). Si un atacante puede controlar el valor ’realm’, pueden inyectar encabezados HTTP arbitrarios o dividir la respuesta HTTP por completo. Se recomienda a los usuarios actualizar a las versiones 4.2.2 o 4.1.7, lo que soluciona este problema.
  • Vulnerabilidad en Apache CXF de Apache Software Foundation (CVE-2026-50631)
    Severidad: ALTA
    Fecha de publicación: 12/06/2026
    Fecha de última actualización: 05/11/2026
    Una condición de carrera en AbstractOAuthDataProvider permite que solicitudes concurrentes que utilizan el mismo Refresh Token eludan la semántica de un solo uso y generen múltiples Access Tokens válidos, cuando ’recycleRefreshTokens’ está configurado como falso. Un Refresh Token filtrado puede ser reproducido concurrentemente por múltiples atacantes o hilos. Se recomienda a los usuarios actualizar a las versiones 4.2.2 o 4.1.7, que corrige este problema.
  • Vulnerabilidad en Apache CXF de Apache Software Foundation (CVE-2026-50632)
    Severidad: ALTA
    Fecha de publicación: 12/06/2026
    Fecha de última actualización: 05/11/2026
    Se ha identificado una solución incompleta adicional para un aviso anterior CVE-2026-44417 (La configuración JMS no confiable puede conducir a RCE) para Apache CXF, lo que puede permitir capacidades de ejecución de código si se permite a usuarios no confiables configurar JMS para Apache CXF. Se recomienda a los usuarios actualizar a las versiones 4.2.2 o 4.1.7, lo que soluciona este problema.
  • Vulnerabilidad en Apache CXF de Apache Software Foundation (CVE-2026-50633)
    Severidad: ALTA
    Fecha de publicación: 12/06/2026
    Fecha de última actualización: 05/11/2026
    Una vulnerabilidad de inyección JNDI ha sido descubierta en el módulo de integración JCA de Apache CXF, que puede permitir la ejecución de código, si un atacante es capaz de manipular el descriptor de despliegue JCA (ra.xml) o los parámetros de activación en tiempo de ejecución. Se recomienda a los usuarios actualizar a las versiones 4.2.2 o 4.1.7, que corrige este problema.
  • Vulnerabilidad en Apache CXF de Apache Software Foundation (CVE-2026-50634)
    Severidad: MEDIA
    Fecha de publicación: 12/06/2026
    Fecha de última actualización: 05/11/2026
    Una vulnerabilidad en el JwsJsonContainerRequestFilter de Apache CXF puede ser explotada para hacer que CXF procese metadatos que no fueron autenticados por la firma aceptada. Esto puede eludir la suposición de la aplicación de que los metadatos de ’Content-Type’ aceptados o de encabezado HTTP protegido provenían de una entrada de firma verificada, y puede dirigir el análisis de entidades JAX-RS posterior o las comprobaciones de coherencia de encabezados firmados. Se recomienda a los usuarios actualizar a las versiones 4.2.2 o 4.1.7, que solucionan este problema.
  • Vulnerabilidad en Apache CXF de Apache Software Foundation (CVE-2026-50645)
    Severidad: ALTA
    Fecha de publicación: 12/06/2026
    Fecha de última actualización: 05/11/2026
    No hay restricción en la cantidad de encabezados de adjuntos que un mensaje puede contener al ser deserializado por Apache CXF, lo que puede llevar a un consumo descontrolado de recursos o un ataque de denegación de servicio. Se recomienda a los usuarios actualizar a las versiones 4.2.2 o 4.1.7, que solucionan este problema al imponer un máximo predeterminado de 500 adjuntos por mensaje.