CVE-2024-46596

CVE-2024-46596

Título es
CVE-2024-46596

Mié, 18/09/2024 – 15:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-46596

Descripción en
Draytek Vigor 3910 v4.3.2.6 was discovered to contain a buffer overflow in the sAct parameter at v2x00.cgi. This vulnerability allows attackers to cause a Denial of Service (DoS) via a crafted input.

18/09/2024
18/09/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2022-25777

CVE-2022-25777

Título es
CVE-2022-25777

Mié, 18/09/2024 – 16:15

Tipo
CWE-918

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2022-25777

Descripción en
Prior to the patched version, an authenticated user of Mautic could read system files and access the internal addresses of the application due to a Server-Side Request Forgery (SSRF) vulnerability.

18/09/2024
18/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
6.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-46086

CVE-2024-46086

Título es
CVE-2024-46086

Mié, 18/09/2024 – 16:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-46086

Descripción en
FrogCMS V0.9.5 was discovered to contain a Cross-Site Request Forgery (CSRF) vulnerability via /admin/?/plugin/file_manager/delete/123

18/09/2024
18/09/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-8887

CVE-2024-8887

Título es
CVE-2024-8887

Mié, 18/09/2024 – 11:15

Tipo
CWE-1284

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-8887

Descripción en
CIRCUTOR Q-SMT in its firmware version 1.0.4, could be affected by a denial of service (DoS) attack if an attacker with access to the web service bypasses the authentication mechanisms on the login page, allowing the attacker to use all the functionalities implemented at web level that allow interacting with the device.

18/09/2024
18/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
10.00

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
CRITICAL

Referencias
  • https://www.incibe.es/en/incibe-cert/notices/aviso-sci/multiple-vulnerabilities-circutor-products

  • Enviar en el boletín
    Off

    CVE-2024-43188

    CVE-2024-43188

    Título es
    CVE-2024-43188

    Mié, 18/09/2024 – 12:15

    Tipo
    CWE-602

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2024-43188

    Descripción en
    IBM Business Automation Workflow

    22.0.2, 23.0.1, 23.0.2, and 24.0.0

    could allow a privileged user to perform unauthorized activities due to improper client side validation.

    18/09/2024
    18/09/2024
    Vector CVSS:3.1
    CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:N

    Gravedad 3.1 (CVSS 3.1 Base Score)
    4.90

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    MEDIUM

    Enviar en el boletín
    Off

    CVE-2024-8889

    CVE-2024-8889

    Título es
    CVE-2024-8889

    Mié, 18/09/2024 – 12:15

    Tipo
    CWE-20

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2024-8889

    Descripción en
    Vulnerability in CIRCUTOR TCP2RS+ firmware version 1.3b, which could allow an attacker to modify any configuration value, even if the device has the user/password authentication option enabled, without authentication by sending packets through the UDP protocol and port 2000, deconfiguring the device and thus disabling its use. This equipment is at the end of its useful life cycle.

    18/09/2024
    18/09/2024
    Vector CVSS:3.1
    CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:H

    Gravedad 3.1 (CVSS 3.1 Base Score)
    9.30

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    CRITICAL

    Referencias
  • https://www.incibe.es/en/incibe-cert/notices/aviso-sci/multiple-vulnerabilities-circutor-products

  • Enviar en el boletín
    Off

    CVE-2024-8888

    CVE-2024-8888

    Título es
    CVE-2024-8888

    Mié, 18/09/2024 – 12:15

    Tipo
    CWE-613

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2024-8888

    Descripción en
    An attacker with access to the network where CIRCUTOR Q-SMT is located in its firmware version 1.0.4, could steal the tokens used on the web, since these have no expiration date to access the web application without restrictions. Token theft can originate from different methods such as network captures, locally stored web information, etc.

    18/09/2024
    18/09/2024
    Vector CVSS:3.1
    CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

    Gravedad 3.1 (CVSS 3.1 Base Score)
    10.00

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    CRITICAL

    Referencias
  • https://www.incibe.es/en/incibe-cert/notices/aviso-sci/multiple-vulnerabilities-circutor-products

  • Enviar en el boletín
    Off

    CVE-2024-6406

    CVE-2024-6406

    Título es
    CVE-2024-6406

    Mié, 18/09/2024 – 12:15

    Tipo
    CWE-200

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2024-6406

    Descripción en
    Exposure of Sensitive Information to an Unauthorized Actor vulnerability in Yordam Information Technology Mobile Library Application allows Retrieve Embedded Sensitive Data.This issue affects Mobile Library Application: before 5.0.

    18/09/2024
    18/09/2024
    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    Pendiente de análisis

    Enviar en el boletín
    Off

    Decenas de walkie-talkies estallan en un nuevo ataque contra Hezbolá en Líbano

    Con Hezbolá y Líbano aún conmocionados por la oleada coordinada de explosiones de rastreadores este martes, que dejó al menos 12 muertos y miles de heridos, el miércoles comenzó otro ataque, esta vez en forma de explosiones de radios bidireccionales, o walkie-talkies. Las imágenes, que WIRED no ha verificado de forma independiente, parecen mostrar explosiones aún más graves que las del martes.

    La agencia oficial de noticias libanesa también informó de la explosión de páneles solares domésticos menos de dos horas después de que comenzaran las detonaciones de los walkie-talkies el miércoles, según Associated Press. Los detalles de los supuestos atentados contra equipos solares siguen desarrollándose en el momento de la publicación de este artículo.

    Las explosiones de los walkie-talkies parece que se orquestaron de la misma manera que el atentado del martes, que probablemente se llevó a cabo interceptando nuevos rastreadores en algún punto de su recorrido por la cadena de suministro y alterándolos para agregarles material explosivo. Al parecer, Hezbolá había ampliado recientemente el uso de rastreadores en un intento de asegurar las comunicaciones después de que el grupo temiera que otros canales estuvieran infiltrados por la inteligencia israelí. Este miércoles, Reuters informó que Hezbolá adquirió los walkie talkies hace unos cinco meses, como parte de la misma iniciativa que llevó al grupo a comprar los localizadores.

    En un comunicado tras las explosiones del miércoles, el Ministerio de Sanidad libanés dijo que más de 300 personas resultaron heridas y nueve fueron asesinadas, y que se registraron incidentes en varias regiones del país. La Cruz Roja libanesa informó que más de 30 ambulancias participan en el tratamiento de los heridos.

    Aunque aún no se conocen todos los detalles del atentado del miércoles, se cree que el autor de la explosión de los rastreadores este martes fue Israel. Los combates entre Israel y Hezbolá, que cuenta con el apoyo de Irán, se han intensificado en el último año desde el ataque de Hamás contra Israel del 7 de octubre. El martes, Hezbolá culpó a Israel de la «agresión criminal que también tuvo como objetivo a civiles».

    «Estoy impresionado por lo sofisticado de esta operación», afirma Jake Williams, vicepresidente de investigación y desarrollo de Hunter Strategy, que trabajó anteriormente para la Agencia de Seguridad Nacional de EE.UU. «La escala de este compromiso de la cadena de suministro no tiene precedentes. Es difícil imaginar qué tecnología Hezbolá podría considerar ‘segura’ a estas alturas.»

    Fotos y videos publicados en las redes sociales el miércoles parecían mostrar radios portátiles, o walkie-talkies, en diversos estados de destrucción. En muchas de las imágenes, los dispositivos, que son más grandes y voluminosos que los teléfonos inteligentes, tenían un lado de la carcasa retirado. Expertos de Medio Oriente, citando informes de medios de comunicación locales, señalan que algunos coches, scooters e incluso edificios pueden haber sufrido daños por estos dispositivos manipulados.

    «Por lo que estamos viendo, incluidas las imágenes que circulan en las redes sociales, los dispositivos que explotan son radios portátiles, posiblemente un modelo Icom», afirma Michael Horowitz, jefe de inteligencia de Le Beck International, una empresa de gestión de riesgos.

    CVE-2024-8892

    CVE-2024-8892

    Título es
    CVE-2024-8892

    Mié, 18/09/2024 – 13:15

    Tipo
    CWE-400

    Gravedad 2.0 Txt
    Pendiente de análisis

    Título en

    CVE-2024-8892

    Descripción en
    Vulnerability in CIRCUTOR TCP2RS+ firmware version 1.3b, which could allow an attacker to modify any configuration value, even if the device has the user/password authentication option enabled, without authentication by sending packets through the UDP protocol and port 2000, deconfiguring the device and thus disabling its use. This equipment is at the end of its useful life cycle.

    18/09/2024
    18/09/2024
    Vector CVSS:3.1
    CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

    Gravedad 3.1 (CVSS 3.1 Base Score)
    5.30

    Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
    MEDIUM

    Referencias
  • https://www.incibe.es/en/incibe-cert/notices/aviso-sci/multiple-vulnerabilities-circutor-products

  • Enviar en el boletín
    Off