Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • Vulnerabilidad en productos Korenix JetNet (CVE-2017-14021)
    Severidad: ALTA
    Fecha de publicación: 01/11/2017
    Fecha de última actualización: 17/01/2024
    Se ha descubierto un problema de uso de clave criptográfica embebida en Korenix JetNet JetNet5018G versión 1.4, JetNet5310G versión 1.4a, JetNet5428G-2G-2FX versión 1.4, JetNet5628G-R versión 1.4, JetNet5628G versión 1.4, JetNet5728G-24P versión 1.4, JetNet5828G versión 1.1d, JetNet6710G-HVDC versión 1.1e y JetNet6710G versión 1.1. Un atacante puede conseguir acceder a certificados y claves privadas embebidos, lo que le permite realizar ataques Man-in-the-Middle (MitM).
  • Vulnerabilidad en productos Korenix JetNet (CVE-2017-14027)
    Severidad: ALTA
    Fecha de publicación: 01/11/2017
    Fecha de última actualización: 17/01/2024
    Se ha descubierto un problema de uso de credenciales embebidaa en Korenix JetNet JetNet5018G versión 1.4, JetNet5310G versión 1.4a, JetNet5428G-2G-2FX versión 1.4, JetNet5628G-R versión 1.4, JetNet5628G versión 1.4, JetNet5728G-24P versión 1.4, JetNet5828G versión 1.1d, JetNet6710G-HVDC versión 1.1e y JetNet6710G versión 1.1. El software utiliza credenciales embebidas no documentadas que podrían permitir que un atacante obtuviese acceso remoto.
  • Vulnerabilidad en la Autorización en el uso de cuentas no documentadas en diversos dispositivos Pepperl+Fuchs P+F Comtrol RocketLinx (CVE-2020-12501)
    Severidad: ALTA
    Fecha de publicación: 15/10/2020
    Fecha de última actualización: 17/01/2024
    Una vulnerabilidad de Autorización Inapropiada de Pepperl+Fuchs P+F Comtrol RocketLinx ES7510-XT, ES8509-XT, ES8510-XT, ES9528-XTv2, ES7506, ES7510, ES7528, ES8508, ES8508F, ES8510, ES8510-XTE, ES9528-XT (todas las versiones), utilizan cuentas no documentadas
  • Vulnerabilidad en Fortanix EnclaveOS Confidential Computing Manager (CCM) Platform (CVE-2023-38021)
    Severidad: Pendiente de análisis
    Fecha de publicación: 30/12/2023
    Fecha de última actualización: 17/01/2024
    Se descubrió un problema en la plataforma Fortanix EnclaveOS Confidential Computing Manager (CCM) anterior a 3.32 para Intel SGX. La falta de lógica de validación de alineación del puntero en las funciones de entrada permite que un atacante local acceda a información no autorizada. Esto se relaciona con la función enclave_ecall y la capa de llamada al sistema.
  • Vulnerabilidad en Fortanix EnclaveOS Confidential Computing Manager (CCM) Platform (CVE-2023-38022)
    Severidad: Pendiente de análisis
    Fecha de publicación: 30/12/2023
    Fecha de última actualización: 17/01/2024
    Se descubrió un problema en Fortanix EnclaveOS Confidential Computing Manager (CCM) Platform anterior a 3.29 para Intel SGX. Una validación de puntero insuficiente permite que un atacante local acceda a información no autorizada. Esto se relaciona con strlen y sgx_is_within_user.
  • Vulnerabilidad en SCONE Confidential Computing Platform (CVE-2023-38023)
    Severidad: Pendiente de análisis
    Fecha de publicación: 30/12/2023
    Fecha de última actualización: 17/01/2024
    Se descubrió un problema en SCONE Confidential Computing Platform anterior a 5.8.0 para Intel SGX. La falta de lógica de alineación de puntero en __scone_dispatch y otras funciones de entrada permite que un atacante local acceda a información no autorizada, también conocida como "fuga AEPIC".
  • Vulnerabilidad en Newtonsoft.Json (CVE-2024-21907)
    Severidad: Pendiente de análisis
    Fecha de publicación: 03/01/2024
    Fecha de última actualización: 17/01/2024
    Newtonsoft.Json anterior a la versión 13.0.1 se ve afectado por una vulnerabilidad de manejo incorrecto de condiciones excepcionales. Los datos elaborados que se pasan al método JsonConvert.DeserializeObject pueden desencadenar una excepción de StackOverflow que provoque una denegación de servicio. Dependiendo del uso de la librería, un atacante remoto y no autenticado puede provocar la condición de denegación de servicio.
  • Vulnerabilidad en Microsoft (CVE-2024-20653)
    Severidad: Pendiente de análisis
    Fecha de publicación: 09/01/2024
    Fecha de última actualización: 17/01/2024
    Vulnerabilidad de elevación de privilegios del sistema de archivos de registro común de Microsoft
  • Vulnerabilidad en Visual Studio (CVE-2024-20656)
    Severidad: Pendiente de análisis
    Fecha de publicación: 09/01/2024
    Fecha de última actualización: 17/01/2024
    Vulnerabilidad de elevación de privilegios en Visual Studio
  • Vulnerabilidad en Windows (CVE-2024-20657)
    Severidad: Pendiente de análisis
    Fecha de publicación: 09/01/2024
    Fecha de última actualización: 17/01/2024
    Vulnerabilidad de elevación de privilegios en la política de grupo de Windows
  • Vulnerabilidad en Adobe Substance 3D Stager (CVE-2024-20714)
    Severidad: Pendiente de análisis
    Fecha de publicación: 10/01/2024
    Fecha de última actualización: 17/01/2024
    Las versiones 2.1.3 y anteriores de Adobe Substance 3D Stager se ven afectadas por una vulnerabilidad de lectura fuera de los límites que podría provocar la divulgación de memoria confidencial. Un atacante podría aprovechar esta vulnerabilidad para evitar mitigaciones como ASLR. La explotación de este problema requiere la interacción del usuario, ya que la víctima debe abrir un archivo malicioso.
  • Vulnerabilidad en Adobe Substance 3D Stager (CVE-2024-20715)
    Severidad: Pendiente de análisis
    Fecha de publicación: 10/01/2024
    Fecha de última actualización: 17/01/2024
    Las versiones 2.1.3 y anteriores de Adobe Substance 3D Stager se ven afectadas por una vulnerabilidad de lectura fuera de los límites que podría provocar la divulgación de memoria confidencial. Un atacante podría aprovechar esta vulnerabilidad para evitar mitigaciones como ASLR. La explotación de este problema requiere la interacción del usuario, ya que la víctima debe abrir un archivo malicioso.
  • Vulnerabilidad en SourceCodester Student Attendance System 1.0 (CVE-2024-0389)
    Severidad: MEDIA
    Fecha de publicación: 10/01/2024
    Fecha de última actualización: 17/01/2024
    Una vulnerabilidad fue encontrada en SourceCodester Student Attendance System 1.0 y clasificada como crítica. Una función desconocida del archivo attendance_report.php es afectada por esta vulnerabilidad. La manipulación del argumento class_id conduce a la inyección de SQL. La explotación ha sido divulgada al público y puede utilizarse. VDB-250230 es el identificador asignado a esta vulnerabilidad.
  • Vulnerabilidad en El complemento EventON - WordPress Virtual Event Calendar Plugin para WordPress (CVE-2023-6158)
    Severidad: Pendiente de análisis
    Fecha de publicación: 10/01/2024
    Fecha de última actualización: 17/01/2024
    El complemento EventON - WordPress Virtual Event Calendar Plugin para WordPress es vulnerable a modificaciones no autorizadas de datos y pérdida de datos debido a una falta de verificación de capacidad en la función evo_eventpost_update_meta en todas las versiones hasta 4.5.4 (para Pro) y 2.2.7 incluida (gratis). Esto hace posible que atacantes no autenticados actualicen y eliminen metadatos de publicaciones arbitrarias. Tenga en cuenta que ciertos parámetros pueden permitir la inyección de contenido.
  • Vulnerabilidad en fontTools (CVE-2023-45139)
    Severidad: Pendiente de análisis
    Fecha de publicación: 10/01/2024
    Fecha de última actualización: 17/01/2024
    fontTools es una librería para manipular fuentes, escrita en Python. El módulo subsetting tiene una vulnerabilidad de inyección de entidades externas XML (XXE) que permite a un atacante resolver entidades arbitrarias cuando se analiza una fuente candidata (fuentes OT-SVG), que contiene una tabla SVG. Esto permite a los atacantes incluir archivos arbitrarios del sistema de archivos en el que se ejecuta fontTools o realizar solicitudes web desde el sistema host. Esta vulnerabilidad ha sido parcheada en la versión 4.43.0.
  • Vulnerabilidad en Redis (CVE-2023-41056)
    Severidad: Pendiente de análisis
    Fecha de publicación: 10/01/2024
    Fecha de última actualización: 17/01/2024
    Redis es una base de datos en memoria que persiste en el disco. Redis maneja incorrectamente el cambio de tamaño de los búferes de memoria, lo que puede provocar un desbordamiento de enteros que provoca un desbordamiento del montón y una posible ejecución remota de código. Este problema se solucionó en las versiones 7.0.15 y 7.2.4.
  • Vulnerabilidad en WWBN AVideo 11.6 y 15fed957fb (CVE-2023-47171)
    Severidad: Pendiente de análisis
    Fecha de publicación: 10/01/2024
    Fecha de última actualización: 17/01/2024
    Existe una vulnerabilidad de divulgación de información en la funcionalidad de ruta de archivo fragmentado aVideoEncoder.json.php de WWBN AVideo 11.6 y la confirmación maestra de desarrollo 15fed957fb. Una solicitud HTTP especialmente manipulada puede provocar la lectura de archivos arbitrarios.
  • Vulnerabilidad en WWBN AVideo 11.6 y 15fed957fb (CVE-2023-47861)
    Severidad: Pendiente de análisis
    Fecha de publicación: 10/01/2024
    Fecha de última actualización: 17/01/2024
    Existe una vulnerabilidad de cross site scripting (xss) en la funcionalidad user name channelBody.php de WWBN AVideo 11.6 y la confirmación maestra de desarrollo 15fed957fb. Una solicitud HTTP especialmente manipulada puede provocar una ejecución arbitraria de Javascript. Un atacante puede hacer que un usuario visite una página web para activar esta vulnerabilidad.
  • Vulnerabilidad en WWBN AVideo 15fed957fb (CVE-2023-47862)
    Severidad: Pendiente de análisis
    Fecha de publicación: 10/01/2024
    Fecha de última actualización: 17/01/2024
    Existe una vulnerabilidad de inclusión de archivos local en la funcionalidad getLanguageFromBrowser de la confirmación maestra de desarrollo de WWBN AVideo 15fed957fb. Una solicitud HTTP especialmente manipulada puede provocar la ejecución de código arbitrario. Un atacante puede enviar una serie de solicitudes HTTP para desencadenar esta vulnerabilidad.
  • Vulnerabilidad en WWBN AVideo 11.6 y 3c6bb3ff (CVE-2023-48728)
    Severidad: Pendiente de análisis
    Fecha de publicación: 10/01/2024
    Fecha de última actualización: 17/01/2024
    Existe una vulnerabilidad de cross site scripting (xss) en la funcionalidad functiongetOpenGraph videoName de WWBN AVideo 11.6 y la confirmación maestra de desarrollo 3c6bb3ff. Una solicitud HTTP especialmente manipulada puede provocar una ejecución arbitraria de Javascript. Un atacante puede hacer que un usuario visite una página web para activar esta vulnerabilidad.
  • Vulnerabilidad en WWBN AVideo 15fed957fb (CVE-2023-48730)
    Severidad: Pendiente de análisis
    Fecha de publicación: 10/01/2024
    Fecha de última actualización: 17/01/2024
    Existe una vulnerabilidad de cross site scripting (xss) en la funcionalidad user name de navbarMenuAndLogo.php de la confirmación maestra de desarrollo de WWBN AVideo 15fed957fb. Una solicitud HTTP especialmente manipulada puede provocar una ejecución arbitraria de Javascript. Un atacante puede hacer que un usuario visite una página web para activar esta vulnerabilidad.
  • Vulnerabilidad en WWBN AVideo 15fed957fb (CVE-2023-49589)
    Severidad: Pendiente de análisis
    Fecha de publicación: 10/01/2024
    Fecha de última actualización: 17/01/2024
    Existe una vulnerabilidad de entropía insuficiente en la funcionalidad de generación de recoveryPass de userRecoverPass.php de la confirmación maestra de desarrollo de WWBN AVideo 15fed957fb. Una solicitud HTTP especialmente manipulada puede provocar la recuperación arbitraria de la contraseña de un usuario. Un atacante puede enviar una solicitud HTTP para desencadenar esta vulnerabilidad.
  • Vulnerabilidad en WWBN AVideo 15fed957fb (CVE-2023-49599)
    Severidad: Pendiente de análisis
    Fecha de publicación: 10/01/2024
    Fecha de última actualización: 17/01/2024
    Existe una vulnerabilidad de entropía insuficiente en la funcionalidad salt generation de WWBN AVideo dev master commit 15fed957fb. Una serie de solicitudes HTTP especialmente manipuladas pueden provocar una escalada de privilegios. Un atacante puede recopilar información del sistema a través de solicitudes HTTP y aplicar fuerza bruta al salt offline, lo que lleva a falsificar un código de recuperación de contraseña legítimo para el usuario administrador.
  • Vulnerabilidad en WWBN AVideo 15fed957fb (CVE-2023-49715)
    Severidad: Pendiente de análisis
    Fecha de publicación: 10/01/2024
    Fecha de última actualización: 17/01/2024
    Existe una vulnerabilidad de carga de archivos php sin restricciones en la funcionalidad de copia temporal import.json.php de la confirmación maestra de desarrollo de WWBN AVideo 15fed957fb. Una solicitud HTTP especialmente manipulada puede provocar la ejecución de código arbitrario cuando se encadena con una vulnerabilidad LFI. Un atacante puede enviar una serie de solicitudes HTTP para desencadenar esta vulnerabilidad.
  • Vulnerabilidad en WWBN AVideo 15fed957fb (CVE-2023-49738)
    Severidad: Pendiente de análisis
    Fecha de publicación: 10/01/2024
    Fecha de última actualización: 17/01/2024
    Existe una vulnerabilidad de divulgación de información en la funcionalidad image404Raw.php de la confirmación maestra de desarrollo de WWBN AVideo 15fed957fb. Una solicitud HTTP especialmente manipulada puede provocar la lectura de archivos arbitrarios.
  • Vulnerabilidad en WWBN AVideo 15fed957fb (CVE-2023-49810)
    Severidad: Pendiente de análisis
    Fecha de publicación: 10/01/2024
    Fecha de última actualización: 17/01/2024
    Existe una vulnerabilidad de omisión de restricción de intento de inicio de sesión en la funcionalidad checkLoginAttempts de la confirmación maestra de desarrollo de WWBN AVideo 15fed957fb. Una solicitud HTTP especialmente manipulada puede provocar la omisión de captcha, que un atacante puede aprovechar para aplicar fuerza bruta a las credenciales de los usuarios. Un atacante puede enviar una serie de solicitudes HTTP para desencadenar esta vulnerabilidad.