Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

• Vulnerabilidad en AMD (CVE-2021-46767)
  Severidad: MEDIA
  Fecha de publicación: 11/01/2023
  Fecha de última actualización: 09/04/2025
  Una validación de entrada insuficiente en el ASP puede permitir que un atacante con acceso físico realice un acceso de escritura no autorizado a la memoria, lo que podría provocar una pérdida de integridad o denegación de servicio.
  
• Vulnerabilidad en AMD (CVE-2022-23813)
  Severidad: MEDIA
  Fecha de publicación: 11/01/2023
  Fecha de última actualización: 09/04/2025
  Es posible que las interfaces de software con ASP y SMU no apliquen la política de seguridad de memoria SNP, lo que resulta en una posible pérdida de integridad de la memoria invitada en un entorno informático confidencial.
  
• Vulnerabilidad en AMD (CVE-2021-46791)
  Severidad: MEDIA
  Fecha de publicación: 11/01/2023
  Fecha de última actualización: 09/04/2025
  Una validación de entrada insuficiente durante el análisis del binario del System Management Mode (SMM) puede permitir que un binario ejecutable de SMM creado con fines malintencionados corrompa la memoria de la aplicación del usuario de la Dynamic Root of Trust for Measurement (DRTM), lo que puede resultar en una posible denegación de servicio.
  
• Vulnerabilidad en Oracle Customer Interaction History de Oracle E-Business Suite (CVE-2024-20949)
  Severidad: MEDIA
  Fecha de publicación: 17/02/2024
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad en el producto Oracle Customer Interaction History de Oracle E-Business Suite (componente: Outcome-Result). Las versiones compatibles que se ven afectadas son 12.2.3-12.2.13. Una vulnerabilidad fácilmente explotable permite que un atacante no autenticado con acceso a la red a través de HTTP comprometa el historial de interacción con el cliente de Oracle. Los ataques exitosos requieren la interacción humana de una persona distinta del atacante y, si bien la vulnerabilidad está en el Historial de interacción con el cliente de Oracle, los ataques pueden afectar significativamente a productos adicionales (cambio de alcance). Los ataques exitosos de esta vulnerabilidad pueden dar como resultado una actualización, inserción o eliminación no autorizada del acceso a algunos de los datos accesibles del Historial de interacción con el cliente de Oracle, así como acceso de lectura no autorizado a un subconjunto de datos accesibles del Historial de interacción con el cliente de Oracle. CVSS 3.1 Puntaje base 6.1 (Impactos en la confidencialidad y la integridad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N).
  
• Vulnerabilidad en MySQL Server de Oracle MySQL (CVE-2024-20966)
  Severidad: MEDIA
  Fecha de publicación: 17/02/2024
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Servidor: Optimizador). Las versiones compatibles que se ven afectadas son la 8.0.35 y anteriores y la 8.2.0 y anteriores. Una vulnerabilidad fácilmente explotable permite que un atacante con altos privilegios y acceso a la red a través de múltiples protocolos comprometa el servidor MySQL. Los ataques exitosos a esta vulnerabilidad pueden resultar en una capacidad no autorizada de provocar un bloqueo o una falla frecuentemente repetible (DOS completo) del servidor MySQL. CVSS 3.1 Puntuación base 4.9 (impactos en la disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H).
  
• Vulnerabilidad en MySQL Server de Oracle MySQL (CVE-2024-20968)
  Severidad: MEDIA
  Fecha de publicación: 17/02/2024
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Servidor: Opciones). Las versiones compatibles que se ven afectadas son la 8.0.34 y anteriores y la 8.1.0. Una vulnerabilidad difícil de explotar permite que un atacante con altos privilegios y acceso a la red a través de múltiples protocolos comprometa el servidor MySQL. Los ataques exitosos a esta vulnerabilidad pueden resultar en una capacidad no autorizada de provocar un bloqueo o una falla frecuentemente repetible (DOS completo) del servidor MySQL. CVSS 3.1 Puntuación base 4.4 (impactos en la disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:N/I:N/A:H).
  
• Vulnerabilidad en Giveaways and Contests by RafflePress – Get More Website Traffic, Email Subscribers, and Social Followers para WordPress (CVE-2024-1935)
  Severidad: ALTA
  Fecha de publicación: 13/03/2024
  Fecha de última actualización: 09/04/2025
  El complemento Giveaways and Contests by RafflePress – Get More Website Traffic, Email Subscribers, and Social Followers para WordPress es vulnerable a Cross-Site Scripting Almacenado a través del parámetro 'parent_url' en todas las versiones hasta la 1.12.5 incluida debido a una insuficiencia higienización de insumos y escape de salidas. Esto hace posible que atacantes no autenticados inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
  
• Vulnerabilidad en Product Carousel Slider & Grid Ultimate para WooCommerce para WordPress (CVE-2024-1950)
  Severidad: ALTA
  Fecha de publicación: 13/03/2024
  Fecha de última actualización: 09/04/2025
  El complemento Product Carousel Slider & Grid Ultimate para WooCommerce para WordPress es vulnerable a la inyección de objetos PHP en todas las versiones hasta la 1.9.7 incluida a través de la deserialización de entradas no confiables a través de un código corto. Esto hace posible que atacantes autenticados, con acceso de colaborador y superior, inyecten un objeto PHP. No hay ninguna cadena POP presente en el complemento vulnerable. Si hay una cadena POP presente a través de un complemento o tema adicional instalado en el sistema de destino, podría permitir al atacante eliminar archivos arbitrarios, recuperar datos confidenciales o ejecutar código.
  
• Vulnerabilidad en RaspAP raspap-webgui 3.0.9 (CVE-2024-2497)
  Severidad: MEDIA
  Fecha de publicación: 15/03/2024
  Fecha de última actualización: 09/04/2025
  Una vulnerabilidad fue encontrada en RaspAP raspap-webgui 3.0.9 y clasificada como crítica. Este problema afecta un procesamiento desconocido del archivo include/provider.php del componente HTTP POST Request Handler. La manipulación del argumento país conduce a la inyección de código. El ataque puede iniciarse de forma remota. El exploit ha sido divulgado al público y puede utilizarse. El identificador asociado de esta vulnerabilidad es VDB-256919. NOTA: Se contactó primeramente con el proveedor sobre esta divulgación, pero no respondió de ninguna manera.
  
• Vulnerabilidad en Logitech Logi Tune (CVE-2024-2537)
  Severidad: MEDIA
  Fecha de publicación: 15/03/2024
  Fecha de última actualización: 09/04/2025
  La vulnerabilidad del control inadecuado de los recursos de código administrados dinámicamente en Logitech Logi Tune en MacOS permite la inclusión de código local.
  
• Vulnerabilidad en Kubernetes (CVE-2023-51699)
  Severidad: MEDIA
  Fecha de publicación: 15/03/2024
  Fecha de última actualización: 09/04/2025
  Fluid es un acelerador y orquestador de conjuntos de datos distribuidos nativo de Kubernetes de código abierto para aplicaciones con uso intensivo de datos. Una vulnerabilidad de inyección de comandos del sistema operativo dentro de JuicefsRuntime del proyecto Fluid puede potencialmente permitir que un usuario autenticado, que tiene la autoridad para crear o actualizar el conjunto de datos CRD/JuicefsRuntime de K8s, ejecute comandos arbitrarios del sistema operativo dentro de los contenedores relacionados con Juicefs. Esto podría dar lugar a un acceso no autorizado, modificación o eliminación de datos. Los usuarios que usan versiones <0.9.3 con JuicefsRuntime deben actualizar a la v0.9.3.
  
• Vulnerabilidad en CoreWCF (CVE-2024-28252)
  Severidad: ALTA
  Fecha de publicación: 15/03/2024
  Fecha de última actualización: 09/04/2025
  CoreWCF es una adaptación del lado de servicio de Windows Communication Foundation (WCF) a .NET Core. Si tiene un servicio CoreWCF basado en NetFraming, se podrían consumir recursos adicionales del sistema si las conexiones se dejan establecidas en lugar de cerrarlas o cancelarlas. Hay dos escenarios en los que esto puede suceder. Cuando un cliente establece una conexión con el servicio y no envía datos, el servicio esperará indefinidamente a que el cliente inicie el protocolo de enlace de sesión de NetFraming. Además, una vez que un cliente ha establecido una sesión, si el cliente no envía ninguna solicitud durante el período de tiempo configurado en el enlace ReceiverTimeout, la conexión no se cierra correctamente como parte del aborto de la sesión. Los enlaces afectados por este comportamiento son NetTcpBinding, NetNamedPipeBinding y UnixDomainSocketBinding. Sólo NetTcpBinding tiene la capacidad de aceptar conexiones no locales. Las versiones actualmente compatibles de CoreWCF son v1.4.x y v1.5.x. La solución se puede encontrar en v1.4.2 y v1.5.3 de los paquetes CoreWCF. Se recomienda a los usuarios que actualicen. No existen workarounds para este problema.
  
• Vulnerabilidad en Snowflake Hive (CVE-2024-28851)
  Severidad: MEDIA
  Fecha de publicación: 15/03/2024
  Fecha de última actualización: 09/04/2025
  El conector de metastore de Snowflake Hive proporciona una forma sencilla de consultar datos administrados por Hive a través de Snowflake. Snowflake Hive MetaStore Connector ha abordado una posible vulnerabilidad de elevación de privilegios en un "script de ayuda" para Hive MetaStore Connector. En teoría, un usuario interno malicioso sin privilegios de administrador podría usar el script para descargar contenido de un dominio de Microsoft al sistema local y reemplazar el contenido válido con código malicioso. Si el atacante también tuviera acceso local al mismo sistema donde se ejecuta el script modificado maliciosamente, podría intentar manipular a los usuarios para que ejecuten el script auxiliar controlado por el atacante, obteniendo potencialmente privilegios elevados para el sistema local. La vulnerabilidad en el script se corrigió el 9 de febrero de 2024, sin un aumento de versión en el Conector. Se recomienda encarecidamente a los usuarios que utilicen el script auxiliar que utilicen la última versión lo antes posible. Los usuarios que no puedan actualizar deben evitar utilizar el script de ayuda.
  
• Vulnerabilidad en tls-listener (CVE-2024-28854)
  Severidad: ALTA
  Fecha de publicación: 15/03/2024
  Fecha de última actualización: 09/04/2025
  tls-listener es un contenedor de idioma oxidado alrededor de un oyente de conexión para admitir TLS. Con la configuración predeterminada de tls-listener, un usuario malintencionado puede abrir 6.4 `TcpStream` por segundo, enviando 0 bytes y puede desencadenar un DoS. Las opciones de configuración predeterminadas hacen que cualquier servicio público que utilice `TlsListener::new()` sea vulnerable a un ataque DoS de loris lento. Esto afecta a cualquier servicio de acceso público que utilice la configuración predeterminada de tls-listener en versiones anteriores a la 0.10.0. Se recomienda a los usuarios que actualicen. Los usuarios que no puedan actualizar pueden mitigar esto pasando un valor grande, como `usize::MAX` como parámetro para `Builder::max_handshakes`.
  
• Vulnerabilidad en Discourse (CVE-2024-24748)
  Severidad: MEDIA
  Fecha de publicación: 15/03/2024
  Fecha de última actualización: 09/04/2025
  Discourse es una plataforma de código abierto para el debate comunitario. En las versiones afectadas, un atacante puede descubrir que existe una subcategoría secreta en una categoría pública que no tiene subcategorías públicas. El problema está solucionado en la última versión estable, beta y probada de Discourse. Se recomienda a los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.
  
• Vulnerabilidad en libdwarf (CVE-2024-2002)
  Severidad: ALTA
  Fecha de publicación: 18/03/2024
  Fecha de última actualización: 09/04/2025
  Se encontró una vulnerabilidad de doble liberación en libdwarf. En un objeto DWARF multicorrupto, libdwarf puede intentar desasignar (liberar) una asignación dos veces, lo que podría provocar resultados diversos e impredecibles.
  
• Vulnerabilidad en libvirt (CVE-2024-2496)
  Severidad: MEDIA
  Fecha de publicación: 18/03/2024
  Fecha de última actualización: 09/04/2025
  Se encontró una falla de desreferencia de puntero NULL en la función udevConnectListAllInterfaces() en libvirt. Este problema puede ocurrir al desconectar una interfaz de host y al mismo tiempo recopilar la lista de interfaces a través de la API virConnectListAllInterfaces. Esta falla podría usarse para realizar un ataque de denegación de servicio provocando la falla del daemon libvirt.
  
• Vulnerabilidad en Management App for WooCommerce – Order notifications, Order management, Lead management, Uptime Monitoring para WordPress (CVE-2024-1205)
  Severidad: ALTA
  Fecha de publicación: 20/03/2024
  Fecha de última actualización: 09/04/2025
  El complemento Management App for WooCommerce – Order notifications, Order management, Lead management, Uptime Monitoring para WordPress es vulnerable a la carga de archivos arbitrarios debido a la falta de validación del tipo de archivo en la función nouvello_upload_csv_file en todas las versiones hasta la 1.2.0 incluida. Esto permite que atacantes autenticados, con acceso de nivel de suscriptor o superior, carguen archivos arbitrarios en el servidor del sitio afectado, lo que puede hacer posible la ejecución remota de código.
  
• Vulnerabilidad en Live Sales Notification for Woocommerce – Woomotiv para WordPress (CVE-2024-1325)
  Severidad: MEDIA
  Fecha de publicación: 20/03/2024
  Fecha de última actualización: 09/04/2025
  El complemento Live Sales Notification for Woocommerce – Woomotiv para WordPress es vulnerable a Cross-Site Request Forgery en todas las versiones hasta la 3.4.3 incluida. Esto se debe a la falta o la validación incorrecta de nonce en la función 'ajax_cancel_review'. Esto permite que atacantes no autenticados restablezcan el recuento de revisiones del sitio a través de una solicitud falsificada, siempre que puedan engañar a un administrador del sitio para que realice una acción como hacer clic en un enlace.
  
• Vulnerabilidad en Moby (CVE-2024-29018)
  Severidad: MEDIA
  Fecha de publicación: 20/03/2024
  Fecha de última actualización: 09/04/2025
  Moby es un marco de contenedores de código abierto que es un componente clave de Docker Engine, Docker Desktop y otras distribuciones de herramientas o tiempos de ejecución de contenedores. La implementación de redes de Moby permite definir muchas redes, cada una con su propio rango de direcciones IP y puerta de enlace. Esta característica se conoce frecuentemente como redes personalizadas, ya que cada red puede tener un controlador, un conjunto de parámetros y, por lo tanto, comportamientos diferentes. Al crear una red, el indicador `--internal` se utiliza para designar una red como _internal_. El atributo "interno" en un archivo docker-compose.yml también se puede usar para marcar una red como _interna_, y otros clientes API también pueden especificar el parámetro "interno". Cuando se crean contenedores con redes, se les asignan interfaces de red y direcciones IP únicas. El host sirve como enrutador para redes no internas, con una IP de puerta de enlace que proporciona SNAT/DNAT hacia/desde las IP del contenedor. Los contenedores en una red interna pueden comunicarse entre sí, pero no pueden comunicarse con ninguna red a la que el host tenga acceso (LAN o WAN), ya que no hay una ruta predeterminada configurada y las reglas de firewall están configuradas para eliminar todo el tráfico saliente. Es posible la comunicación con la dirección IP de la puerta de enlace (y, por lo tanto, con los servicios de host configurados adecuadamente), y el host puede comunicarse directamente con cualquier IP de contenedor. Además de configurar las diversas funciones de red del kernel de Linux para habilitar la red de contenedores, `dockerd` proporciona directamente algunos servicios a las redes de contenedores. El principal de ellos es servir como solucionador, permitiendo el descubrimiento de servicios y la resolución de nombres desde un solucionador ascendente. Cuando se recibe una solicitud de DNS para un nombre que no corresponde a un contenedor, la solicitud se reenvía al solucionador ascendente configurado. Esta solicitud se realiza desde el espacio de nombres de la red del contenedor: el nivel de acceso y enrutamiento del tráfico es el mismo que si la solicitud la realizara el propio contenedor. Como consecuencia de este diseño, los contenedores conectados únicamente a una red interna no podrán resolver nombres utilizando el solucionador ascendente, ya que el contenedor en sí no puede comunicarse con ese servidor de nombres. Sólo se pueden resolver los nombres de los contenedores también conectados a la red interna. Muchos sistemas ejecutan un solucionador de DNS de reenvío local. Como el host y cualquier contenedor tienen dispositivos de loopback separados, una consecuencia del diseño descrito anteriormente es que los contenedores no pueden resolver nombres desde el solucionador configurado del host, ya que no pueden alcanzar estas direcciones en el dispositivo de loopback del host. Para cerrar esta brecha y permitir que los contenedores resuelvan nombres correctamente incluso cuando se utiliza un solucionador de reenvío local en una dirección de loopback, `dockerd` detecta este escenario y en su lugar reenvía solicitudes DNS desde el espacio de nombres del trabajo de nombres del host. Luego, el solucionador de bucle invertido reenvía las solicitudes a sus solucionadores ascendentes configurados, como se esperaba. Debido a que `dockerd` reenvía solicitudes de DNS al dispositivo de bucle invertido del host, omitiendo por completo la semántica de enrutamiento normal del espacio de nombres de la red del contenedor, las redes internas pueden reenviar solicitudes de DNS inesperadamente a un servidor de nombres externo. Al registrar un dominio para el cual controlan los servidores de nombres autorizados, un atacante podría hacer que un contenedor comprometido extraiga datos codificándolos en consultas DNS que eventualmente serán respondidas por sus servidores de nombres.---TRUNCADO---
  
• Vulnerabilidad en WPCoder WP Coder (CVE-2024-2578)
  Severidad: MEDIA
  Fecha de publicación: 21/03/2024
  Fecha de última actualización: 09/04/2025
  Neutralización inadecuada de la entrada durante la vulnerabilidad de generación de páginas web ('Cross-site Scripting') en WPCoder WP Coder permite almacenar XSS. Este problema afecta a WP Coder: desde n/a hasta 3.5.
  
• Vulnerabilidad en WPCS de WordPress (CVE-2024-30456)
  Severidad: MEDIA
  Fecha de publicación: 29/03/2024
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad de Cross-Site Request Forgery (CSRF) en realmag777 WPCS. Este problema afecta a WPCS: desde n/a hasta 1.2.0.1.
  
• Vulnerabilidad en WOOCS – WooCommerce Currency Switcher de WordPress (CVE-2024-30458)
  Severidad: MEDIA
  Fecha de publicación: 29/03/2024
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad de Cross-Site Request Forgery (CSRF) en realmag777 WOOCS – WooCommerce Currency Switcher. Este problema afecta a WOOCS – WooCommerce Currency Switcher: desde n/a hasta 1.4.1.7.
  
• Vulnerabilidad en Robot Schedule Enterprise Agent de Fortra (CVE-2024-0259)
  Severidad: ALTA
  Fecha de publicación: 28/03/2024
  Fecha de última actualización: 09/04/2025
  El Robot Schedule Enterprise Agent de Fortra para Windows anterior a la versión 3.04 es susceptible a una escalada de privilegios. Un usuario con pocos privilegios puede sobrescribir el ejecutable del servicio. Cuando se reinicia el servicio, el binario reemplazado se ejecuta con privilegios del sistema local, lo que permite que un usuario con pocos privilegios obtenga permisos elevados.
  
• Vulnerabilidad en AppCheck Ltd. (CVE-2024-29810)
  Severidad: MEDIA
  Fecha de publicación: 26/03/2024
  Fecha de última actualización: 09/04/2025
  El parámetro thumb_url de la llamada AJAX a la acción editimage_bwg de admin-ajax.php es vulnerable al Cross Site Scripting reflejado. El valor del parámetro thumb_url está incrustado dentro de un JavaScript existente dentro de la respuesta, lo que permite insertar y ejecutar JavaScript arbitrario. El atacante debe apuntar a un usuario autenticado con permisos para acceder a este componente para aprovechar este problema.
  
• Vulnerabilidad en AppCheck Ltd. (CVE-2024-29832)
  Severidad: MEDIA
  Fecha de publicación: 26/03/2024
  Fecha de última actualización: 09/04/2025
  El parámetro current_url de la llamada AJAX a la acción GalleryBox de admin-ajax.php es vulnerable al Cross Site Scripting reflejado. El valor del parámetro current_url está incrustado dentro de un JavaScript existente dentro de la respuesta, lo que permite insertar y ejecutar JavaScript arbitrario. No se requiere autenticación para aprovechar este problema. Tenga en cuenta que otros parámetros dentro de una llamada AJAX, como image_id, deben ser válidos para que esta vulnerabilidad se aproveche con éxito.
  
• Vulnerabilidad en AppCheck Ltd. (CVE-2024-29833)
  Severidad: MEDIA
  Fecha de publicación: 26/03/2024
  Fecha de última actualización: 09/04/2025
  El componente de carga de imágenes permite archivos SVG y la expresión regular utilizada para eliminar etiquetas de script se puede omitir mediante el uso de un payload de Cross Site Scripting que no coincide con la expresión regular; un ejemplo de esto es la inclusión de espacios en blanco dentro de la etiqueta del script. Un atacante debe apuntar a un usuario autenticado con permisos para acceder a esta función; sin embargo, una vez cargada, el payload también es accesible para usuarios no autenticados.
  
• Vulnerabilidad en Firefox para iOS (CVE-2024-31392)
  Severidad: ALTA
  Fecha de publicación: 03/04/2024
  Fecha de última actualización: 09/04/2025
  Si se agregaba un elemento inseguro a una página después de un retraso, Firefox no reemplazaría el ícono seguro con un estado de seguridad de contenido mixto. Esta vulnerabilidad afecta a Firefox para iOS < 124.
  
• Vulnerabilidad en Firefox para iOS (CVE-2024-31393)
  Severidad: MEDIA
  Fecha de publicación: 03/04/2024
  Fecha de última actualización: 09/04/2025
  Arrastrar las URL de Javascript a la barra de direcciones podría provocar que se carguen, evitando restricciones y protecciones de seguridad. Esta vulnerabilidad afecta a Firefox para iOS < 124.
  
• Vulnerabilidad en Gum Elementor Addon para WordPress (CVE-2024-2348)
  Severidad: MEDIA
  Fecha de publicación: 09/04/2024
  Fecha de última actualización: 09/04/2025
  El complemento Gum Elementor Addon para WordPress es vulnerable a Cross-Site Scripting Almacenado a través del widget Post Meta en todas las versiones hasta la 1.3.2 incluida debido a una sanitización de entrada y un escape de salida insuficientes. Esto hace posible que atacantes autenticados, con acceso a nivel de suscriptor y superior, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
  
• Vulnerabilidad en MySQL Server de Oracle MySQL (CVE-2024-20998)
  Severidad: MEDIA
  Fecha de publicación: 16/04/2024
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Servidor: Optimizador). Las versiones compatibles que se ven afectadas son 8.0.36 y anteriores y 8.3.0 y anteriores. Una vulnerabilidad fácilmente explotable permite que un atacante con altos privilegios y acceso a la red a través de múltiples protocolos comprometa el servidor MySQL. Los ataques exitosos a esta vulnerabilidad pueden resultar en una capacidad no autorizada de provocar un bloqueo o una falla frecuentemente repetible (DOS completo) del servidor MySQL. CVSS 3.1 Puntuación base 4.9 (impactos en la disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H).
  
• Vulnerabilidad en MySQL Server de Oracle MySQL (CVE-2024-21052)
  Severidad: MEDIA
  Fecha de publicación: 16/04/2024
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Servidor: DML). Las versiones compatibles que se ven afectadas son la 8.0.34 y anteriores. Una vulnerabilidad fácilmente explotable permite que un atacante con altos privilegios y acceso a la red a través de múltiples protocolos comprometa el servidor MySQL. Los ataques exitosos a esta vulnerabilidad pueden resultar en una capacidad no autorizada de provocar un bloqueo o una falla frecuentemente repetible (DOS completo) del servidor MySQL. CVSS 3.1 Puntuación base 4.9 (impactos en la disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H).
  
• Vulnerabilidad en MySQL Server de Oracle MySQL (CVE-2024-21053)
  Severidad: MEDIA
  Fecha de publicación: 16/04/2024
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Servidor: DML). Las versiones compatibles que se ven afectadas son la 8.0.34 y anteriores. Una vulnerabilidad fácilmente explotable permite que un atacante con altos privilegios y acceso a la red a través de múltiples protocolos comprometa el servidor MySQL. Los ataques exitosos a esta vulnerabilidad pueden resultar en una capacidad no autorizada de provocar un bloqueo o una falla frecuentemente repetible (DOS completo) del servidor MySQL. CVSS 3.1 Puntuación base 4.9 (impactos en la disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H).
  
• Vulnerabilidad en MySQL Server de Oracle MySQL (CVE-2024-21054)
  Severidad: MEDIA
  Fecha de publicación: 16/04/2024
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Servidor: Optimizador). Las versiones compatibles que se ven afectadas son 8.0.36 y anteriores y 8.3.0 y anteriores. Una vulnerabilidad fácilmente explotable permite que un atacante con altos privilegios y acceso a la red a través de múltiples protocolos comprometa el servidor MySQL. Los ataques exitosos a esta vulnerabilidad pueden resultar en una capacidad no autorizada de provocar un bloqueo o una falla frecuentemente repetible (DOS completo) del servidor MySQL. CVSS 3.1 Puntuación base 4.9 (impactos en la disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H).
  
• Vulnerabilidad en MySQL Server de Oracle MySQL (CVE-2024-21057)
  Severidad: MEDIA
  Fecha de publicación: 16/04/2024
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Servidor: Optimizador). Las versiones compatibles que se ven afectadas son la 8.0.35 y anteriores. Una vulnerabilidad fácilmente explotable permite que un atacante con altos privilegios y acceso a la red a través de múltiples protocolos comprometa el servidor MySQL. Los ataques exitosos a esta vulnerabilidad pueden resultar en una capacidad no autorizada de provocar un bloqueo o una falla frecuentemente repetible (DOS completo) del servidor MySQL. CVSS 3.1 Puntuación base 4.9 (impactos en la disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H).
  
• Vulnerabilidad en MySQL Server de Oracle MySQL (CVE-2024-21060)
  Severidad: MEDIA
  Fecha de publicación: 16/04/2024
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Servidor: Diccionario de datos). Las versiones compatibles que se ven afectadas son 8.0.36 y anteriores y 8.3.0 y anteriores. Una vulnerabilidad fácilmente explotable permite que un atacante con altos privilegios y acceso a la red a través de múltiples protocolos comprometa el servidor MySQL. Los ataques exitosos a esta vulnerabilidad pueden resultar en una capacidad no autorizada de provocar un bloqueo o una falla frecuentemente repetible (DOS completo) del servidor MySQL. CVSS 3.1 Puntuación base 4.9 (impactos en la disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H).
  
• Vulnerabilidad en Tenda FH1202 v1.2.0.14(408) (CVE-2024-32282)
  Severidad: MEDIA
  Fecha de publicación: 17/04/2024
  Fecha de última actualización: 09/04/2025
  El firmware Tenda FH1202 v1.2.0.14(408) contiene una vulnerabilidad de inyección de comandos en la función formexeCommand a través del parámetro cmdinput.
  
• Vulnerabilidad en Tenda FH1202 v1.2.0.14(408) (CVE-2024-32302)
  Severidad: MEDIA
  Fecha de publicación: 17/04/2024
  Fecha de última actualización: 09/04/2025
  El firmware Tenda FH1202 v1.2.0.14(408) tiene una vulnerabilidad de desbordamiento de pila a través del parámetro PPW en la función fromWizardHandle.
  
• Vulnerabilidad en Tenda FH1202 v1.2.0.14(408) (CVE-2024-32315)
  Severidad: MEDIA
  Fecha de publicación: 17/04/2024
  Fecha de última actualización: 09/04/2025
  El firmware Tenda FH1202 v1.2.0.14(408) tiene una vulnerabilidad de desbordamiento de pila a través del parámetro adslPwd en la función formWanParameterSetting.
  
• Vulnerabilidad en Tenda AC500 v.2.0.1.9 (CVE-2023-46060)
  Severidad: ALTA
  Fecha de publicación: 17/04/2024
  Fecha de última actualización: 09/04/2025
  Una vulnerabilidad de desbordamiento de búfer en Tenda AC500 v.2.0.1.9 permite a un atacante remoto provocar una denegación de servicio a través del parámetro de puerto en el componente goform/setVlanInfo.
  
• Vulnerabilidad en Tenda A18 v15.03.05.05 (CVE-2024-32305)
  Severidad: ALTA
  Fecha de publicación: 17/04/2024
  Fecha de última actualización: 09/04/2025
  El firmware Tenda A18 v15.03.05.05 tiene una vulnerabilidad de desbordamiento de pila ubicada a través del parámetro PPW en la función fromWizardHandle.
  
• Vulnerabilidad en TOTOLINK EX200 (CVE-2024-31810)
  Severidad: CRÍTICA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 09/04/2025
  Se descubrió que TOTOLINK EX200 V4.0.3c.7646_B20201211 contenía una contraseña codificada para root en /etc/shadow.sample.
  
• Vulnerabilidad en TOTOLINK X2000R (CVE-2024-33433)
  Severidad: MEDIA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad de Cross Site Scripting en TOTOLINK X2000R anterior a v1.0.0-B20231213.1013 permite a un atacante remoto ejecutar código arbitrario a través del parámetro Control de acceso de invitados en la página inalámbrica.
  
• Vulnerabilidad en TOTOLINK outdoor CPE (CVE-2024-34204)
  Severidad: CRÍTICA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 09/04/2025
  Se descubrió que TOTOLINK outdoor CPE CP450 v4.1.0cu.747_B20191224 contiene una vulnerabilidad de inyección de comando en la función setUpgradeFW a través del parámetro FileName.
  
• Vulnerabilidad en TOTOLINK CP450 (CVE-2024-34205)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 09/04/2025
  Se descubrió que TOTOLINK CP450 v4.1.0cu.747_B20191224 contiene una vulnerabilidad de inyección de comandos en la función download_firmware.
  
• Vulnerabilidad en TOTOLINK outdoor CPE CP450 (CVE-2024-34206)
  Severidad: MEDIA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 09/04/2025
  Se descubrió que TOTOLINK outdoor CPE CP450 v4.1.0cu.747_B20191224 contiene una vulnerabilidad de inyección de comando en la función setWebWlanIdx a través del parámetro webWlanIdx.
  
• Vulnerabilidad en TOTOLINK CP450 (CVE-2024-34207)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 09/04/2025
  Se descubrió que TOTOLINK CP450 v4.1.0cu.747_B20191224 contiene una vulnerabilidad de desbordamiento de búfer en la región stack de la memoria en la función setStaticDhcpConfig.
  
• Vulnerabilidad en TOTOLINK CP450 (CVE-2024-34209)
  Severidad: CRÍTICA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 09/04/2025
  Se descubrió que TOTOLINK CP450 v4.1.0cu.747_B20191224 contiene una vulnerabilidad de desbordamiento de búfer en la región stack de la memoria en la función setIpPortFilterRules.
  
• Vulnerabilidad en TOTOLINK outdoor CPE CP450 (CVE-2024-34210)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 09/04/2025
  Se descubrió que TOTOLINK outdoor CPE CP450 v4.1.0cu.747_B20191224 contiene una vulnerabilidad de inyección de comando en la función CloudACMunualUpdate a través del parámetro FileName.
  
• Vulnerabilidad en TOTOLINK CP450 (CVE-2024-34211)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 09/04/2025
  Se descubrió que TOTOLINK CP450 v4.1.0cu.747_B20191224 contiene una vulnerabilidad de contraseña codificada en /etc/shadow.sample, que permite a los atacantes iniciar sesión como root.
  
• Vulnerabilidad en TOTOLINK CP450 (CVE-2024-34212)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 09/04/2025
  Se descubrió que TOTOLINK CP450 v4.1.0cu.747_B20191224 contiene una vulnerabilidad de desbordamiento de búfer en la región stack de la memoria en la función CloudACMunualUpdate.
  
• Vulnerabilidad en TOTOLINK CP450 (CVE-2024-34213)
  Severidad: CRÍTICA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 09/04/2025
  Se descubrió que TOTOLINK CP450 v4.1.0cu.747_B20191224 contiene una vulnerabilidad de desbordamiento de búfer en la región stack de la memoria en la función SetPortForwardRules.
  
• Vulnerabilidad en TOTOLINK CP450 (CVE-2024-34215)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 09/04/2025
  Se descubrió que TOTOLINK CP450 v4.1.0cu.747_B20191224 contiene una vulnerabilidad de desbordamiento de búfer en la región stack de la memoria en la función setUrlFilterRules.
  
• Vulnerabilidad en TOTOLINK CP450 (CVE-2024-34217)
  Severidad: ALTA
  Fecha de publicación: 14/05/2024
  Fecha de última actualización: 09/04/2025
  Se descubrió que TOTOLINK CP450 v4.1.0cu.747_B20191224 contiene una vulnerabilidad de desbordamiento de búfer en la región stack de la memoria en la función addWlProfileClientMode.
  
• Vulnerabilidad en idccms v1.35 (CVE-2024-35550)
  Severidad: MEDIA
  Fecha de publicación: 22/05/2024
  Fecha de última actualización: 09/04/2025
  Se descubrió que idccms v1.35 contenía Cross-Site Request Forgery (CSRF) a través del componente /admin/infoWeb_deal.php?mudi=rev.
  
• Vulnerabilidad en idccms v1.35 (CVE-2024-35551)
  Severidad: MEDIA
  Fecha de publicación: 22/05/2024
  Fecha de última actualización: 09/04/2025
  Se descubrió que idccms v1.35 contenía Cross-Site Request Forgery (CSRF) a través del componente /admin/infoWeb_deal.php?mudi=add.
  
• Vulnerabilidad en idccms v1.35 (CVE-2024-35552)
  Severidad: ALTA
  Fecha de publicación: 22/05/2024
  Fecha de última actualización: 09/04/2025
  Se descubrió que idccms v1.35 contenía Cross-Site Request Forgery (CSRF) a través del componente /admin/infoMove_deal.php?mudi=del&dataType=logo&dataTypeCN.
  
• Vulnerabilidad en idccms v1.35 (CVE-2024-35553)
  Severidad: ALTA
  Fecha de publicación: 22/05/2024
  Fecha de última actualización: 09/04/2025
  Se descubrió que idccms v1.35 contenía Cross-Site Request Forgery (CSRF) a través del componente /admin/infoMove_deal.php?mudi=add&nohrefStr=close.
  
• Vulnerabilidad en idccms v1.35 (CVE-2024-35554)
  Severidad: MEDIA
  Fecha de publicación: 22/05/2024
  Fecha de última actualización: 09/04/2025
  Se descubrió que idccms v1.35 contenía Cross-Site Request Forgery (CSRF) a través del componente /admin/infoWeb_deal.php?mudi=del&dataType=newsWeb&dataTypeCN.
  
• Vulnerabilidad en idccms v1.35 (CVE-2024-35555)
  Severidad: MEDIA
  Fecha de publicación: 22/05/2024
  Fecha de última actualización: 09/04/2025
  Se descubrió que idccms v1.35 contenía Cross-Site Request Forgery (CSRF) a través del componente /admin/share_switch.php?mudi=switch&dataType=newsWeb&fieldName=state&fieldName2=state&tabName=infoWeb&dataID=40.
  
• Vulnerabilidad en idccms v1.35 (CVE-2024-35556)
  Severidad: ALTA
  Fecha de publicación: 22/05/2024
  Fecha de última actualización: 09/04/2025
  Se descubrió que idccms v1.35 contenía Cross-Site Request Forgery (CSRF) a través del componente /admin/vpsSys_deal.php?mudi=infoSet.
  
• Vulnerabilidad en idccms v1.35 (CVE-2024-35557)
  Severidad: MEDIA
  Fecha de publicación: 22/05/2024
  Fecha de última actualización: 09/04/2025
  Se descubrió que idccms v1.35 contenía Cross-Site Request Forgery (CSRF) a través del componente /admin/vpsApi_deal.php?mudi=rev&nohrefStr=close.
  
• Vulnerabilidad en idccms v1.35 (CVE-2024-35558)
  Severidad: ALTA
  Fecha de publicación: 22/05/2024
  Fecha de última actualización: 09/04/2025
  Se descubrió que idccms v1.35 contenía Cross-Site Request Forgery (CSRF) a través del componente /admin/ca_deal.php?mudi=rev&nohrefStr=close.
  
• Vulnerabilidad en idccms v1.35 (CVE-2024-35559)
  Severidad: ALTA
  Fecha de publicación: 22/05/2024
  Fecha de última actualización: 09/04/2025
  Se descubrió que idccms v1.35 contenía Cross-Site Request Forgery (CSRF) a través del componente /admin/infoMove_deal.php?mudi=rev&nohrefStr=close.
  
• Vulnerabilidad en idccms v1.35 (CVE-2024-35560)
  Severidad: MEDIA
  Fecha de publicación: 22/05/2024
  Fecha de última actualización: 09/04/2025
  Se descubrió que idccms v1.35 contenía Cross-Site Request Forgery (CSRF) a través del componente /admin/ca_deal.php?mudi=del&dataType=&dataTypeCN.
  
• Vulnerabilidad en idccms v1.35 (CVE-2024-35561)
  Severidad: MEDIA
  Fecha de publicación: 22/05/2024
  Fecha de última actualización: 09/04/2025
  Se descubrió que idccms v1.35 contenía Cross-Site Request Forgery (CSRF) a través del componente /admin/ca_deal.php?mudi=add&nohrefStr=close.
  
• Vulnerabilidad en Tenda FH1206 V1.2.0.8(8155) (CVE-2024-35339)
  Severidad: CRÍTICA
  Fecha de publicación: 24/05/2024
  Fecha de última actualización: 09/04/2025
  Se descubrió que Tenda FH1206 V1.2.0.8(8155) contiene una vulnerabilidad de inyección de comandos a través del parámetro mac en ip/goform/WriteFacMac.
  
• Vulnerabilidad en Tenda FH1206 V1.2.0.8(8155) (CVE-2024-35340)
  Severidad: ALTA
  Fecha de publicación: 24/05/2024
  Fecha de última actualización: 09/04/2025
  Se descubrió que Tenda FH1206 V1.2.0.8(8155) contiene una vulnerabilidad de inyección de comandos a través del parámetro cmdinput en ip/goform/formexeCommand.
  
• Vulnerabilidad en Elements kit Elementor addons (CVE-2023-39993)
  Severidad: MEDIA
  Fecha de publicación: 19/06/2024
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad de autorización faltante en Wpmet Elements kit Elementor addons. Este problema afecta a Elements kit Elementor addons: desde n/a hasta 2.9.0.
  
• Vulnerabilidad en Tenda FH1201 v1.2.0.14 (CVE-2024-44859)
  Severidad: ALTA
  Fecha de publicación: 04/09/2024
  Fecha de última actualización: 09/04/2025
  Tenda FH1201 v1.2.0.14 tiene una vulnerabilidad de desbordamiento de búfer de pila en `formWrlExtraGet`.
  
• Vulnerabilidad en Tenda AC6 v2.0 V15.03.06.50 (CVE-2024-51116)
  Severidad: ALTA
  Fecha de publicación: 05/11/2024
  Fecha de última actualización: 09/04/2025
  Se descubrió que Tenda AC6 v2.0 V15.03.06.50 contiene un desbordamiento de búfer en la función 'formSetPPTPServer'.
  
• Vulnerabilidad en Zulip (CVE-2024-36612)
  Severidad: ALTA
  Fecha de publicación: 29/11/2024
  Fecha de última actualización: 09/04/2025
  Zulip de 8.0 a 8.3 contiene una vulnerabilidad de pérdida de memoria en el manejo de ventanas emergentes.
  
• Vulnerabilidad en WeGIA v3.2.0 (CVE-2024-53470)
  Severidad: MEDIA
  Fecha de publicación: 05/12/2024
  Fecha de última actualización: 09/04/2025
  Varias vulnerabilidades de cross-site scripting (XSS) almacenado en el componente /configuracao/gateway_pagamento.php de WeGIA v3.2.0 permiten a los atacantes ejecutar scripts web o HTML arbitrarios a través de un payload manipulado inyectado en el parámetro id o name.
  
• Vulnerabilidad en WeGIA v3.2.0 (CVE-2024-53471)
  Severidad: MEDIA
  Fecha de publicación: 05/12/2024
  Fecha de última actualización: 09/04/2025
  Varias vulnerabilidades de cross-site scripting (XSS) almacenado en el componente /configuracao/meio_pagamento.php de WeGIA v3.2.0 permiten a los atacantes ejecutar scripts web o HTML arbitrarios a través de un payload manipulado inyectado en el parámetro id o name.
  
• Vulnerabilidad en WeGIA v3.2.0 (CVE-2024-53472)
  Severidad: ALTA
  Fecha de publicación: 05/12/2024
  Fecha de última actualización: 09/04/2025
  Se descubrió que WeGIA v3.2.0 contenía Cross-Site Request Forgery (CSRF).
  
• Vulnerabilidad en WeGIA 3.2.0 (CVE-2024-53473)
  Severidad: ALTA
  Fecha de publicación: 07/12/2024
  Fecha de última actualización: 09/04/2025
  WeGIA 3.2.0 anterior a 3998672 no verifica el permiso para cambiar una contraseña.
  
• Vulnerabilidad en Theora (CVE-2024-56431)
  Severidad: CRÍTICA
  Fecha de publicación: 25/12/2024
  Fecha de última actualización: 09/04/2025
  oc_huff_tree_unpack en huffdec.c en libtheora en Theora hasta 1.0 7180717 tiene un desplazamiento negativo a la izquierda no válido.
  
• Vulnerabilidad en TOTOLINK A3002R V4.0.0-B20230531.1404 (CVE-2024-54907)
  Severidad: ALTA
  Fecha de publicación: 26/12/2024
  Fecha de última actualización: 09/04/2025
  TOTOLINK A3002R V4.0.0-B20230531.1404 es vulnerable a la ejecución remota de código en /bin/boa a través de formWsc.
  
• Vulnerabilidad en WeGIA (CVE-2025-22133)
  Severidad: CRÍTICA
  Fecha de publicación: 07/01/2025
  Fecha de última actualización: 09/04/2025
  WeGIA es un gestor web para instituciones benéficas. Antes de la versión 3.2.8, se identificó una vulnerabilidad crítica en el endpoint /WeGIA/html/socio/sistema/controller/controla_xlsx.php. El endpoint acepta cargas de archivos sin la validación adecuada, lo que permite la carga de archivos maliciosos, como .phar, que luego pueden ser ejecutados por el servidor. Esta vulnerabilidad se solucionó en la versión 3.2.8.
  
• Vulnerabilidad en WeGIA (CVE-2025-22139)
  Severidad: MEDIA
  Fecha de publicación: 08/01/2025
  Fecha de última actualización: 09/04/2025
  WeGIA es un administrador web para instituciones benéficas. Se identificó una vulnerabilidad de tipo Cross-Site Scripting (XSS) Reflejado en el endpoint configuracao_geral.php de la aplicación WeGIA. Esta vulnerabilidad permite a los atacantes inyectar secuencias de comandos maliciosas en el parámetro msg_c. Esta vulnerabilidad se corrigió en la versión 3.2.8.
  
• Vulnerabilidad en WeGIA (CVE-2025-22140)
  Severidad: CRÍTICA
  Fecha de publicación: 08/01/2025
  Fecha de última actualización: 09/04/2025
  WeGIA es un gestor web para instituciones benéficas. Se identificó una vulnerabilidad de inyección SQL en el endpoint /html/funcionario/dependente_listar_um.php, concretamente en el parámetro id_dependente. Esta vulnerabilidad permite a los atacantes ejecutar comandos SQL arbitrarios, comprometiendo la confidencialidad, integridad y disponibilidad de la base de datos. Esta vulnerabilidad se ha corregido en la versión 3.2.8.
  
• Vulnerabilidad en WeGIA (CVE-2025-22141)
  Severidad: CRÍTICA
  Fecha de publicación: 08/01/2025
  Fecha de última actualización: 09/04/2025
  WeGIA es un gestor web para instituciones benéficas. Se identificó una vulnerabilidad de inyección SQL en el endpoint /dao/verificar_recursos_cargo.php, específicamente en el parámetro cargo. Esta vulnerabilidad permite a los atacantes ejecutar comandos SQL arbitrarios, comprometiendo la confidencialidad, integridad y disponibilidad de la base de datos. Esta vulnerabilidad se corrigió en la versión 3.2.8.
  
• Vulnerabilidad en Tenda ac9 v1.0 v15.03.05.19 (CVE-2025-22946)
  Severidad: CRÍTICA
  Fecha de publicación: 10/01/2025
  Fecha de última actualización: 09/04/2025
  El firmware Tenda ac9 v1.0 v15.03.05.19 contiene una vulnerabilidad de desbordamiento de pila en /goform/SetOnlineDevName, que puede provocar la ejecución remota de código arbitrario.
  
• Vulnerabilidad en WeGIA (CVE-2025-22596)
  Severidad: MEDIA
  Fecha de publicación: 10/01/2025
  Fecha de última actualización: 09/04/2025
  WeGIA es un administrador web para instituciones benéficas. Se identificó una vulnerabilidad de tipo Cross-Site Scripting (XSS) Reflejado en el endpoint modulos_visiveis.php de la aplicación WeGIA. Esta vulnerabilidad permite a los atacantes inyectar scripts maliciosos en el parámetro msg_c. Esta vulnerabilidad se corrigió en la versión 3.2.8.
  
• Vulnerabilidad en WeGIA (CVE-2025-22597)
  Severidad: ALTA
  Fecha de publicación: 10/01/2025
  Fecha de última actualización: 09/04/2025
  WeGIA es un gestor web para instituciones benéficas. Se identificó una vulnerabilidad de tipo Cross-Site Scripting (XSS) Almacenado en el endpoint CobrancaController.php de la aplicación WeGIA. Esta vulnerabilidad permite a los atacantes inyectar scripts maliciosos en el parámetro local_recepcao. Los scripts inyectados se almacenan en el servidor y se ejecutan automáticamente cada vez que los usuarios acceden a la página afectada, lo que supone un riesgo de seguridad importante. Esta vulnerabilidad se ha corregido en la versión 3.2.8.
  
• Vulnerabilidad en WeGIA (CVE-2025-22598)
  Severidad: ALTA
  Fecha de publicación: 10/01/2025
  Fecha de última actualización: 09/04/2025
  WeGIA es un gestor web para instituciones benéficas. Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) Almacenado en el endpoint cadastrarSocio.php de la aplicación WeGIA. Esta vulnerabilidad permite a los atacantes inyectar scripts maliciosos en el parámetro local_recepcao. Los scripts inyectados se almacenan en el servidor y se ejecutan automáticamente cada vez que los usuarios acceden a la página afectada, lo que supone un riesgo de seguridad importante. Esta vulnerabilidad se ha corregido en la versión 3.2.8.
  
• Vulnerabilidad en WeGIA (CVE-2025-22599)
  Severidad: MEDIA
  Fecha de publicación: 10/01/2025
  Fecha de última actualización: 09/04/2025
  WeGIA es un administrador web para instituciones de beneficencia. Se identificó una vulnerabilidad de tipo Cross-Site Scripting (XSS) Reflejado en el endpoint home.php de la aplicación WeGIA. Esta vulnerabilidad permite a los atacantes inyectar scripts maliciosos en el parámetro msg_c. Esta vulnerabilidad se corrigió en la versión 3.2.8.
  
• Vulnerabilidad en WeGIA (CVE-2025-22600)
  Severidad: MEDIA
  Fecha de publicación: 10/01/2025
  Fecha de última actualización: 09/04/2025
  WeGIA es un gestor web para instituciones benéficas. Se identificó una vulnerabilidad de tipo Cross-Site Scripting (XSS) Reflejado en el endpoint configuracao_doacao.php de la aplicación WeGIA. Esta vulnerabilidad permite a los atacantes inyectar scripts maliciosos en el parámetro avulso. Esta vulnerabilidad se ha corregido en la versión 3.2.8.
  
• Vulnerabilidad en Tenda ac9 v1.0 v15.03.05.19 (CVE-2025-22949)
  Severidad: CRÍTICA
  Fecha de publicación: 10/01/2025
  Fecha de última actualización: 09/04/2025
  El firmware Tenda ac9 v1.0 v15.03.05.19 es vulnerable a la inyección de comandos en /goform/SetSambaCfg, lo que puede provocar la ejecución remota de código arbitrario.
  
• Vulnerabilidad en WeGIA (CVE-2025-22613)
  Severidad: MEDIA
  Fecha de publicación: 13/01/2025
  Fecha de última actualización: 09/04/2025
  WeGIA es un gestor web de código abierto centrado en el idioma portugués y las instituciones benéficas. Se identificó una vulnerabilidad Cross-Site Scripting Almacenado (XSS) en el `informacao_adicional.php` Endpoint de la aplicación WeGIA. Esta vulnerabilidad permite a los atacantes inyectar Scripts maliciosos en el parámetro `descricao`. Los Scripts inyectados se almacenan en el servidor y se ejecutan automáticamente cada vez que los usuarios acceden a la página afectada, lo que supone un riesgo de seguridad significativo. La aplicación no puede validar y desinfectar correctamente las entradas del usuario en el parámetro `informacao_adicional.php`. Esta falta de validación permite a los atacantes inyectar Scripts maliciosos, que luego se almacenan en el servidor. Cada vez que se accede a la página afectada, el Payload malicioso se ejecuta en el navegador de la víctima, lo que puede comprometer los datos del usuario y sistema. Este problema se ha solucionado en la versión 3.2.6 y se recomienda a todos los usuarios que actualicen la versión. No se conocen Workarounds para esta vulnerabilidad.
  
• Vulnerabilidad en WeGIA (CVE-2025-23036)
  Severidad: MEDIA
  Fecha de publicación: 14/01/2025
  Fecha de última actualización: 09/04/2025
  WeGIA es un gestor web de código abierto centrado en el idioma portugués y las instituciones benéficas. Se identificó una vulnerabilidad de tipo XSS (Cross-Site Scripting Reflejado) en el endpoint `pre_cadastro_funcionario.php` de la aplicación WeGIA. Esta vulnerabilidad permite a los atacantes inyectar scripts maliciosos en el parámetro `msg_e`. La aplicación no puede validar ni desinfectar las entradas del usuario en el parámetro `msg_e`. Esta falta de validación permite la inyección de payloads maliciosos, que se reflejan en el navegador del usuario en la respuesta del servidor y se ejecutan dentro del contexto del navegador de la víctima. Este problema se ha solucionado en la versión 3.2.7. Se recomienda a todos los usuarios que actualicen. No existen workarounds conocidos para esta vulnerabilidad.
  
• Vulnerabilidad en WeGIA (CVE-2025-23037)
  Severidad: MEDIA
  Fecha de publicación: 14/01/2025
  Fecha de última actualización: 09/04/2025
  WeGIA es un gestor web de código abierto centrado en el idioma portugués y las instituciones benéficas. Se identificó una vulnerabilidad de Cross Site Scripting Almacenado (XSS) en el endpoint `control.php` de la aplicación WeGIA. Esta vulnerabilidad permite a los atacantes inyectar scripts maliciosos en el parámetro `cargo`. Las scripts inyectados se almacenan en el servidor y se ejecutan automáticamente cada vez que los usuarios acceden a la página afectada, lo que supone un importante riesgo de seguridad. La aplicación no puede validar ni desinfectar correctamente las entradas del usuario en el parámetro `control.php`. Esta falta de validación permite a los atacantes inyectar scripts maliciosos, que luego se almacenan en el servidor. Cada vez que se accede a la página afectada, el payload malicioso se ejecuta en el navegador de la víctima, lo que puede comprometer los datos y el sistema del usuario. Este problema se ha solucionado en la versión 3.2.6. Se recomienda a todos los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.
  
• Vulnerabilidad en Tenda i24 V2.0.0.5 (CVE-2024-57483)
  Severidad: CRÍTICA
  Fecha de publicación: 14/01/2025
  Fecha de última actualización: 09/04/2025
  Tenda i24 V2.0.0.5 es vulnerable a un desbordamiento de búfer en la función addWifiMacFilter.
  
• Vulnerabilidad en RE11S v1.11 (CVE-2025-22904)
  Severidad: CRÍTICA
  Fecha de publicación: 16/01/2025
  Fecha de última actualización: 09/04/2025
  Se descubrió que RE11S v1.11 contiene un desbordamiento de pila a través del parámetro pptpUserName en la función setWAN.
  
• Vulnerabilidad en RE11S v1.11 (CVE-2025-22905)
  Severidad: CRÍTICA
  Fecha de publicación: 16/01/2025
  Fecha de última actualización: 09/04/2025
  Se descubrió que RE11S v1.11 contenía una vulnerabilidad de inyección de comandos a través del parámetro command en /goform/mp.
  
• Vulnerabilidad en RE11S v1.11 (CVE-2025-22906)
  Severidad: CRÍTICA
  Fecha de publicación: 16/01/2025
  Fecha de última actualización: 09/04/2025
  Se descubrió que RE11S v1.11 contenía una vulnerabilidad de inyección de comandos a través del parámetro L2TPUserName en /goform/setWAN.
  
• Vulnerabilidad en RE11S v1.11 (CVE-2025-22907)
  Severidad: CRÍTICA
  Fecha de publicación: 16/01/2025
  Fecha de última actualización: 09/04/2025
  Se descubrió que RE11S v1.11 contiene un desbordamiento de pila a través del parámetro selSSID en la función formWlSiteSurvey.
  
• Vulnerabilidad en RE11S v1.11 (CVE-2025-22912)
  Severidad: CRÍTICA
  Fecha de publicación: 16/01/2025
  Fecha de última actualización: 09/04/2025
  Se descubrió que RE11S v1.11 contenía una vulnerabilidad de inyección de comandos a través del componente /goform/formAccept.
  
• Vulnerabilidad en RE11S v1.11 (CVE-2025-22913)
  Severidad: CRÍTICA
  Fecha de publicación: 16/01/2025
  Fecha de última actualización: 09/04/2025
  Se descubrió que RE11S v1.11 contiene un desbordamiento de pila a través del parámetro rootAPmac en la función formStaDrvSetup.
  
• Vulnerabilidad en RE11S v1.11 (CVE-2025-22916)
  Severidad: CRÍTICA
  Fecha de publicación: 16/01/2025
  Fecha de última actualización: 09/04/2025
  Se descubrió que RE11S v1.11 contiene un desbordamiento de pila a través del parámetro pppUserName en la función formPPPoESetup.
  
• Vulnerabilidad en Wegia (CVE-2024-57030)
  Severidad: ALTA
  Fecha de publicación: 17/01/2025
  Fecha de última actualización: 09/04/2025
  Wegia < 3.2.0 es vulnerable a Cross Site Scripting (XSS) en /geral/documentos_funcionario.php a través del parámetro id.
  
• Vulnerabilidad en WeGIA (CVE-2024-57033)
  Severidad: MEDIA
  Fecha de publicación: 17/01/2025
  Fecha de última actualización: 09/04/2025
  WeGIA < 3.2.0 es vulnerable a Cross Site Scripting (XSS) a través del parámetro dados_addInfo de documentos_funcionario.php.
  
• Vulnerabilidad en PHPGurukul Hospital Management System 4.0 (CVE-2024-56997)
  Severidad: MEDIA
  Fecha de publicación: 21/01/2025
  Fecha de última actualización: 09/04/2025
  PHPGurukul Hospital Management System 4.0 es vulnerable a Cross Site Scripting (XSS) en /doctor/index.php a través del parámetro 'Email'.
  
• Vulnerabilidad en PHPGurukul Hospital Management System 4.0 (CVE-2024-56998)
  Severidad: MEDIA
  Fecha de publicación: 21/01/2025
  Fecha de última actualización: 09/04/2025
  PHPGurukul Hospital Management System 4.0 es vulnerable a Cross Site Scripting (XSS) en /edit-profile.php a través del parámetro $address.
  
• Vulnerabilidad en PHPGurukul Hospital Management System 4.0 (CVE-2024-56990)
  Severidad: MEDIA
  Fecha de publicación: 21/01/2025
  Fecha de última actualización: 09/04/2025
  PHPGurukul Hospital Management System 4.0 es vulnerable a Cross Site Scripting (XSS) en /view-medhistory.php y /admin/view-patient.php.
  
• Vulnerabilidad en MySQL Server de Oracle MySQL (CVE-2025-21490)
  Severidad: MEDIA
  Fecha de publicación: 21/01/2025
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: InnoDB). Las versiones compatibles afectadas son 8.0.40 y anteriores, 8.4.3 y anteriores y 9.1.0 y anteriores. Esta vulnerabilidad, que se puede explotar fácilmente, permite que un atacante con privilegios elevados y acceso a la red a través de múltiples protocolos ponga en peligro MySQL Server. Los ataques exitosos de esta vulnerabilidad pueden dar como resultado la capacidad no autorizada de provocar un bloqueo o un bloqueo frecuente y repetible (DOS completo) de MySQL Server. Puntuación base de CVSS 3.1: 4,9 (impactos en la disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H).
  
• Vulnerabilidad en MySQL Server de Oracle MySQL (CVE-2025-21491)
  Severidad: MEDIA
  Fecha de publicación: 21/01/2025
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: InnoDB). Las versiones compatibles afectadas son 8.0.40 y anteriores, 8.4.3 y anteriores y 9.1.0 y anteriores. Esta vulnerabilidad, que se puede explotar fácilmente, permite que un atacante con privilegios elevados y acceso a la red a través de múltiples protocolos ponga en peligro MySQL Server. Los ataques exitosos de esta vulnerabilidad pueden dar como resultado la capacidad no autorizada de provocar un bloqueo o un bloqueo frecuente y repetible (DOS completo) de MySQL Server. Puntuación base de CVSS 3.1: 4,9 (impactos en la disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H).
  
• Vulnerabilidad en MySQL Server de Oracle MySQL (CVE-2025-21492)
  Severidad: MEDIA
  Fecha de publicación: 21/01/2025
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Optimizer). Las versiones compatibles afectadas son 8.0.36 y anteriores y 8.4.0. Esta vulnerabilidad, que se puede explotar fácilmente, permite que un atacante con privilegios elevados y acceso a la red a través de múltiples protocolos comprometa MySQL Server. Los ataques exitosos de esta vulnerabilidad pueden dar como resultado la capacidad no autorizada de provocar un bloqueo o un bloqueo frecuente y repetible (DOS completo) de MySQL Server. Puntuación base de CVSS 3.1: 4,9 (impactos en la disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H).
  
• Vulnerabilidad en MySQL Server de Oracle MySQL (CVE-2025-21493)
  Severidad: MEDIA
  Fecha de publicación: 21/01/2025
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Security: Privileges). Las versiones compatibles afectadas son 8.4.3 y anteriores y 9.1.0 y anteriores. Esta vulnerabilidad, que es difícil de explotar, permite que un atacante con privilegios elevados y acceso a la red a través de múltiples protocolos comprometa MySQL Server. Los ataques exitosos de esta vulnerabilidad pueden dar como resultado la capacidad no autorizada de provocar un bloqueo o un bloqueo frecuente y repetible (DOS completo) de MySQL Server. Puntuación base de CVSS 3.1: 4,4 (impactos en la disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:N/I:N/A:H).
  
• Vulnerabilidad en MySQL Server de Oracle MySQL (CVE-2025-21494)
  Severidad: MEDIA
  Fecha de publicación: 21/01/2025
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Security: Privileges). Las versiones compatibles afectadas son 8.0.39 y anteriores, 8.4.2 y anteriores y 9.0.1 y anteriores. Esta vulnerabilidad, que es difícil de explotar, permite que un atacante con privilegios elevados que inicie sesión en la infraestructura donde se ejecuta MySQL Server pueda comprometer MySQL Server. Los ataques exitosos de esta vulnerabilidad pueden dar como resultado la capacidad no autorizada de provocar un bloqueo o un bloqueo frecuente y repetible (DOS completo) de MySQL Server. Puntuación base de CVSS 3.1: 4.1 (impactos en la disponibilidad). Vector CVSS: (CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:U/C:N/I:N/A:H).
  
• Vulnerabilidad en MySQL Server de Oracle MySQL (CVE-2025-21497)
  Severidad: MEDIA
  Fecha de publicación: 21/01/2025
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: InnoDB). Las versiones compatibles afectadas son 8.0.40 y anteriores, 8.4.3 y anteriores y 9.1.0 y anteriores. Esta vulnerabilidad, que se puede explotar fácilmente, permite a un atacante con privilegios elevados y acceso a la red a través de múltiples protocolos comprometer MySQL Server. Los ataques exitosos de esta vulnerabilidad pueden dar como resultado la capacidad no autorizada de provocar un bloqueo o un bloqueo frecuente y repetible (DOS completo) de MySQL Server, así como el acceso no autorizado a actualizaciones, inserciones o eliminaciones de algunos de los datos accesibles de MySQL Server. Puntuación base CVSS 3.1 5,5 (impactos en la integridad y disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:H).
  
• Vulnerabilidad en MySQL Server de Oracle MySQL (CVE-2025-21499)
  Severidad: MEDIA
  Fecha de publicación: 21/01/2025
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: DDL). Las versiones compatibles afectadas son 8.4.3 y anteriores y 9.1.0 y anteriores. Esta vulnerabilidad, que se puede explotar fácilmente, permite que un atacante con privilegios elevados y acceso a la red a través de múltiples protocolos comprometa MySQL Server. Los ataques exitosos de esta vulnerabilidad pueden dar como resultado la capacidad no autorizada de provocar un bloqueo o un bloqueo frecuente y repetible (DOS completo) de MySQL Server. Puntuación base de CVSS 3.1: 4,9 (impactos en la disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H).
  
• Vulnerabilidad en MySQL Server de Oracle MySQL (CVE-2025-21500)
  Severidad: MEDIA
  Fecha de publicación: 21/01/2025
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Optimizer). Las versiones compatibles afectadas son 8.0.40 y anteriores, 8.4.3 y anteriores y 9.1.0 y anteriores. Esta vulnerabilidad, que se puede explotar fácilmente, permite que un atacante con pocos privilegios y acceso a la red a través de múltiples protocolos ponga en peligro MySQL Server. Los ataques exitosos de esta vulnerabilidad pueden dar como resultado la capacidad no autorizada de provocar un bloqueo o un bloqueo frecuente y repetible (DOS completo) de MySQL Server. Puntuación base de CVSS 3.1: 6,5 (impactos en la disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H).
  
• Vulnerabilidad en MySQL Server de Oracle MySQL (CVE-2025-21501)
  Severidad: MEDIA
  Fecha de publicación: 21/01/2025
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Optimizer). Las versiones compatibles afectadas son 8.0.40 y anteriores, 8.4.3 y anteriores y 9.1.0 y anteriores. Esta vulnerabilidad, que se puede explotar fácilmente, permite que un atacante con pocos privilegios y acceso a la red a través de múltiples protocolos ponga en peligro MySQL Server. Los ataques exitosos de esta vulnerabilidad pueden dar como resultado la capacidad no autorizada de provocar un bloqueo o un bloqueo frecuente y repetible (DOS completo) de MySQL Server. Puntuación base de CVSS 3.1: 6,5 (impactos en la disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H).
  
• Vulnerabilidad en MySQL Server de Oracle MySQL (CVE-2025-21503)
  Severidad: MEDIA
  Fecha de publicación: 21/01/2025
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: InnoDB). Las versiones compatibles afectadas son 8.0.40 y anteriores, 8.4.3 y anteriores y 9.1.0 y anteriores. Esta vulnerabilidad, que se puede explotar fácilmente, permite que un atacante con privilegios elevados y acceso a la red a través de múltiples protocolos ponga en peligro MySQL Server. Los ataques exitosos de esta vulnerabilidad pueden dar como resultado la capacidad no autorizada de provocar un bloqueo o un bloqueo frecuente y repetible (DOS completo) de MySQL Server. Puntuación base de CVSS 3.1: 4,9 (impactos en la disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H).
  
• Vulnerabilidad en MySQL Server de Oracle MySQL (CVE-2025-21504)
  Severidad: MEDIA
  Fecha de publicación: 21/01/2025
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Optimizer). Las versiones compatibles afectadas son 8.0.39 y anteriores, 8.4.2 y anteriores y 9.0.1 y anteriores. Esta vulnerabilidad, que se puede explotar fácilmente, permite que un atacante con privilegios elevados y acceso a la red a través de múltiples protocolos ponga en peligro MySQL Server. Los ataques exitosos de esta vulnerabilidad pueden dar como resultado la capacidad no autorizada de provocar un bloqueo o un bloqueo frecuente y repetible (DOS completo) de MySQL Server. Puntuación base de CVSS 3.1: 4,9 (impactos en la disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H).
  
• Vulnerabilidad en MySQL Server de Oracle MySQL (CVE-2025-21505)
  Severidad: MEDIA
  Fecha de publicación: 21/01/2025
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Components Services). Las versiones compatibles afectadas son 8.0.40 y anteriores, 8.4.3 y anteriores y 9.1.0 y anteriores. Esta vulnerabilidad, que se puede explotar fácilmente, permite que un atacante con privilegios elevados y acceso a la red a través de múltiples protocolos ponga en peligro MySQL Server. Los ataques exitosos de esta vulnerabilidad pueden dar como resultado la capacidad no autorizada de provocar un bloqueo o un bloqueo frecuente y repetible (DOS completo) de MySQL Server. Puntuación base de CVSS 3.1: 4,9 (impactos en la disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H).
  
• Vulnerabilidad en MySQL Server de Oracle MySQL (CVE-2025-21518)
  Severidad: MEDIA
  Fecha de publicación: 21/01/2025
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Optimizer). Las versiones compatibles afectadas son 8.0.40 y anteriores, 8.4.3 y anteriores y 9.1.0 y anteriores. Esta vulnerabilidad, que se puede explotar fácilmente, permite que un atacante con pocos privilegios y acceso a la red a través de múltiples protocolos ponga en peligro MySQL Server. Los ataques exitosos de esta vulnerabilidad pueden dar como resultado la capacidad no autorizada de provocar un bloqueo o un bloqueo frecuente y repetible (DOS completo) de MySQL Server. Puntuación base de CVSS 3.1: 6,5 (impactos en la disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H).
  
• Vulnerabilidad en MySQL Server de Oracle MySQL (CVE-2025-21519)
  Severidad: MEDIA
  Fecha de publicación: 21/01/2025
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Security: Privileges). Las versiones compatibles afectadas son 8.0.40 y anteriores, 8.4.3 y anteriores y 9.1.0 y anteriores. Esta vulnerabilidad, que es difícil de explotar, permite que un atacante con privilegios elevados y acceso a la red a través de múltiples protocolos comprometa MySQL Server. Los ataques exitosos de esta vulnerabilidad pueden dar como resultado la capacidad no autorizada de provocar un bloqueo o un bloqueo repetitivo frecuente (DOS completo) de MySQL Server. Puntuación base de CVSS 3.1: 4,4 (impactos en la disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:N/I:N/A:H).
  
• Vulnerabilidad en MySQL Server de Oracle MySQL (CVE-2025-21520)
  Severidad: BAJA
  Fecha de publicación: 21/01/2025
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Options). Las versiones compatibles afectadas son 8.0.40 y anteriores, 8.4.3 y anteriores y 9.1.0 y anteriores. Esta vulnerabilidad, que es difícil de explotar, permite que un atacante con privilegios elevados y que inicie sesión en la infraestructura donde se ejecuta MySQL Server pueda comprometer MySQL Server. Los ataques exitosos requieren la interacción humana de una persona distinta del atacante. Los ataques exitosos de esta vulnerabilidad pueden dar como resultado un acceso de lectura no autorizado a un subconjunto de datos accesibles de MySQL Server. Puntuación base CVSS 3.1 1.8 (impactos de confidencialidad). Vector CVSS: (CVSS:3.1/AV:L/AC:H/PR:H/UI:R/S:U/C:L/I:N/A:N).
  
• Vulnerabilidad en MySQL Server de Oracle MySQL (CVE-2025-21521)
  Severidad: ALTA
  Fecha de publicación: 21/01/2025
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Thread Pooling). Las versiones compatibles afectadas son 8.0.39 y anteriores, 8.4.2 y anteriores y 9.0.1 y anteriores. Esta vulnerabilidad, que se puede explotar fácilmente, permite que un atacante no autenticado con acceso a la red a través de múltiples protocolos comprometa MySQL Server. Los ataques exitosos de esta vulnerabilidad pueden dar como resultado la capacidad no autorizada de provocar un bloqueo o un bloqueo frecuente y repetible (DOS completo) de MySQL Server. Puntuación base de CVSS 3.1: 7,5 (impactos en la disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H).
  
• CVE-2025-22211
  Severidad: BAJA
  Fecha de publicación: 25/02/2025
  Fecha de última actualización: 09/04/2025
  Una vulnerabilidad de inyección SQL en el componente de JoomShopping versiones 1.0.0-1.4.3 para Joomla permite a los atacantes autenticados (administradores) ejecutar comandos SQL arbitrarios en el área de gestión del país del backend.
  
• Vulnerabilidad en FoxCMS v1.2.5 (CVE-2025-25789)
  Severidad: CRÍTICA
  Fecha de publicación: 26/02/2025
  Fecha de última actualización: 09/04/2025
  Se descubrió que FoxCMS v1.2.5 contiene una vulnerabilidad de ejecución remota de código (RCE) a través del método index() en \controller\Sitemap.php.
  
• Vulnerabilidad en FoxCMS v1.2.5 (CVE-2025-25790)
  Severidad: CRÍTICA
  Fecha de publicación: 26/02/2025
  Fecha de última actualización: 09/04/2025
  Una vulnerabilidad de carga de archivos arbitrarios en el componente \controller\LocalTemplate.php de FoxCMS v1.2.5 permite a los atacantes ejecutar código arbitrario mediante la carga de un archivo Zip manipulado específicamente para ello.
  
• Vulnerabilidad en admin_template.php de SUCMS v1.0 (CVE-2025-25759)
  Severidad: ALTA
  Fecha de publicación: 27/02/2025
  Fecha de última actualización: 09/04/2025
  Un problema en el componente admin_template.php de SUCMS v1.0 permite a los atacantes ejecutar un directory traversal y la eliminación arbitraria de archivos a través de una solicitud GET manipulada específicamente.
  
• Vulnerabilidad en admin_webgather.php de SUCMS v1.0 (CVE-2025-25760)
  Severidad: ALTA
  Fecha de publicación: 27/02/2025
  Fecha de última actualización: 09/04/2025
  Server-Side Request Forgery (SSRF) en el componente admin_webgather.php de SUCMS v1.0 permite a los atacantes acceder a datos y servicios internos a través de una solicitud GET manipulada.
  
• Vulnerabilidad en HkCms v2.3.2.240702 (CVE-2025-25761)
  Severidad: ALTA
  Fecha de publicación: 27/02/2025
  Fecha de última actualización: 09/04/2025
  Se descubrió que HkCms v2.3.2.240702 contenía una vulnerabilidad de escritura de archivos arbitrarios en el componente Appcenter.php.
  
• Vulnerabilidad en MongoDB Compass (CVE-2025-1755)
  Severidad: ALTA
  Fecha de publicación: 27/02/2025
  Fecha de última actualización: 09/04/2025
  MongoDB Compass puede ser susceptible a una escalada de privilegios locales en determinadas condiciones, lo que podría permitir acciones no autorizadas en el sistema de un usuario con privilegios elevados, cuando un archivo manipulado se almacena en C:\node_modules\. Este problema afecta a MongoDB Compass anterior a la versión 1.42.1.
  
• Vulnerabilidad en Mongosh (CVE-2025-1756)
  Severidad: ALTA
  Fecha de publicación: 27/02/2025
  Fecha de última actualización: 09/04/2025
  Mongosh puede ser susceptible a una escalada de privilegios locales en determinadas condiciones, lo que podría permitir acciones no autorizadas en el sistema de un usuario con privilegios elevados, cuando un archivo manipulado se almacena en C:\node_modules\. Este problema afecta a mongosh antes de la versión 2.3.0.
  
• Vulnerabilidad en dangrossman W3Counter Free Real-Time Web Stats (CVE-2025-28856)
  Severidad: MEDIA
  Fecha de publicación: 11/03/2025
  Fecha de última actualización: 09/04/2025
  La vulnerabilidad de Cross-Site Request Forgery (CSRF) en dangrossman W3Counter Free Real-Time Web Stats permite Cross-Site Request Forgery. Este problema afecta a W3Counter Free Real-Time Web Stats desde n/d hasta la versión 4.1.
  
• Vulnerabilidad en jwpegram Block Spam By Math Reloaded (CVE-2025-28872)
  Severidad: MEDIA
  Fecha de publicación: 11/03/2025
  Fecha de última actualización: 09/04/2025
  La vulnerabilidad de falta de autorización en jwpegram Block Spam By Math Reloaded permite acceder a funcionalidades no restringidas correctamente por las ACL. Este problema afecta a "Block Spam By Math Reloaded" desde n/d hasta la versión 2.2.4.
  
• Vulnerabilidad en shanebp BP Email Assign Templates (CVE-2025-28874)
  Severidad: MEDIA
  Fecha de publicación: 11/03/2025
  Fecha de última actualización: 09/04/2025
  La vulnerabilidad de omisión de autorización mediante clave controlada por el usuario en shanebp BP Email Assign Templates permite explotar niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a las plantillas de asignación de correo electrónico de BP desde n/d hasta la versión 1.6.
  
• Vulnerabilidad en shanebp BP Email Assign Templates (CVE-2025-28875)
  Severidad: MEDIA
  Fecha de publicación: 11/03/2025
  Fecha de última actualización: 09/04/2025
  La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en shanebp BP Email Assign Templates permite XSS almacenado. Este problema afecta a las plantillas de asignación de correo electrónico de BP desde n/d hasta la versión 1.6.
  
• Vulnerabilidad en Skrill_Team Skrill Official (CVE-2025-28876)
  Severidad: MEDIA
  Fecha de publicación: 11/03/2025
  Fecha de última actualización: 09/04/2025
  Vulnerabilidad de Cross-Site Request Forgery (CSRF) en Skrill_Team Skrill Official permite Cross-Site Request Forgery. Este problema afecta a Skrill Official desde n/d hasta la versión 1.0.65.
  
• Vulnerabilidad en Will Brubaker Awesome Surveys (CVE-2025-28878)
  Severidad: MEDIA
  Fecha de publicación: 11/03/2025
  Fecha de última actualización: 09/04/2025
  La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting') en Will Brubaker Awesome Surveys permite XSS almacenado. Este problema afecta a Awesome Surveys desde n/d hasta la versión 2.0.10.
  
• Vulnerabilidad en WoWPth para WordPress (CVE-2025-1486)
  Severidad: ALTA
  Fecha de publicación: 13/03/2025
  Fecha de última actualización: 09/04/2025
  El complemento WoWPth para WordPress hasta la versión 2.0 no depura ni escapa un parámetro antes de mostrarlo nuevamente en la página, lo que genera un Cross-Site Scripting reflejado que podría usarse contra usuarios con privilegios elevados, como el administrador.
  
• Vulnerabilidad en WoWPth para WordPress (CVE-2025-1487)
  Severidad: ALTA
  Fecha de publicación: 13/03/2025
  Fecha de última actualización: 09/04/2025
  El complemento WoWPth para WordPress hasta la versión 2.0 no depura ni escapa un parámetro antes de mostrarlo nuevamente en la página, lo que genera un Cross-Site Scripting reflejado que podría usarse contra usuarios con privilegios elevados, como el administrador.
  
• Vulnerabilidad en Download Manager de WordPress (CVE-2024-13126)
  Severidad: MEDIA
  Fecha de publicación: 16/03/2025
  Fecha de última actualización: 09/04/2025
  El complemento Download Manager de WordPress anterior a la versión 3.3.07 no impide el listado de directorios en servidores web que no usan htaccess, lo que permite el acceso no autorizado a los archivos.
  
• Vulnerabilidad en Poll Maker para WordPress (CVE-2024-13602)
  Severidad: MEDIA
  Fecha de publicación: 16/03/2025
  Fecha de última actualización: 09/04/2025
  El complemento Poll Maker para WordPress anterior a la versión 5.5.4 no depura ni escapa de algunas de sus configuraciones, lo que podría permitir a usuarios con privilegios elevados como el administrador realizar ataques de cross-site scripting almacenado incluso cuando la capacidad unfiltered_html no está permitida (por ejemplo, en una configuración de varios sitios).
  
• Vulnerabilidad en mEintopf de WordPress (CVE-2024-13876)
  Severidad: ALTA
  Fecha de publicación: 20/03/2025
  Fecha de última actualización: 09/04/2025
  El complemento mEintopf de WordPress hasta la versión 0.2.1 no depura ni escapa un parámetro antes de mostrarlo nuevamente en la página, lo que genera Cross-Site Scripting reflejado que podría usarse contra usuarios con privilegios elevados, como el administrador.
  
• Vulnerabilidad en Passbeemedia Web Push Notification de WordPress (CVE-2024-13877)
  Severidad: ALTA
  Fecha de publicación: 20/03/2025
  Fecha de última actualización: 09/04/2025
  El complemento Passbeemedia Web Push Notification de WordPress hasta la versión 1.0.0 no depura ni escapa un parámetro antes de mostrarlo nuevamente en la página, lo que genera un Cross-Site Scripting reflejado que podría usarse contra usuarios con privilegios elevados, como el administrador.
  
• Vulnerabilidad en TOTOLINK A810R V4.1.2cu.5182_B20201026 (CVE-2025-28135)
  Severidad: ALTA
  Fecha de publicación: 27/03/2025
  Fecha de última actualización: 09/04/2025
  Se descubrió que TOTOLINK A810R V4.1.2cu.5182_B20201026 contenía una vulnerabilidad de desbordamiento de búfer en downloadFile.cgi.
  
• Vulnerabilidad en SourceCodester Online Medicine Ordering System 1.0 (CVE-2025-3141)
  Severidad: MEDIA
  Fecha de publicación: 03/04/2025
  Fecha de última actualización: 09/04/2025
  Se encontró una vulnerabilidad en SourceCodester Online Medicine Ordering System 1.0. Se ha declarado crítica. Esta vulnerabilidad afecta al código desconocido del archivo /manage_category.php. La manipulación del ID del argumento provoca una inyección SQL. El ataque puede iniciarse remotamente. Se ha hecho público el exploit y puede que sea utilizado.
  
• Vulnerabilidad en Tenda AC10 16.03.10.13 (CVE-2025-3161)
  Severidad: ALTA
  Fecha de publicación: 03/04/2025
  Fecha de última actualización: 09/04/2025
  Se encontró una vulnerabilidad en Tenda AC10 16.03.10.13, clasificada como crítica. Este problema afecta a la función ShutdownSetAdd del archivo /goform/ShutdownSetAdd. La manipulación de la lista de argumentos provoca un desbordamiento del búfer basado en la pila. El ataque puede iniciarse remotamente. Se ha hecho público el exploit y puede que sea utilizado.
  
• Vulnerabilidad en Booster for WooCommerce para WordPress (CVE-2024-13744)
  Severidad: ALTA
  Fecha de publicación: 04/04/2025
  Fecha de última actualización: 09/04/2025
  El complemento Booster for WooCommerce para WordPress es vulnerable a la carga de archivos arbitrarios debido a la falta de validación del tipo de archivo en la función validate_product_input_fields_on_add_to_cart en las versiones 4.0.1 a 7.2.4. Esto permite que atacantes no autenticados carguen archivos arbitrarios en el servidor del sitio web afectado, lo que podría posibilitar la ejecución remota de código.
  
• Vulnerabilidad en Booster for WooCommerce para WordPress (CVE-2024-13708)
  Severidad: ALTA
  Fecha de publicación: 04/04/2025
  Fecha de última actualización: 09/04/2025
  El complemento Booster for WooCommerce para WordPress es vulnerable a Cross-Site Scripting Almacenado al subir archivos SVG en las versiones 4.0.1 a 7.2.4 debido a una depuración de entrada y un escape de salida insuficientes. Esto permite a atacantes no autenticados inyectar scripts web arbitrarios en las páginas que se ejecutan al acceder un usuario al archivo SVG.