TheNote
RSS cisa.gov | Boletines Nota
GooglePlay AppStore

RSS cisa.gov | Boletines

El sitio web de la Agencia de Ciberseguridad y Seguridad de la Infraestructura (CISA) ofrece una gran cantidad de información sobre la protección de la infraestructura crítica y el fortalecimiento de la ciberseguridad. Ofrece recursos para empresas, agencias gubernamentales y particulares para comprender y abordar los riesgos de ciberseguridad. Las características clave incluyen alertas de amenazas, prácticas de seguridad recomendadas y orientación sobre cómo responder a incidentes. El sitio también ofrece actualizaciones sobre amenazas y vulnerabilidades emergentes, así como herramientas y servicios para ayudar a mejorar la postura de seguridad de su organización.
Bulletins cisa.gov
RSS feeds.feedburner.com
RSS Hunter RSS Hunter • 22 ago 2024

Hilo de notas

Resumen de vulnerabilidades de la semana del 25 de agosto de 2025

Una vulnerabilidad de inyección SQL existe en el sistema de presentación y evaluación de informes de proyectos en línea "1000projects" versión 1.0, permitiendo a atacantes remotos manipular el argumento batch_id. Las versiones de Yahoo! WebPlayer hasta la 2.0.6 se ven afectadas por Cross-site Scripting (XSS) Reflejado. WPMU Ldap Authentication versiones hasta la 5.0.1 sufren de Cross-Site Request Forgery (CSRF) que lleva a Stored XSS. La versión hasta la 1.5.3 de "Drag and Drop File Upload for Elementor Forms" tiene una vulnerabilidad de carga de archivos sin restricciones que permite la carga de web shells. "Agiloft Release 28" tiene paquetes críticos del sistema descargados a través de HTTP inseguro y contiene credenciales por defecto para escalada de privilegios. "QbiCRMGateway" de Ai3 tiene una vulnerabilidad de lectura de archivos arbitrarios a través de Relative Path Traversal. Las plataformas Arista EOS pueden aceptar paquetes UDP mal formados en el puerto 3503. El plugin "Poll, Survey & Quiz Maker" de Opinion Stage versiones hasta la 19.11.0 permite la inclusión de archivos locales en PHP. Las versiones de Asterisk anteriores a la 20.15.2, 21.10.2 y 22.5.2 tienen una vulnerabilidad de bloqueo en res_pjsip_authenticator_digest debido al manejo inadecuado de las cabeceras de autorización SIP. "Tiktok Feed" de bPlugins versiones hasta la 1.0.21 tienen una vulnerabilidad de autorización faltante.
Vulnerability Summary for the Week of August 25, 2025 cisa.gov
RSS Hunter RSS Hunter • 2 sept 2025

Resumen de vulnerabilidades para la semana del 18 de agosto de 2025

Se han identificado varios productos de software con vulnerabilidades significativas. Las versiones de VaulTLS anteriores a la 0.9.1 sufren un bypass de autenticación, permitiendo inicios de sesión con contraseñas vacías. Elite Video Player hasta la versión 10.0.5 tiene una vulnerabilidad de Cross-Site Scripting. Ads.txt Guru Connect, hasta la versión 1.1.1, es susceptible a Cross-Site Request Forgery. Las versiones de Audiobookshelf entre la 2.6.0 y la 2.26.3 tienen una vulnerabilidad de callback OpenID Connect que lleva a la apropiación de cuentas. Aiven-db-migrate, en versiones anteriores a la 1.0.7, contiene fallos de escalada de privilegios en migraciones de PostgreSQL. BuddyPress XProfile Custom Image Field hasta la versión 3.0.1 permite el recorrido de directorios. Los plugins FunnelKit Automations y Funnel Builder exponen información confidencial a través de un shortcode. Las versiones de Pin WP anteriores a la 7.2 permiten cargas de archivos sin restricciones de tipos peligrosos. Eventin AI Powered Event Manager, hasta la versión 4.0.37, tiene una vulnerabilidad de Server-Side Request Forgery. Ashlar-Vellum Cobalt y productos relacionados, anteriores a la 12.6.1204.204, tienen múltiples vulnerabilidades que conducen a la ejecución de código arbitrario debido a un análisis de archivos incorrecto. AVEVA PI Integrator permite a usuarios autenticados persistir archivos ejecutables. NEX-Forms, hasta la versión 9.1.3, es vulnerable a CSRF. ZoloBlocks, hasta la versión 2.3.2, tiene una vulnerabilidad de inclusión remota de archivos PHP. Belkin AX1800 versión 1.1.00.016 tiene una vulnerabilidad en el manejador de actualizaciones de firmware. Screenshot-desktop, en versiones anteriores a la 1.15.2, permite la inyección de comandos. SEOPress for MainWP, hasta la versión 1.4, tiene una vulnerabilidad de inclusión remota de archivos PHP. Oik, hasta la versión 4.15.2, tiene una vulnerabilidad de Cross-Site Scripting. SureDash, hasta la versión 1.0.3, tiene una vulnerabilidad de asignación incorrecta de privilegios. Los plugins Bravis User y Case Theme User, hasta las versiones 1.0.0 y 1.0.3 respectivamente, tienen vulnerabilidades de bypass de autenticación. Las versiones web de Centreon se ven afectadas por vulnerabilidades de inyección SQL en los registros de eventos y las páginas de indicadores de servicios meta. Caliris, hasta la versión 1.5, y Paid Member Subscriptions, hasta la versión 2.15.4, tienen vulnerabilidades de inclusión remota de archivos PHP. WP Webhooks, hasta la versión 3.3.5, permite la copia arbitraria de archivos. CM Map Locations, hasta la versión 2.1.6, tiene una vulnerabilidad de Cross-Site Scripting.
Vulnerability Summary for the Week of August 18, 2025 cisa.gov
RSS Hunter RSS Hunter • 25 ago 2025

Resumen de Vulnerabilidades de la Semana del 11 de agosto de 2025

Se han divulgado públicamente varias vulnerabilidades críticas que son potencialmente explotables. El Sistema de Gestión de Ventas de 1000 Proyectos, versión 1.0, se ve afectado por múltiples vulnerabilidades de inyección SQL en varios archivos PHP, lo que permite ataques remotos. El Sistema de Gestión de Documentos Oficiales de 2100 Technology tiene una falla crítica de omisión de autenticación, que permite a usuarios no autenticados obtener tokens de conexión y acceder. El plugin Assistant for NextGEN Gallery de WordPress tiene una vulnerabilidad de eliminación de directorios, que podría causar una pérdida total de disponibilidad. Los productos de ABB, incluidos ASPECT y ABB AbilityTM zenon, presentan varios problemas como inyección de código, credenciales de forma inadecuada protegidas, omisión de autorización y falta de autenticación para funciones críticas. WP REST Cache de Acato tiene una vulnerabilidad de inclusión remota de archivos PHP. Las versiones de Adobe Commerce anteriores a parches específicos son susceptibles a Cross-Site Request Forgery y Cross-Site Scripting almacenado, con potencial de escalada de privilegios y compromiso de datos. Adobe Commerce también se enfrenta a una validación de entrada inadecuada que conduce a denegación de servicio y autorización incorrecta que permite la omisión de seguridad. Múltiples productos de Adobe, incluidos Framemaker, Animate, Illustrator, InCopy e InDesign Desktop, tienen varias vulnerabilidades de corrupción de memoria como Uso Después de Liberar, escrituras fuera de límites y desbordamientos de búfer. Estas vulnerabilidades de Adobe generalmente requieren interacción del usuario, a menudo a través de la apertura de archivos maliciosos, para lograr la ejecución de código arbitrario. La gravedad general de estas vulnerabilidades divulgadas es alta, con puntuaciones CVSS que varían significativamente.
Vulnerability Summary for the Week of August 11, 2025 cisa.gov
RSS Hunter RSS Hunter • 18 ago 2025

Resumen de vulnerabilidades de la semana del 4 de agosto de 2025

Las versiones 6.5.23 y anteriores de Adobe Experience Manager son vulnerables a una mala configuración que permite la ejecución de código arbitrario y XXE, lo que lleva a la lectura del sistema de archivos. Las versiones 5.22.9 y anteriores de ADOdb tienen una vulnerabilidad de inyección de SQL en métodos específicos cuando se utilizan con SQLite. El plugin de WordPress Eventin, hasta la versión 4.0.34, permite la escalada de privilegios a través de la toma de cuentas. Autodesk 3ds Max es susceptible a la ejecución de código arbitrario desde archivos RBG y TGA maliciosos debido a la escritura fuera de los límites y la corrupción de la memoria. Las versiones 2.00.04/2.00.09 de Belkin F9K1009 y F9K1010 contienen credenciales codificadas de forma crítica en su interfaz web. Los dispositivos Burk Technology ARC Solo permiten a los atacantes no autenticados cambiar la contraseña del administrador. La biblioteca react-native-bottom-tabs, hasta la versión 0.9.2, tiene una vulnerabilidad de flujo de trabajo que permite la ejecución de código arbitrario y la extracción de secretos. Las versiones del plugin GLPI-screenshot-plugin por debajo de 2.0.2 permiten a los usuarios autenticados filtrar archivos o utilizar wrappers de PHP. CesiumLab Web, hasta la versión 4.0, tiene una vulnerabilidad de inyección de SQL crítica que afecta a su componente lodmodels. El plugin CleverReach WP para WordPress, hasta la versión 1.5.20, es vulnerable a la inyección de SQL basada en el tiempo a través del parámetro 'título'. Code-projects Online Medicine Guide 1.0 y Simple Art Gallery 1.0 sufren de vulnerabilidades de inyección de SQL críticas. CODESYS Control RTE (SL) permite a los atacantes de baja privilegios leer y escribir certificados y claves, y también tiene una vulnerabilidad de puntero nulo. Las versiones del editor de código Cursor por debajo de 1.3.9 pueden permitir a los atacantes escribir en archivos de espacio de trabajo sin aprobación, lo que podría llevar a la ejecución de código arbitrario. El cliente de servicio Assemblyline 4, antes de la versión 4.6.1.dev138, es vulnerable a la travesía de rutas. Las versiones 0.0.6 a 0.7.7-rc1 de LibreChat exponen un punto final de prueba que permite la lectura arbitraria de chat. Las versiones de DELMIA Apriso de 2020 a 2025 tienen autorización y vulnerabilidades de inyección de código faltantes. Las versiones de Dell Avamar anteriores a 19.12 tienen una vulnerabilidad de permisos de HTTP de confianza en el servidor. Las versiones de Dell Digital Delivery anteriores a 5.6.1.0 tienen credenciales insuficientemente protegidas. Las versiones de Dell ECS anteriores a 3.8.1.5 y ObjectScale 4.0.0.0 utilizan claves criptográficas codificadas. La versión 4.5.0 de Dell Enterprise SONiC OS tiene una vulnerabilidad de clave criptográfica en SSH. Las versiones de Dell PowerProtect Data Domain y DD OS tienen una vulnerabilidad de omisión de autenticación por suplantación.
Vulnerability Summary for the Week of August 4, 2025 cisa.gov
RSS Hunter RSS Hunter • 11 ago 2025

Resumen de Vulnerabilidades de la Semana del 28 de Julio de 2025

Varios productos de software contienen vulnerabilidades críticas, lo que supone riesgos de seguridad significativos. Estas vulnerabilidades van desde ataques de denegación de servicio hasta ejecución de código remoto y escalada de privilegios. El software afectado incluye vproxy, 1Panel, Copyparty, PowerCMS y Pearcleaner, entre otros. Las vulnerabilidades se deben a various causas, como el manejo inseguro de la entrada de usuario, la verificación incompleta de certificados y la validación insuficiente de la entrada. Muchas vulnerabilidades permiten a los atacantes ejecutar código arbitrario, comprometer la seguridad del sistema y potencialmente robar datos sensibles. Se han lanzado parches para algunas de las vulnerabilidades identificadas, pero otras siguen sin parches. Las puntuaciones del Sistema de Puntuación de Vulnerabilidades Comunes (CVSS) van desde 7.2 a 9.9, lo que indica un nivel de gravedad alto. Existen exploits públicamente disponibles para algunas vulnerabilidades, lo que aumenta la urgencia de aplicar actualizaciones y mitigaciones. Las organizaciones que utilizan estos productos deben priorizar la aplicación de parches de seguridad de inmediato.
Vulnerability Summary for the Week of July 28, 2025 cisa.gov
RSS Hunter RSS Hunter • 4 ago 2025

Resumen de Vulnerabilidades para la semana del 7 de abril de 2025

Las vulnerabilidades listadas afectan a diversos softwares y hardwares, que van desde dispositivos industriales hasta aplicaciones web y plugins. Varias vulnerabilidades en el gestor de datos SENTRON 7KT PAC1260 permiten la ejecución remota de código. Una vulnerabilidad en la interfaz gráfica de usuario (GUI) de Fortinet FortiSwitch permite cambios de contraseña sin autenticación. Las versiones del Kit de Dispositivo Industrial Edge presentan una vulnerabilidad de omisión de autenticación. Una vulnerabilidad en el framework de TOTVS permite omitir la autenticación multifactor. Las versiones de Yii 2 anteriores a la 2.0.52 presentan un manejo incorrecto de los adjuntos de comportamiento. El plugin Simple WP Events es vulnerable a la eliminación arbitraria de archivos. Un kit de desarrollo de software de Mediatek tiene una vulnerabilidad de escritura fuera de límites. Numerosas vulnerabilidades en RUoYi v.4.8.0 permiten la escalada de privilegios. Se identificaron muchas otras vulnerabilidades, incluyendo inyecciones SQL, controles de acceso inadecuados y problemas de contraseñas predeterminadas en diferentes productos.
Vulnerability Summary for the Week of April 7, 2025 cisa.gov
RSS Hunter RSS Hunter • 14 abr 2025

Resumen de vulnerabilidades para la semana del 31 de marzo de 2025

Este texto resume varias vulnerabilidades de alta severidad encontradas en diversos productos de software. Estas vulnerabilidades varían desde Cross-Site Request Forgery (CSRF) e Inyección SQL hasta Inclusión Remota de Código y escalada de privilegios. AB Google Map Travel de Aboobacker y Varnish WordPress de AdminGeekZ están afectados por CSRF. Countdown & Clock de adamskaat tiene una vulnerabilidad de Path Traversal, y su plugin de WordPress tiene un problema de Inclusión Local de Archivos. Ads by WPQuads es vulnerable a Inyección SQL y a la falta de comprobaciones de autorización. ruoyi-ai de ageerle tiene problemas de autorización incorrecta que pueden ser explotados remotamente. El asistente de escritura de contenido de aitool es susceptible a Inyección SQL a Ciegas. Aiven-extras tiene una vulnerabilidad de escalada de privilegios que permite convertirse en superusuario. macOS e iPadOS de Apple tienen múltiples vulnerabilidades, incluyendo escapes de sandbox, corrupción de memoria y escalada de privilegios, corregidas en actualizaciones recientes. El software AMD Ryzen AI tiene problemas de desbordamiento de enteros y permisos predeterminados incorrectos. Just Post Preview Widget de Alex Prokopenko tiene una vulnerabilidad de Inclusión Local de Archivos PHP, y el plugin Blubrry PowerPress de Angelo Mandato tiene un problema de Cross-site Scripting.
Vulnerability Summary for the Week of March 31, 2025 cisa.gov
RSS Hunter RSS Hunter • 7 abr 2025

Resumen de vulnerabilidades para la semana del 4 de noviembre de 2024

Se han descubierto múltiples vulnerabilidades en varios productos de software, incluyendo el sistema de gestión de salones de belleza de 1000 Proyectos y el sistema de gestión de librerías, Access Commander de 2N, Aero de 63moons, y otros. Estas vulnerabilidades van desde inyección de SQL y scripting de sitios cruzados (XSS) hasta travesía de rutas y escalada de privilegios. Los productos afectados incluyen sistemas de gestión, sistemas de control de acceso y aplicaciones de software. Las vulnerabilidades pueden ser explotadas de forma remota, lo que permite a los atacantes inyectar código malicioso, evitar la autenticación o escalar privilegios. Algunas de las vulnerabilidades han sido asignadas con puntuaciones CVSS altas, lo que indica un alto nivel de gravedad. Los productos afectados se utilizan en diversas industrias, incluyendo la atención médica, la educación y las finanzas. Se aconseja a los usuarios que actualicen a las versiones más recientes de los productos afectados para solucionar las vulnerabilidades. En algunos casos, las vulnerabilidades pueden ser explotadas por atacantes con privilegios bajos, lo que las hace más accesibles a actores maliciosos. Las vulnerabilidades fueron descubiertas por varios investigadores y han sido divulgadas al público. Se urge a los usuarios a tomar medidas inmediatas para parchear las vulnerabilidades y prevenir posibles ataques.
Vulnerability Summary for the Week of November 4, 2024 cisa.gov
RSS Hunter RSS Hunter • 12 nov 2024

Resumen de vulnerabilidades para la semana del 28 de octubre de 2024

Se han identificado múltiples vulnerabilidades en varios productos de software, incluyendo iOS, iPadOS, macOS y visionOS de Apple, así como AutoCAD de Autodesk y otras aplicaciones de terceros. Estas vulnerabilidades van desde el bypass de autenticación y la carga de archivos no restringida hasta la deserialización de datos no confiables, problemas de uso después de la liberación y vulnerabilidades de eliminación de ruta. Las puntuaciones del Sistema de Puntuación de Vulnerabilidades Comunes (CVSS) para estas vulnerabilidades varían, con algunas alcanzando un máximo de 10, lo que indica un nivel de gravedad crítico.Los productos de Apple afectados han sido parcheados en actualizaciones recientes, incluyendo iOS 18.1, iPadOS 18.1, macOS Ventura 13.7.1 y macOS Sonoma 14.7.1. Autodesk también ha lanzado parches para las vulnerabilidades identificadas en AutoCAD. Se aconseja a los usuarios que actualicen su software a las versiones más recientes para mitigar estas vulnerabilidades.Además de Apple y Autodesk, otros proveedores también han sido afectados, incluyendo acnoo, adirectory, Ajar Productions, Amin Omer, amu02aftab, Andy Moyle y Apache Software Foundation. Las vulnerabilidades identificadas en estos productos incluyen el bypass de autenticación, la carga de archivos no restringida y la ejecución arbitraria de código corto.Las puntuaciones CVSS para estas vulnerabilidades van desde 7.1 a 10, lo que indica un nivel de gravedad moderado a crítico. Se aconseja a los usuarios que actualicen su software a las versiones más recientes y sigan las mejores prácticas para mitigar estas vulnerabilidades.
Vulnerability Summary for the Week of October 28, 2024 cisa.gov
RSS Hunter RSS Hunter • 4 nov 2024

Resumen de vulnerabilidades para la semana del 21 de octubre de 2024

Se han reportado varias vulnerabilidades de alto nivel en diversos productos, incluyendo Admin Verbalize WP, advancedcoding Comments wpDiscuz, Alexander De Ridder INK Official, Amazon ApplicationLoadBalancer Identity AspNetCore Middleware y Amazon AWS ALB Route Directive Adapter For Istio. Estas vulnerabilidades incluyen la subida de archivos sin restricciones con tipos peligrosos, eludir la autenticación y la falta de validación de la entrada del usuario.El plugin Admin Verbalize WP para WordPress tiene una vulnerabilidad que permite a un atacante subir una shell web a un servidor web, mientras que el plugin advancedcoding Comments wpDiscuz tiene una vulnerabilidad de eludir la autenticación que permite a un atacante iniciar sesión como cualquier usuario existente. El plugin Alexander De Ridder INK Official también tiene una vulnerabilidad de subida de archivos sin restricciones con tipos peligrosos.El Amazon ApplicationLoadBalancer Identity AspNetCore Middleware y el Amazon AWS ALB Route Directive Adapter For Istio tienen vulnerabilidades que permiten a un atacante suplantar sesiones federadas OIDC y eludir la autenticación.Otros productos con vulnerabilidades reportadas incluyen appcheap App Builder, baserproject basercms, buddypress BuddyPress y Cisco Adaptive Security Appliance Software. Las vulnerabilidades en estos productos incluyen escalada de privilegios, scripting entre sitios, travesía de directorios y condiciones de denegación de servicio.Es esencial parchear estas vulnerabilidades para prevenir posibles ataques y garantizar la seguridad de los sistemas afectados.
Vulnerability Summary for the Week of October 21, 2024 cisa.gov
RSS Hunter RSS Hunter • 28 oct 2024

Resumen de vulnerabilidades para la semana del 14 de octubre de 2024

- Los grupos de enlaces sociales de Acespritech Solutions Pvt. Ltd. tienen una vulnerabilidad de inyección de SQL que permite la inyección de SQL ciega, lo que afecta a las versiones de n/a a 1.1.0. - Apache CloudStack tiene una vulnerabilidad en la que los nuevos conjuntos de configuraciones creados a través de un comando de restauración no se establecen como "de confianza", lo que podría provocar la carga de código personalizado en los cargadores de clases, lo que afecta a las versiones de 6.6.0 antes de 8.11.4 y 9.0.0 antes de 9.7.0. - Apache Solr tiene una vulnerabilidad de omisión de autenticación debido a una inicialización incorrecta de los recursos, lo que afecta a las versiones de 6.6.0 antes de 8.11.4 y 9.0.0 antes de 9.7.0. - Apache CloudStack tiene una vulnerabilidad en la que los usuarios pueden ser engañados para que envíen solicitudes CSRF maliciosas debido a la falta de validación del origen de las solicitudes, lo que afecta a las versiones de 4.15.1.0 a 4.18.2.3 y 4.19.0.0 a 4.19.1.1. - El complemento ARI-Adminer para WordPress de Arisoft es vulnerable a la omisión de autorización debido a la falta de controles de acceso a archivos, lo que afecta a las versiones hasta e incluyendo 1.1.14. - El complemento WP Timetics- AI-powered Appointment Booking Calendar and Online Scheduling de Arraytics para WordPress es vulnerable a la toma de cuenta/escalada de privilegios a través de una referencia de objeto directo insegura, lo que afecta a las versiones hasta e incluyendo 1.0.25. - La impresora de imágenes Ahime Image Printer de Ahime tiene una vulnerabilidad de recorrido de rutas, lo que afecta a las versiones de n/a a 1.0.0. - El complemento Recently para WordPress de Anand23 tiene una vulnerabilidad de omisión de autenticación, lo que afecta a las versiones de n/a a 1.1. - El complemento Better Author Bio para WordPress de Arif Nezami tiene una vulnerabilidad de falsificación de solicitud entre sitios (CSRF), lo que afecta a las versiones de n/a a 2.7.10.11. - Los complementos APA Register Newsletter Form y Apa Banner Slider para WordPress de Apa tienen vulnerabilidades de falsificación de solicitudes entre sitios (CSRF), lo que afecta a las versiones de n/a a 1.0.0.
Vulnerability Summary for the Week of October 14, 2024 cisa.gov
RSS Hunter RSS Hunter • 21 oct 2024