Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • Vulnerabilidad en Western Digital (CVE-2023-22817)
    Severidad: Pendiente de análisis
    Fecha de publicación: 05/02/2024
    Fecha de última actualización: 13/02/2024
    Vulnerabilidad de server-side request forgery (SSRF) que podría permitir que un servidor no autorizado en la red local modifique su URL utilizando otra dirección DNS para apuntar al adaptador de loopback. Esto podría permitir que la URL aproveche otras vulnerabilidades en el servidor local. Esto se solucionó corrigiendo las direcciones DNS que hacen referencia al loopback. Este problema afecta a los dispositivos My Cloud OS 5 anteriores a 5.27.161, My Cloud Home, My Cloud Home Duo y SanDisk ibi anteriores a 9.5.1-104.
  • Vulnerabilidad en Western Digital My Cloud Home, My Cloud Home Duo, SanDisk ibi y Western Digital My Cloud OS 5 (CVE-2023-22819)
    Severidad: Pendiente de análisis
    Fecha de publicación: 05/02/2024
    Fecha de última actualización: 13/02/2024
    Se descubrió un problema de vulnerabilidad de consumo de recursos no controlado que podría surgir al enviar solicitudes manipuladas a un servicio para consumir una gran cantidad de memoria, lo que eventualmente resultaría en que el servicio se detuviera y reiniciara en los dispositivos Western Digital My Cloud Home, My Cloud Home Duo, SanDisk ibi y Western Digital My Cloud OS 5. Este problema requiere que el atacante ya tenga privilegios de root para explotar esta vulnerabilidad. Este problema afecta a My Cloud Home y My Cloud Home Duo: antes de la versión 9.5.1-104; ibi: antes de la versión 9.5.1-104; My Cloud OS 5: antes de la versión 5.27.161.
  • Vulnerabilidad en Display custom fields in the frontend – Post and User Profile Fields para WordPress (CVE-2023-6982)
    Severidad: Pendiente de análisis
    Fecha de publicación: 05/02/2024
    Fecha de última actualización: 13/02/2024
    El complemento Display custom fields in the frontend – Post and User Profile Fields para WordPress es vulnerable a Cross-Site Scripting Almacenado a través del código abreviado y postmeta del complemento en todas las versiones hasta la 1.2.1 incluida, debido a una sanitización de entrada y un escape de salida insuficientes. en los atributos proporcionados por el usuario. Esto hace posible que atacantes autenticados con permisos de nivel de colaborador y superiores inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
  • Vulnerabilidad en Shield Security – Smart Bot Blocking & Intrusion Prevention Security para WordPress (CVE-2023-6989)
    Severidad: Pendiente de análisis
    Fecha de publicación: 05/02/2024
    Fecha de última actualización: 13/02/2024
    El complemento Shield Security – Smart Bot Blocking & Intrusion Prevention Security para WordPress es vulnerable a la inclusión de archivos locales en todas las versiones hasta la 18.5.9 incluida, a través del parámetro render_action_template. Esto hace posible que un atacante no autenticado incluya y ejecute archivos PHP en el servidor, permitiendo la ejecución de cualquier código PHP en esos archivos.
  • Vulnerabilidad en Essential Addons for Elementor – Best Elementor Templates, Widgets, Kits & WooCommerce Builders para WordPress (CVE-2024-0585)
    Severidad: Pendiente de análisis
    Fecha de publicación: 05/02/2024
    Fecha de última actualización: 13/02/2024
    El complemento Essential Addons for Elementor – Best Elementor Templates, Widgets, Kits & WooCommerce Builders para WordPress es vulnerables a Cross-Site Scripting Almacenado a través del complemento Filterable Gallery widget en todas las versiones hasta la 5.9.4 incluida, debido a una sanitización de entrada insuficiente y la salida se escapa en la URL de la imagen. Esto hace posible que atacantes autenticados con permisos de nivel de colaborador y superiores inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
  • Vulnerabilidad en Essential Addons for Elementor – Best Elementor Templates, Widgets, Kits & WooCommerce Builders para WordPress (CVE-2024-0586)
    Severidad: Pendiente de análisis
    Fecha de publicación: 05/02/2024
    Fecha de última actualización: 13/02/2024
    El complemento Essential Addons for Elementor – Best Elementor Templates, Widgets, Kits & WooCommerce Builders para WordPress es vulnerable a Cross-Site Scripting Almacenado a través del elemento de inicio de sesión/registro en todas las versiones hasta la 5.9.4 incluida, debido a una sanitización de entrada insuficiente y la salida se escapa en la URL de inicio de sesión personalizada. Esto hace posible que atacantes autenticados con permisos de nivel de colaborador y superiores inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
  • Vulnerabilidad en SEO Plugin de Squirrly SEO para WordPress (CVE-2024-0597)
    Severidad: Pendiente de análisis
    Fecha de publicación: 05/02/2024
    Fecha de última actualización: 13/02/2024
    El complemento SEO Plugin de Squirrly SEO para WordPress es vulnerable a Cross-Site Scripting Almacenado a través de la configuración de administrador en todas las versiones hasta la 12.3.15 incluida, debido a una sanitización de entrada y un escape de salida insuficientes. Esto hace posible que atacantes autenticados, con permisos de nivel de administrador y superiores, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada. Esto solo afecta a las instalaciones multisitio y a las instalaciones en las que se ha deshabilitado unfiltered_html.
  • Vulnerabilidad en Content Views – Post Grid, Slider, Accordion (Gutenberg Blocks and Shortcode) para WordPress (CVE-2024-0612)
    Severidad: Pendiente de análisis
    Fecha de publicación: 05/02/2024
    Fecha de última actualización: 13/02/2024
    El complemento Content Views – Post Grid, Slider, Accordion (Gutenberg Blocks and Shortcode) para WordPress es vulnerable a Cross-Site Scripting Almacenado a través de la configuración de administrador en todas las versiones hasta la 3.6.2 incluida, debido a una sanitización de entrada y un escape de salida insuficientes. Esto hace posible que atacantes autenticados, con permisos de nivel de administrador y superiores, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada. Esto solo afecta a las instalaciones multisitio y a las instalaciones en las que se ha deshabilitado unfiltered_html.
  • Vulnerabilidad en Formidable Forms – Contact Form, Survey, Quiz, Payment, Calculator Form & Custom Form Builder para WordPress (CVE-2024-0660)
    Severidad: Pendiente de análisis
    Fecha de publicación: 05/02/2024
    Fecha de última actualización: 13/02/2024
    El complemento Formidable Forms – Contact Form, Survey, Quiz, Payment, Calculator Form & Custom Form Builder para WordPress es vulnerable a Cross-Site Request Forgery en todas las versiones hasta la 6.7.2 incluida. Esto se debe a una validación nonce faltante o incorrecta en la función update_settings. Esto hace posible que atacantes no autenticados cambien la configuración del formulario y agreguen JavaScript malicioso a través de una solicitud falsificada, siempre que puedan engañar al administrador del sitio para que realice una acción como hacer clic en un enlace.
  • Vulnerabilidad en WP Club Manager – WordPress Sports Club Plugin para WordPress (CVE-2024-1177)
    Severidad: Pendiente de análisis
    Fecha de publicación: 05/02/2024
    Fecha de última actualización: 13/02/2024
    El complemento WP Club Manager – WordPress Sports Club Plugin para WordPress es vulnerable a modificaciones no autorizadas de datos debido a una falta de verificación de capacidad en la función settings_save() en todas las versiones hasta la 2.2.10 incluida. Esto hace posible que atacantes no autenticados actualicen la estructura de enlaces permanentes de los clubes.
  • Vulnerabilidad en LearnDash LMS para WordPress (CVE-2024-1208)
    Severidad: Pendiente de análisis
    Fecha de publicación: 05/02/2024
    Fecha de última actualización: 13/02/2024
    El complemento LearnDash LMS para WordPress es vulnerable a la exposición de información confidencial en todas las versiones hasta la 4.10.2 incluida a través de API. Esto hace posible que atacantes no autenticados obtengan acceso a las preguntas del cuestionario.
  • Vulnerabilidad en ClearML de Allegro AI (CVE-2024-24595)
    Severidad: Pendiente de análisis
    Fecha de publicación: 05/02/2024
    Fecha de última actualización: 13/02/2024
    La versión de código abierto de ClearML de Allegro AI almacena contraseñas en texto plano dentro de la instancia de MongoDB, lo que da como resultado que un servidor comprometido filtre todos los correos electrónicos y contraseñas de los usuarios.